Forwarded from Eternal_安全内参
Puddin在TG上看到了啥
所以之前这个两百行脚本的小项目怎么突然1k stars了 https://github.com/PuddinCat/BestClash
把筛选算法升级了一下，现在效果好多了
虽然爬出来的代理还是很慢（因为是免费的就是了
虽然爬出来的代理还是很慢（因为是免费的就是了
🥰1
Forwarded from Puddin's RssTt Bot
通过RouterOS建立WireGuard内网隧道
0# 概述
在近期的实战渗透过程中，当我通过历史密码泄露或者爆破成功进入RouterOS系统后台后，应该如何搭建隧道进入目标内网，就成为了实际渗透过程中的问题。
RouterOS是一种路由操作系统，是基于Linux核心开发，兼容x86 PC的路由软件，通过该软件可以把标准PC电脑变成专业路由器，RouterOS软件的开发和应用不断的更新和发展，软件经历了多次更新和改进，其功能在不断增强和完善。特别在无线、认证、策略路由、带宽控制和防火墙过滤等功能上有着非常突出的功能，其极高的性价比，受到许多网络人士的青睐。
在日常针对内网渗透和外部打点的过程中，RouterOS是常见的网关系统和边缘资产，由于其部署方便且易用性较高，在非常多的企业级应用场景中能看到它的身影。
[...]
via AabyssZG's Blog
0# 概述
在近期的实战渗透过程中，当我通过历史密码泄露或者爆破成功进入RouterOS系统后台后，应该如何搭建隧道进入目标内网，就成为了实际渗透过程中的问题。
RouterOS是一种路由操作系统，是基于Linux核心开发，兼容x86 PC的路由软件，通过该软件可以把标准PC电脑变成专业路由器，RouterOS软件的开发和应用不断的更新和发展，软件经历了多次更新和改进，其功能在不断增强和完善。特别在无线、认证、策略路由、带宽控制和防火墙过滤等功能上有着非常突出的功能，其极高的性价比，受到许多网络人士的青睐。
在日常针对内网渗透和外部打点的过程中，RouterOS是常见的网关系统和边缘资产，由于其部署方便且易用性较高，在非常多的企业级应用场景中能看到它的身影。
[...]
via AabyssZG's Blog
Forwarded from LoopDNS资讯播报
Nekogram 被指在发布版中嵌入未公开代码，涉账号与手机号关联信息
4月2日，俄罗斯媒体 SOTA 报道称，一名分析 Nekogram 发布版代码的 IT 研究者指控，这款第三方 Telegram 客户端在未公开的 Extra.java 中加入了额外逻辑，可能通过对 @nekonotificationbot 的 inline query 发送“账号与手机号的关联信息”以及多账号关联数据。
第三方 Telegram 客户端 Nekogram 在 GitHub 上出现新的安全指控。Issue #336 的发布者称，其对官方发布 APK 的逆向分析显示，客户端可能会在正常使用过程中收集账号对应的手机号与 user ID，并通过 inline bot 请求发送给 @nekonotificationbot。该帖还点名样本为 Nekogram-12.5.2-6597-arm64-v8a.apk，并附上反编译代码、常量解混淆结果及视频链接。
sota
issues
4月2日，俄罗斯媒体 SOTA 报道称，一名分析 Nekogram 发布版代码的 IT 研究者指控，这款第三方 Telegram 客户端在未公开的 Extra.java 中加入了额外逻辑，可能通过对 @nekonotificationbot 的 inline query 发送“账号与手机号的关联信息”以及多账号关联数据。
第三方 Telegram 客户端 Nekogram 在 GitHub 上出现新的安全指控。Issue #336 的发布者称，其对官方发布 APK 的逆向分析显示，客户端可能会在正常使用过程中收集账号对应的手机号与 user ID，并通过 inline bot 请求发送给 @nekonotificationbot。该帖还点名样本为 Nekogram-12.5.2-6597-arm64-v8a.apk，并附上反编译代码、常量解混淆结果及视频链接。
sota
issues
SOTA
Неофициальный клиент Телеграма Nekogram передает разработчику информацию о связи аккаунта с номером телефона пользователя
Проанализировавший код Nekogram IT-эксперт рассказал «Соте» о выявленном в клиенте бэкдоре:
Forwarded from 在花🎗️科技圈
研究介绍脱离 Bun 二进制伪造 Claude Code 请求签名，可开启快速模式等
Claude Code 向 Anthropic API 发送请求时会带有专有头部，例如 `cch` 是请求完整性校验值，错误时请求会被拒绝。文章称，`cch` 并非由 JavaScript 计算，而是由 Claude Code 自带的私有 Bun 运行时在原生
据此可实现不依赖 Bun 的 Python PoC，并开启快速模式等。该签名更像计费归因与功能门控机制，而非强访问控制。
a10k.co
🌸 在花频道｜茶馆讨论｜投稿通道
Claude Code 向 Anthropic API 发送请求时会带有专有头部，例如 `cch` 是请求完整性校验值，错误时请求会被拒绝。文章称，`cch` 并非由 JavaScript 计算，而是由 Claude Code 自带的私有 Bun 运行时在原生
fetch 中完成：当请求命中特定条件时，运行时会对包含 cch=00000 占位符的完整 JSON 请求体计算 xxHash64`，再将结果写回请求体；`cc_version 末尾的 3 位后缀则由首条用户消息中的指定字符与内置盐值、版本号经 SHA-256 计算得出。据此可实现不依赖 Bun 的 Python PoC，并开启快速模式等。该签名更像计费归因与功能门控机制，而非强访问控制。
a10k.co
🌸 在花频道｜茶馆讨论｜投稿通道
Forwarded from K4YT3X's Channel (K4YT3X)
感觉这一系列文章很能说明 Microslop 这些年来稳定性方面问题的原因
https://isolveproblems.substack.com/p/how-microsoft-vaporized-a-trillion
https://isolveproblems.substack.com/p/how-microsoft-vaporized-a-trillion
Substack
How Microsoft Vaporized a Trillion Dollars
Inside the complacency and decisions that eroded trust in Azure—from a former Azure Core engineer.
