Forwarded from BGP测速吃🍉卖货频道[已消毒] (削除されたアカウント 漓桜)
Telegram
凛の碎碎念
v2board数据泄露漏洞复盘：
通过review问题代码发现，问题在于鉴权中间件。
1.6.1版本的token存储方式从session改成了cache，导致作者重写了鉴权代码
新的鉴权代码造成了严重的漏洞
众所周知v2board的管理员信息和用户信息都在user表，仅用is_admin字段区分是否管理员
管理员API的中间件鉴权代码和用户API中间件鉴权代码一模一样，只是多了个is_admin校验。
如图所示中间件首先会检查浏览器提交的token是否在服务器cache，也就是redis中。如果有，直接通过鉴权。…
通过review问题代码发现，问题在于鉴权中间件。
1.6.1版本的token存储方式从session改成了cache，导致作者重写了鉴权代码
新的鉴权代码造成了严重的漏洞
众所周知v2board的管理员信息和用户信息都在user表，仅用is_admin字段区分是否管理员
管理员API的中间件鉴权代码和用户API中间件鉴权代码一模一样，只是多了个is_admin校验。
如图所示中间件首先会检查浏览器提交的token是否在服务器cache，也就是redis中。如果有，直接通过鉴权。…
Forwarded from Sukka's Notebook
关于这次 V2Board 数据泄露，我没有什么细节或者内情可分享的。不过借此机会，我倒是愿意聊聊另外一个发现。
V2Board 在其面板的管理侧，内置了一个不可关闭的 Google Analytics 4（见图 1）：
https://github.com/v2board/v2board/blob/08653fb2cd0a823f6c56999019917b7de071e2da/resources/views/admin.blade.php#L45
在 V2Board 面板 管理侧 前端的编译产物中也可以看到（见图 2）： https://github.com/v2board/v2board-admin/blob/50b6058bf67fa9cea13f8a6cb9d0cd8d3c30a42b/index.html#L9
对该 Google Analytics 4 ID 进行搜索可以发现，目前有一项由杭州安恒信息技术股份有限公司提交申请，尚未审批通过的专利「提供翻墙服务网站的识别方法、装置、设备及存储介质」CN113505323A：
https://patents.google.com/patent/CN113505323A/zh ，发明人为 赵晨、范渊、杨勃。
在该专利中，SSPanel 的 Staff 页面和 V2Board 管理侧前端的 Google Analytics 都是重点检测特征（图 3）。
V2Board 在其面板的管理侧，内置了一个不可关闭的 Google Analytics 4（见图 1）：
https://github.com/v2board/v2board/blob/08653fb2cd0a823f6c56999019917b7de071e2da/resources/views/admin.blade.php#L45
在 V2Board 面板 管理侧 前端的编译产物中也可以看到（见图 2）： https://github.com/v2board/v2board-admin/blob/50b6058bf67fa9cea13f8a6cb9d0cd8d3c30a42b/index.html#L9
对该 Google Analytics 4 ID 进行搜索可以发现，目前有一项由杭州安恒信息技术股份有限公司提交申请，尚未审批通过的专利「提供翻墙服务网站的识别方法、装置、设备及存储介质」CN113505323A：
https://patents.google.com/patent/CN113505323A/zh ，发明人为 赵晨、范渊、杨勃。
在该专利中，SSPanel 的 Staff 页面和 V2Board 管理侧前端的 Google Analytics 都是重点检测特征（图 3）。
GitHub
v2board/resources/views/admin.blade.php at 08653fb2cd0a823f6c56999019917b7de071e2da · v2board/v2board
🚀A multiple proxy protocol manage panel application interface - v2board/v2board
👍16😱4
最近b站上挺火的免费加速器 国内手机号接码注册 线路最高50mbps对等 玩法自行探索😋
https://zzjiasuqi.com
https://zzjiasuqi.com
Zzjiasuqi
ZZ网游加速器【免费加速】-Z世代Z加速，加速全球网游真稳定！
ZZ加速器，团队成员深耕加速服务5年，采用自主研发的加速引擎,全球部署顶级IDC集群和电竞级游戏专线！极致降低数据传输损耗，解决游戏延迟、卡顿、掉线、无法登录等问题，让你玩出真精彩！全球直连加速专线，游戏加速效果行业顶尖，打造Z世代极具性价比的加速产品，支持加速绝地求生、APEX、GTA5、CSGO、WOW、COD、Steam，以及LOL英雄联盟、DNF地下城与勇士、CF穿越火线、等上千款海内外网游及主机游戏。
👍2
Forwarded from cnBeta.COM中文业界资讯站 - 总频道(精选新闻)
传抖音拿下代理权 接手暴雪游戏
暴雪中国在最新的声明中表示，目前正在与一些国服地区新的潜在发行合作伙伴进行洽谈，这一进程将会持续推进直至我们找到恰当的解决方案。《魔兽世界》团队正在努力工作，寻求开发出一项功能，使得各位能在1月23日游戏停服之前，将自己的游戏角色、道具以及在艾泽拉斯世界当中的游戏进度，封存到各位的个人设备里。 ...
