b23.tv/BV1SqSEYPEJE

不是哥们，真让他做成了？

A comparison of Rust's borrow checker to the one in C# (❄️ Score: 152+ in 3 days)

Link: https://readhacker.news/s/6gX9V
Comments: https://readhacker.news/c/6gX9V

#QB #qBittorrent #安全

qBittorrent 存在 MITM 漏洞 近14 年来所有版本受影响

TLDR；本次漏洞利用起来有些困难，由于全部涉及 MITM ，所以攻击者至少需要在物理上控制你的部分网络或是你的网络上游才能够发动攻击。

漏洞：
类 DownloadManager 忽略了所有的 SSL 证书 ，导致可以对 QB 发起任意 MITM 攻击。

可能出现的问题：
1. 当系统中不存在 Python 依赖时，QB 会提示安装 Python，可能导致 MITM 劫持。（Windows 用户受影响）
攻击者可以使用 MITM 替换下载的安装包，从而使得用户最终打开恶意软件。（仍需要用户手动点击下载下来的 .exe 文件）

2. QB 会提示更新 QB 版本，可能导致 MITM 劫持。（Winodws 和 Linux 下使用官方安装器安装的用户受影响）
由于提示更新的网址是硬编码的，所以可以轻松 MTIM 并将地址替换为恶意软件的下载地址，同时由于 QB 是一个开源软件，攻击者可以轻易的修改源码并附加后门，最终用户看起来是下载了新版本的 QB，但实际上下载了一个带有后门的 QB，除非对比文件哈希，否则无法察觉。

3. RSS 链接可能会被 MITM 劫持（全版本受影响）
QB 中所有添加的 RSS 链接都会经过 DownloadManager 的解析，所以 RSS 中的链接也可以被 MITM 劫持。

修复办法：
升级到 5.0.1 或更高的版本、更换为其他 BT 软件。

缓解办法：
1. 不要添加来源不明的 RSS 源或完全禁止 RSS；
2. 采用 最小权限原则 运行 QB，不要直接使用 root 运行 QB；
3. 使用 Docker 等软件，将 QB 托管于虚拟化中；
4. 不要点击 QB 所弹出的升级、下载窗口中的按钮，自行安装 Python 依赖和下载新版本。

来源：
夏普安全

又出来一个新 issue.

https://github.com/microsoft/vscode/issues/232699

最新进展：猜谜时间到！

—

I have disabled all extensions, and I got:

CPU % Mem MB    PID Process
    0    229  72663 code main
    0     66  72666    gpu-process
    0     33  72667    utility-network-service
    0    590  72669 window [1] (Visual Studio Code)
    0    197  72691 shared-process
  100    426  72823    utility-process
    0     66  72886 fileWatcher [1]
    0    131  72887 extensionHost [1]

if you need more test or debug or message, just tell me.

—

#232699 (comment) and #232699 (comment) point not the EH process but to the shared process (which is used to manage extensions...)

@sandy081 How do we diagnose this process?

#GitHub

500 followers, thank you!

🥳🥳🥳

# Hackergame 2024 今日开赛

「又要重复吗，绝望的轮回」

比赛平台：https://hack.lug.ustc.edu.cn
比赛时间：11.02 (12:00) - 11.09 (12:00)
交流群：392057840
活动安排：https://lug.ustc.edu.cn/news/2024/10/Hackergame2024-ad/

#GitHub

好看的博客主题！一见钟情💘！

https://redefine.ohevan.com/
https://github.com/EvanNotFound/hexo-theme-redefine

Etched 发布了世界首款 AI 生成游戏 Oasis

oasis.decart.ai

https://x.com/Etched/status/1852089772329869436?s=19

浏览器中的 Minecraft，但每一帧只依靠前一帧和你的键盘输入决定，模型并不会记住世界中你看不见的部分是什么样的，推测是扩散模型。目前需排队游玩且对网络稳定性要求较高，视频为多次尝试后的唯一录像

请注意：有的玩家在持续游玩十分钟至数十分钟后报告发生了现实解体的症状。虽然目前来看似乎是可逆转的，但是请谨慎游玩。

From
#慢讯 #因吹斯汀

这图笑死我了

#life
自2025年1月1日起，全体公民放假的假日增加2天，其中春节、劳动节各增加1天。据此对放假调休原则作进一步优化完善，除个别特殊情形外，春节自农历除夕起放假调休8天，国庆节自10月1日起放假调休7天，劳动节放假调休5天，元旦、清明节、端午节、中秋节分別放假调休或连休3天（如逢周三则只在当日放假），国庆节放假如逢中秋节则合并放假8天。
https://www.gov.cn/zhengce/content/202411/content_6986382.htm

微软 .NET 9 正式发布：性能大幅提升，提供 18 个月标准期限支持
https://www.ithome.com/0/810/143.htm

WeChat 在更新 8.0.54 版本后，支持 Passkey（通行密钥）

⚠️ 微信暂时不支持该功能（即绑定中国大陆手机号的用户）

在 我 > 设置 > 账号与安全 > 通行密钥 设置即可。

下次登录微信时，微信会自动调用 iOS 的密码自动填充接口，询问是否使用 Passkey 登录。

因为微信调用的 iOS 的系统接口，因此无论是 iCloud 钥匙串还是第三方密码管理工具（如 1Password等）也支持，用户操作体验与网页登录无差别。

Cloudflare 推出「Project Alexandria」，为开源开发者免费升级 Cloudflare Pro、Business 或 Enterprise 计划，以及增加 Workers、Pages、R2 存储等。
申请条件是维护一个具有公认开源许可证的开源项目，并仅以非营利方式运作

https://www.cloudflare.com/zh-cn/lp/project-alexandria/

#GZCTF

v0.25.0 发布，主要的功能更新：

1. 现在支持使用 s3 bucket 和类似物作为多实例部署的后端存储了。
2. 现在可以使用 games/<id>/challenges#<id> 直接跳转并打开某一题目了，并且链接会随着题目变动，方便分享和直接跳转。
3. 文档完全迁移到了 https://gzctf.gzti.me

OpenWrt 宣布重大变更：从 2024 年 11 月起，主开发分支和未来稳定版本（包括即将发布的 24.10 系列）将使用新的包管理器 apk 替代原有的 opkg。这一变化标志着 OpenWrt 平台发展的重要里程碑，opkg 已被弃用并不再包含在 OpenWrt 中。由于这是安装和管理包方式的根本性转变，社区正在 [论坛](https://forum.openwrt.org/t/the-future-is-now-opkg-vs-apk/201164) 中积极讨论新系统的选项和语法。请注意，此变更不影响 23.05 版本，截至 2024 年 11 月 15 日，24.10 分支仍使用 opkg。

https://forum.openwrt.org/t/major-change-notice-new-package-manager/215682

#OpenWrt #PackageManager #TechnologyUpdate

#AIGC

#GZCTF

🎉 v1.0.0 （终于）发布了！

1. 运行时升级到了 dotnet 9，相关依赖已更新
2. 完善了 7 种语言的翻译，另有 3 种 AI 翻译
3. 以及一些小特性的添加和问题修复

欢迎大家帮忙宣传！👏👏

#GZCTF

🎊🎊🎊 1k star 🌟🌟🌟