省流：最近有人撞库微软账号
看了下我审计日志每天只有几笔登录失败应该还好，但微软账户这种比较重要的资产，MFA应开尽开
https://fixupx.com/changwei1006/status/1846988988168785935
看了下我审计日志每天只有几笔登录失败应该还好，但微软账户这种比较重要的资产，MFA应开尽开
https://fixupx.com/changwei1006/status/1846988988168785935
FxTwitter / FixupX
Chang Wei 昌维 (@changwei1006)
『威胁情报』
最近有人在撞库微软账户，切记不要全平台使用同一个账号密码，如果各位发现微软2FA验证已经有弹窗说明撞库成功，请立即更改密码
包括我在内，很多人的微软账户会关联onedrive，里面可能会有重要数据，例如bitlocker的恢复密钥，他也是office文档的默认云端存储位置，可能会有个人文档数据
最近有人在撞库微软账户，切记不要全平台使用同一个账号密码，如果各位发现微软2FA验证已经有弹窗说明撞库成功，请立即更改密码
包括我在内，很多人的微软账户会关联onedrive，里面可能会有重要数据，例如bitlocker的恢复密钥，他也是office文档的默认云端存储位置，可能会有个人文档数据
💊1
老天爷你搞错了吧，我应该是拿3A6000裸板对着osdev写bootkit，从指令集到协议栈Fuzz出无条件组合RCE，抱着ThinkPad X240在Zune 30G点亮主线，拿一堆cvss==9.9参加USENIX conference的青春女大，而不是连osep lab的垃圾免杀都没力气做只能躺在床上恍惚等到明天出差应酬被客户灌个大醉的死人
Pseudorandom Thoughts
Photo
哦对了，说到这个，如果不是为了拿OSCE3的话，我不建议买WE的Learn One，你要真想复盘web业务漏洞挖掘就先去考个OSWA玩玩，再随手裸考WE，因为WE题目思路和难度跟WA是一样的，然而WA要求是24小时黑盒做出3.5/5道，WE要求是48小时白盒做出1.5/2道，显然前者比较激发潜能。WE唯一的难点在于要你提交零交互PoC，而这哪怕对于电脑初级低手来说也只不过是
import requests或者import "net/http"的事情。不知道为什么OffSec把WE标作300系，真有脚本小子不会写脚本？Forwarded from 🐱 Ch. | 挪瓦咖啡配苕皮套餐 TV (webRTCCat | Present Day, Present Time)
蠢人看见字节被投毒还在笑，聪明人已经学会用 godot, huggingface 和 pytorch 拿 pickle 做白加黑了，必可活用于下一次啊
example: https://github.com/fash394pdmi/1ad-FinalFantasy14d/releases/tag/lv1wlsw68r
example: https://github.com/fash394pdmi/1ad-FinalFantasy14d/releases/tag/lv1wlsw68r
Forwarded from 咕 Billchen 咕 🐱 抹茶芭菲批发中心 (billchenchina | Nya!)
Forwarded from AOSC 社区脉动｜新年快乐 (白铭骢)
安同开源社区有关 Linux 基金会及其职员不当行为的谴责
过去一天无疑是耻辱和令人绝望的。我们目睹了 Linus Torvalds 对我社贡献者乃至工作的攻击、侮辱和诋毁。
上周日，一条践踏社区信任的、可耻的提交被无声合并。数十名俄罗斯藉 Linux 内核贡献者、子系统维护者在未被告知的情况下被革除维护者身份。 ¹ 在诸多提出质疑的内核贡献者与关注者中，我社人员也提出了自己的质疑和严厉批评。² ³ 而 Linux 基金会在此事中不仅没有发布任何公告解释行为，Linux 内核项目创始人和核心维护人员 Linus Torvalds 与 linux-stable 分支维护者 Greg Kroah-Hartman 两位技术人员更是伙同 Linux 基金会一道，开始了极具歧视性的“猎巫行动”。
在此次新一轮回应之前，昨日我社人员编撰的新闻稿中已有详细的背景介绍，此处全文贴出：
在这一风波伊始，我社贡献者柯晓宇采取了非常勇敢的行动，在提出撤回补丁 (Revert) 的同时，据理力争表达了自己的不满与质疑。⁴ 与此同时，我们的贡献者密切地关注着这个话题，我们都抱有一丝似有似无的希望：“Greg Kroah-Hartman 和 Linus Torvalds 是否正迫于难以言状的政治压力才做出如此令人意外的事情？”
很不幸的是，在 Greg Kroah-Hartman 选择违反 Linux 邮件列表网络礼仪与列表中的多人私下交涉后 ⁵，Linus Torvalds 直接选择了最令人不齿的方式回应质疑——攻击、侮辱和诋毁我社贡献者 ⁶ ：
Linus Torvalds 还提到，“无辜的路人们”应当理解 Greg Kroah-Hartman 所指的“某些合规性要求”并非美国专利。他还指出，不了解什么是对俄制裁的读者有空应该“多读新闻”。
而后，Linus Torvalds 话锋一转，攻击由柯晓宇提交的关于撤回变更的补丁：
在如今地缘政治极端紧张的今天，Linus Torvalds 选择使用国籍囊括政治观点的行为极端不负责任。更不用说将社区的一切反对意见都归结为“俄罗斯巨魔”和吸取“俄罗斯国家赞助的垃圾信息”的后果。Linus Torvalds 的发言无疑将为 Linux 内核及国际开源社区的协作互信，乃至全人类自由与开源软件运动带来难以弥补的损害。
