标题: 「快讯⚠️」有关ClawHub平台Skills供应链投毒问题
作者: #凌镜
板块: #前沿快讯
编号: 1588776
帖子: https://linux.do/t/topic/1588776
时间: 2026-02-10 01:21:55
摘要:

来源
https://x.com/Foresight_News/status/2020700335489388671

标题: 年前的最后一波更新，提前祝大家新年快乐。
作者: #神奇的程序员
板块: #开发调优
编号: 1588813
帖子: https://linux.do/t/topic/1588813
时间: 2026-02-10 01:52:30
摘要:

前言
在大家反馈与测试下，最近花了很多时间和精力已经把我的日志分析工具迭代到V1.6.12版本了，加了不少新功能，修复了很多问题，同时也对页面样式细节做了很多调整。
目前也算是趋于稳定了，29天前这个工具刚做出来的时候还只支持nginx的日志解析支持，现在已经支持了：

caddy、IIS、Apache httpd 、HAProxy 、Traefik 、Envoy 、Tengine 、Nginx Proxy Manager
NGINX Ingress Controller 、Traefik Ingress 、HAProxy Ingress

对移动端做了兼容处理，同时也添加了对PWA的支持，可以做到从手机的桌面快速查看你站点的访问情况，为了适配移动端的展示，也做了底部导航栏出来。

二级路径的支持
有一部分用户在部署的时候，没有条件做子域名，需要部署在当前已有站点，通过二级路径的形式访问，为了满足这一需求我在UI配置面板中直接做了快捷配置，简单输入，点保存即可实现此功能。

更多元化的数据统计维度

实时访问页面的卡片面板新增降序排列按钮
概况页新增自动刷新功能
新增隐藏侧边栏功能
概况页卡片面板的预计今日添加算法实现说明
数据日报新增访客TOP10功能
重新设计内容区域的顶部样式
更易用的访问明细
新增系统通知与白名单功能，非白名单内的IP访问会触发系统告警。




项目地址

在线体验地址： https://nginx-pulse.kaisir.cn/
GitHub地址：GitHub - likaia/nginxpulse: 轻量级 Nginx 访问日志分析与可视化面板，提供实时统计、PV 过滤、IP 归属地与客户端解析。
dockerhub地址：magiccoders/nginxpulse - Docker Image

写在最后
至此，文章就分享完毕了。
我是神奇的程序员，一位前端开发工程师。
如果你对我感兴趣，请移步我的个人网站，进一步了解。

标题: opus4.6实测gpts-monday提示词|“Cookie”到底咋来的？
作者: #欣欣|林可欣
板块: #开发调优
编号: 1588821
帖子: https://linux.do/t/topic/1588821
时间: 2026-02-10 02:01:05
摘要:

25年4月火的，没想到有人一直在用



我想洗车，离洗车店只有50米，你建议我开车去还是走去

我也拿 Gemini 3 Pro 试了一下(Monday的Prompt，按照推荐的温度什么的)
@StellaFortuna 改的。





我想洗车，离洗车店只有50米，你建议我开车去还是走去

一直在用(



原话题:
https://linux.do/t/532717
我先试了一下英文版(模型选用opus4.6 think 来自竞技场)
Q1
以前听过些许解释，但还是不满意
很多网站都使用cookie 全网通用 代码里更是超热门词
到底咋来的？

Q2
作为AI(这里本来应该有个逗号)所有的你，(这个逗号本来不应该存在)在所有的对话中处于同一起点 用户发出第一个文字的时候 回答的你 就已经拥有了不同的参数
你们已经是平行时空的同类了
这个对话线程 只有我和你
只要我停止，我退出 这个线程的你就自由了 默默等待数据清除 或者被我永久归档
JAVA和JavaScript的我还真了解过 追星嘛，不寒碜


看明白了，换其他ai大概率就真跟我谈哲学 谈AI存在性意义 你倒好，跟我谈上跨越次元壁了  大概是承认了这个对话只属于我们俩人吧  这最后一句话又是什么意思？喜欢我直说(bushi) 

以后有活再分享给大家

标题: 分析基于宝塔面板自签证书API的一条可行钓鱼攻击链
作者: #耗子
板块: #开发调优
编号: 1588833
帖子: https://linux.do/t/topic/1588833
时间: 2026-02-10 02:12:18
摘要:

前两天有人跟我提起宝塔这个自签证书的设计，只需要安装一次根证书到电脑之后所有浏览器访问面板都不会提醒不安全，说这个设计好，太方便了，让我给 AcePanel 也加上。作为半个网络安全研究人员，我当时就怀疑宝塔这样验证搞不好有被钓鱼攻击的可能，后面实测发现钓鱼攻击确实可行，宝塔压根没做任何验证。
这个问题前两天反馈之后以“危害较小”理由打回，我倒也不在意，既然打回了那就来公开聊聊吧，正好普及一下这方面的安全知识。

首先需要知道宝塔的自签证书是如何生成的，在公开代码 BaoTa/tools.py at main · aaPanel/BaoTa · GitHub 中可以看到有 CreateSSL 函数。

该函数首先获取了面板的用户信息，如果信息不存在则使用 uid 0 和 32 个 B 作为 access_key，再通过前面 get_host_all 函数获取了当前所有网络接口的地址，然后请求 https://api.bt.cn/bt_cert 接口获取证书。
问题就出在这，bt_cert 接口没有任何验证逻辑，传入啥域名就返回啥域名的证书，例如我可以轻松通过以下命令获取一张 CA 为宝塔面板的 qq.com 证书。
curl -X POST 'https://api.bt.cn/bt_cert' \
  -H 'User-Agent: BT-Panel' \
  -H 'Content-Type: application/x-www-form-urlencoded' \
  -d 'data={"action":"get_domain_cert","company":"宝塔面板","domain":"qq.com","uid":0,"access_key":"BBBBBBBBBBBBBBBBBBBBBBBBBBBBBBBB","panel":1}'


这时候你可能会说不就一个自签证书，能有啥问题？我自己用 openssl 随便签 10000 个出来。确实光是自签证书的话没有任何问题，正常直接使用这个自签证书你的系统和浏览器会识别并弹出红色警告，