PC版：https://www.cnbeta.com.tw/articles/soft/1336023.htm
手机版：https://m.cnbeta.com.tw/view/1336023.htm
暴雪中国在最新的声明中表示，目前正在与一些国服地区新的潜在发行合作伙伴进行洽谈，这一进程将会持续推进直至我们找到恰当的解决方案。《魔兽世界》团队正在努力工作，寻求开发出一项功能，使得各位能在1月23日游戏停服之前，将自己的游戏角色、道具以及在艾泽拉斯世界当中的游戏进度，封存到各位的个人设备里。 ...
PC版：https://www.cnbeta.com.tw/articles/soft/1336023.htm
手机版：https://m.cnbeta.com.tw/view/1336023.htm
cnBeta.COM
传抖音拿下代理权 接手暴雪游戏 - 游戏 - Blizzard 暴雪 - cnBeta.COM
12月22日消息，网传截图信息显示，有人爆料称抖音接手暴雪游戏。截图中，爆料人士称抖音已经开始招收网易暴雪前员工，并承诺涨薪。此前根据暴雪的声明，由网易在中国大陆代理运营的大部分暴雪游戏，包括《魔兽世界》《炉石传说》《守望先锋》等共计7款游戏，将在明年1月23日到期后停止运营。其中《魔兽世界》在国内的用户量、影响力都是暴雪游戏之最。
👎22🎉2👍1
Forwarded from 独角Next <Dujiao-Next> (Assimon)
#紧急公告
2022-12-25
经过排查发现独角的其他某个支付回调逻辑也存在可能绕过漏洞
为防止盗刷，不会修复的朋友请临时关站防止进一步财产损失
修复版本将于今晚22点前发布，届时请所有人进行升级，无论你用的什么版本！
2022-12-25
经过排查发现独角的其他某个支付回调逻辑也存在可能绕过漏洞
为防止盗刷，不会修复的朋友请临时关站防止进一步财产损失
修复版本将于今晚22点前发布，届时请所有人进行升级，无论你用的什么版本！
广电福兔安心卡
合约期1年到期可续 套内不含语音 线下营业厅网点或网上营业厅办理
39元 定向30G+通用60G
65元 定向60G+通用120G
合约期1年到期可续 套内不含语音 线下营业厅网点或网上营业厅办理
39元 定向30G+通用60G
65元 定向60G+通用120G
👎6👍1
根据.CN、.中国域名注册局中国互联网络信息中心（CNNIC）的通知，国家顶级域名（.CN、.中国）隐私保护服务将于2023年1月1日开始收费。详见阿里云网站《1月1日国家顶级域名（.CN、.中国）隐私保护服务收费的公告》。
根据注册局规则，2023年1月1日前开通的隐私保护服务可免费使用至2023年的域名到期日。您的如下域名曾经申请开通国家顶级域名隐私保护服务，届时隐私保护服务将失效。如需重新开通，请于服务失效后重新购买。敬请留意！付费隐私保护 扎不多德勒😅
👎9