因上述事由，我们对 Linux 基金会职员、乃至该组织的不当行为表示强烈抗议和谴责。我们要求 Linux 基金会就 Linus Torvalds 及 Greg Kroah-Hartman 的行为作出解释并对所有相关人员致歉并恢复名誉。
—
¹ https://lore.kernel.org/all/2024101835-tiptop-blip-09ed@gregkh/
² https://lore.kernel.org/all/a08dc31ab773604d8f206ba005dc4c7a@aosc.io/
³ https://lore.kernel.org/all/20241023080935.2945-2-kexybiscuit@aosc.io/
⁴ https://lore.kernel.org/all/20241023080935.2945-2-kexybiscuit@aosc.io/
⁵ 我社贡献者白铭骢在认定 Greg Kroah-Hartman 的私下沟通全无诚意且具有侮辱性后选择公开邮件对话全文 https://lore.kernel.org/all/444fa53bdfdee75522a1af41655a99b0@aosc.io/
⁶ https://lore.kernel.org/all/CAHk-=whNGNVnYHHSXUAsWds_MoZ-iEgRMQMxZZ0z-jY4uHT+Gg@mail.gmail.com/
过去一天无疑是耻辱和令人绝望的。我们目睹了 Linus Torvalds 对我社贡献者乃至工作的攻击、侮辱和诋毁。
上周日，一条践踏社区信任的、可耻的提交被无声合并。数十名俄罗斯藉 Linux 内核贡献者、子系统维护者在未被告知的情况下被革除维护者身份。 ¹ 在诸多提出质疑的内核贡献者与关注者中，我社人员也提出了自己的质疑和严厉批评。² ³ 而 Linux 基金会在此事中不仅没有发布任何公告解释行为，Linux 内核项目创始人和核心维护人员 Linus Torvalds 与 linux-stable 分支维护者 Greg Kroah-Hartman 两位技术人员更是伙同 Linux 基金会一道，开始了极具歧视性的“猎巫行动”。
在此次新一轮回应之前，昨日我社人员编撰的新闻稿中已有详细的背景介绍，此处全文贴出：
日前，Linux 内核主要维护者之一 Greg Kroah-Hartman (Greg K-H) 提交了一项不寻常的“文档”更新，将数名具有 <.ru> 顶级域名邮箱的维护者，和一名明确为俄罗斯身份的维护者从 MAINTAINERS（维护者名录）文件除名。
这一提交已于上周日被 Linus Torvalds 拉取并包含于 6.12-rc4 版本的代码中。
Greg K-H 并未详述这项更新的具体原因，仅含糊其辞地表示该更改是“由于某些合规性要求”，并指出“（相关人员）提供充足文档后，方可回归（维护者名录）”。
相关的维护者移除方式相当暴力，其中部分子系统由于唯一维护者使用 <.ru> 顶级域名邮箱，整个子系统都被从 MAINTAINERS 文件中移除，这之中不乏诸如 UFS 文件系统和 PPTP 驱动等重要且被广泛使用的子系统。由于 Linux 内核开发流程完全基于邮件列表进行，当 MAINTAINERS 文件中移除相关维护者后，也就意味着与相关子系统的补丁或沟通将不再被发送至维护者的邮箱，乃至相关的邮件列表。这很可能会造成许多补丁“石沉大海”；而如果某个子系统未得到充分维护，那么其被从内核中移除也只是时间问题了。
通常而言，Linux 内核补丁除了发送至邮件列表外，还需要抄送与之相关的人士（如子系统维护者和活跃贡献者），并且经过讨论和审阅后才会被拉取合并。然而，Greg K-H 似乎刻意绕过了这部分流程，仅仅将补丁发送至流量最大、几乎不会有人认真阅读每封邮件的 patches@lists.linux.dev 列表，并于仅仅两天后就向 Linus Torvalds 发起拉取请求，而 Torvalds 亦未对相关修改提出质疑和意见便拉取合并这笔更改了。
考虑到 Linus Torvalds 与 Greg K-H 均受雇于 The Linux Foundation，后者为注册在美国的 501(c)(6) 组织，“某些合规性要求”为何显而易见。
截至发稿时，Greg K-H 尚未回应邮件列表上的相关质询。无论结果为何，这都将是 Linux 内核社区历史上最为耻辱的提交之一。
在这一风波伊始，我社贡献者柯晓宇采取了非常勇敢的行动，在提出撤回补丁 (Revert) 的同时，据理力争表达了自己的不满与质疑。⁴ 与此同时，我们的贡献者密切地关注着这个话题，我们都抱有一丝似有似无的希望：“Greg Kroah-Hartman 和 Linus Torvalds 是否正迫于难以言状的政治压力才做出如此令人意外的事情？”
很不幸的是，在 Greg Kroah-Hartman 选择违反 Linux 邮件列表网络礼仪与列表中的多人私下交涉后 ⁵，Linus Torvalds 直接选择了最令人不齿的方式回应质疑——攻击、侮辱和诋毁我社贡献者 ⁶ ：
It's entirely clear why the change was done, it's not getting reverted, and using multiple random anonymous accounts to try to "grass root" it by Russian troll factories isn't going to change anything.
为什么要这样改原因很明确，我们也不会撤回这个提交。就算这样用一堆俄罗斯巨魔工厂里整来的匿名账号群起而攻之，结果也不会改变。
Linus Torvalds 还提到，“无辜的路人们”应当理解 Greg Kroah-Hartman 所指的“某些合规性要求”并非美国专利。他还指出，不了解什么是对俄制裁的读者有空应该“多读新闻”。
而后，Linus Torvalds 话锋一转，攻击由柯晓宇提交的关于撤回变更的补丁：
As to sending me a revert patch - please use whatever mush you call brains. I'm Finnish. Did you think I'd be *supporting* Russian aggression? Apparently it's not just lack of real news, it's lack of history knowledge too.
至于前面发来的撤回补丁，请用一用你们那坨可能叫做脑子的东西。我是芬兰人，你们觉得我可能会支持俄国的侵略吗？显然你们不光没读过真实的新闻，还对历史一无所知。
在如今地缘政治极端紧张的今天，Linus Torvalds 选择使用国籍囊括政治观点的行为极端不负责任。更不用说将社区的一切反对意见都归结为“俄罗斯巨魔”和吸取“俄罗斯国家赞助的垃圾信息”的后果。Linus Torvalds 的发言无疑将为 Linux 内核及国际开源社区的协作互信，乃至全人类自由与开源软件运动带来难以弥补的损害。
因上述事由，我们对 Linux 基金会职员、乃至该组织的不当行为表示强烈抗议和谴责。我们要求 Linux 基金会就 Linus Torvalds 及 Greg Kroah-Hartman 的行为作出解释并对所有相关人员致歉并恢复名誉。
—
¹ https://lore.kernel.org/all/2024101835-tiptop-blip-09ed@gregkh/
² https://lore.kernel.org/all/a08dc31ab773604d8f206ba005dc4c7a@aosc.io/
³ https://lore.kernel.org/all/20241023080935.2945-2-kexybiscuit@aosc.io/
⁴ https://lore.kernel.org/all/20241023080935.2945-2-kexybiscuit@aosc.io/
⁵ 我社贡献者白铭骢在认定 Greg Kroah-Hartman 的私下沟通全无诚意且具有侮辱性后选择公开邮件对话全文 https://lore.kernel.org/all/444fa53bdfdee75522a1af41655a99b0@aosc.io/
⁶ https://lore.kernel.org/all/CAHk-=whNGNVnYHHSXUAsWds_MoZ-iEgRMQMxZZ0z-jY4uHT+Gg@mail.gmail.com/
🎉4
说到存储就想提一句，金融科技作为老保时近几年出现的乱象。Fintech老保是正常的，监管要求和一致性要求都非常变态，可用性要求虽然让位给一致性但也很变态，所以古早年代大伙会抱紧主机小机DB2Oracle等，理由不外乎一是稳定（确实稳定），二是老登程序员对这些传统起夜级技术懂得多，出连续性事件方便应急。
但近年来就经常遇到从SOAP到SpringBoot刚发展起来年代（大概是超级网银到移动支付这段）的中登，你说他懂技术吧其实他从业的年代技术已经开始抽象到写出来就能跑，你说稳定吧实际上按Jvav程序员的尿性写出来的可用程度大伙可想而知，他保自己年代的又允许到处拉史又不高可用的技术干什么玩意。
一个典型例子就是NFS，单体的时代直接大存储服务器，很稳；现在的年代我们有S3、有各种分布式FS，相对也还算稳；中登还在抱着这b玩意宁可IO夯和不一致都不愿换技术栈，我暂且蒙古。至于直接把NFS端口开到互联网上让大伙奇亚币炒豌豆启动的就更唐了。
但近年来就经常遇到从SOAP到SpringBoot刚发展起来年代（大概是超级网银到移动支付这段）的中登，你说他懂技术吧其实他从业的年代技术已经开始抽象到写出来就能跑，你说稳定吧实际上按Jvav程序员的尿性写出来的可用程度大伙可想而知，他保自己年代的又允许到处拉史又不高可用的技术干什么玩意。
一个典型例子就是NFS，单体的时代直接大存储服务器，很稳；现在的年代我们有S3、有各种分布式FS，相对也还算稳；中登还在抱着这b玩意宁可IO夯和不一致都不愿换技术栈，我暂且蒙古。至于直接把NFS端口开到互联网上让大伙奇亚币炒豌豆启动的就更唐了。
💊7🎉1
恁Nginx语义疑似有点明晰了，以及某些安全设备厂商的惊世智慧发明基于UDP53的包做域名TCP限时白名单疑似有点尊重协议栈了，但你都抓UDP53了怎么不把SNI Preread给一起做掉
https://stackoverflow.com/questions/56486489/nginx-caching-dns-look-ups-and-ignoring-my-resolver-settings
https://stackoverflow.com/questions/56486489/nginx-caching-dns-look-ups-and-ignoring-my-resolver-settings
Stack Overflow
Nginx caching DNS look ups and ignoring my resolver settings
I am using docker swarm. I placed an nginx container in front of my API for caching purposes. Since every time I deploy my API it creates a new internal IP I am using the name of my service tasks....
锐评《焚城》（含剧透）：如果你要看的片包括刘德华、技术官僚、阴谋团体、极端气候、危险驾驶、爆炸艺术、小登叛逆、液压剪撬门、工程师殉爆 ，那你看的片是《流浪地球》
首先港片别看国语版，然后这片前半段班味很浓，属于是经常上班的朋友都会触发ptsd；节奏忽紧忽慢有点神秘，但关键部分调动情绪还是很有的。
作为灾难片只能说还是比较照顾大众，描述专业的部分卡在这了；画面倒是很好，剧情环环相扣得有点取巧。
全片最不合理的点在于生产安全管理和救援力量硬吃debuff，大剂量Cs就这么嗯运嗯堆到香港，然后恁大一个香港消防的核辐射防护器材准备怎么连南宁都不如，而且都爆！了大陆和PLA也根本不救的，只能说剧情需要。救援团队人均南宝安超人，死因都是外伤而非辐照，硬吃辐射反应呕吐几口就全吐出来了是吧（
总体观感还是挺好的，喜欢玩原和开核的人可以看看
首先港片别看国语版，然后这片前半段班味很浓，属于是经常上班的朋友都会触发ptsd；节奏忽紧忽慢有点神秘，但关键部分调动情绪还是很有的。
作为灾难片只能说还是比较照顾大众，描述专业的部分卡在这了；画面倒是很好，剧情环环相扣得有点取巧。
总体观感还是挺好的，喜欢玩原和开核的人可以看看
💊1
前阵子上班路上被许久未冲洗的喷泉味大熏了，突然想到，既然好多人推崇坐便器优于蹲便器的理由是蹲便器冲水时的水花和气溶胶很脏，那使用中水的广场喷泉不就更脏了吗？结果发现十八年前就有人提过这个问题：
https://china.cnr.cn/wbll/tishi/200607/t20060724_504249263.html
https://china.cnr.cn/wbll/tishi/200607/t20060724_504249263.html
💊6
Forwarded from 鳖频道 (⑨BIE)
🎉2
OSCP挂第三次了，40-50-60，只能说菜就多练
新版OSCP+给人的观感是AD部分往OSEP靠拢，变得很公式化，纯靠手快；但单机越来越难，脑洞设计上更贴近CTF了
新版OSCP+给人的观感是AD部分往OSEP靠拢，变得很公式化，纯靠手快；但单机越来越难，脑洞设计上更贴近CTF了
Forwarded from Ziyao Channel | 二代目 (梓瑶 | RelWithDebInfo)
Tool-centric thinking is the Ozempic of the cybersecurity thinking.
https://www.resilientcyber.io/p/shift-left-is-starting-to-rust
www.resilientcyber.io
"Shift Left" is Starting to Rust
A look into the origins of the "shift left" movement, and ways it has been implemented poorly