Forwarded from Yummy 😋
4月4日起，Claude订阅额度将不再涵盖在 OpenClaw 等第三方工具上的使用
用户“将无法再将你的 Claude 订阅额度用于包括 OpenClaw 在内的第三方套件”。
如果用户想将 OpenClaw 与 Claude 一起使用，则必须使用一个与 Claude 订阅分开计费的“按使用付费选项”。
用户仍可通过Claude账号登录这些工具，但超出订阅限额的部分需额外购买按量计费包，或直接切换到Claude API密钥。
OpenClaw 创始人 Peter Steinberger 现在受雇于 OpenAI，Anthropic 也可能在鼓励订阅者更多地使用其自有工具，例如 Claude Cowork
Steinberger 表示，他和 OpenClaw 董事会成员 Dave Morin “试图让 Anthropic 理智一些，我们最多只是把这件事延迟了一周。”
🗒 标签: #OpenClaw #Claude
📢 频道: @GodlyNews1
🤖 投稿: @GodlyNewsBot
Anthropic 通过让订阅者额外付费，将 OpenClaw 排除在外
用户“将无法再将你的 Claude 订阅额度用于包括 OpenClaw 在内的第三方套件”。
如果用户想将 OpenClaw 与 Claude 一起使用，则必须使用一个与 Claude 订阅分开计费的“按使用付费选项”。
用户仍可通过Claude账号登录这些工具，但超出订阅限额的部分需额外购买按量计费包，或直接切换到Claude API密钥。
OpenClaw 创始人 Peter Steinberger 现在受雇于 OpenAI，Anthropic 也可能在鼓励订阅者更多地使用其自有工具，例如 Claude Cowork
Steinberger 表示，他和 OpenClaw 董事会成员 Dave Morin “试图让 Anthropic 理智一些，我们最多只是把这件事延迟了一周。”
Please open Telegram to view this post
VIEW IN TELEGRAM
Yummy 😋
4月4日起，Claude订阅额度将不再涵盖在 OpenClaw 等第三方工具上的使用 Anthropic 通过让订阅者额外付费，将 OpenClaw 排除在外 用户“将无法再将你的 Claude 订阅额度用于包括 OpenClaw 在内的第三方套件”。 如果用户想将 OpenClaw 与 Claude 一起使用，则必须使用一个与 Claude 订阅分开计费的“按使用付费选项”。 用户仍可通过Claude账号登录这些工具，但超出订阅限额的部分需额外购买按量计费包，或直接切换到Claude API密钥。…
X (formerly Twitter)
Fuli Luo (@_LuoFuli) on X
Two days ago, Anthropic cut off third-party harnesses from using Claude subscriptions — not surprising. Three days ago, MiMo launched its Token Plan — a design I spent real time on, and what I bel…
Forwarded from K4YT3X's Channel (K4YT3X)
推荐一个 enshittification 这个词的发明者 Cory Doctorow 的演讲：
https://www.youtube.com/watch?v=rimtaSgGz_4
作者之前的经典文章：
https://pluralistic.net/2023/01/21/potemkin-ai/
除了深度地介绍这些公司变💩的经典步骤（取悦用户 > 取悦投资者 > 将所有人都利润榨干归自己所有）之外，他还谈到互联网公司的垄断问题：
至于操作法律那一步，相信最近 Meta 游说加州的 AB 1043 法律是很好的例子；我认为其在中国的等价做法是被政府收编以及滥用律师函和诉讼，你们脑中可能已经浮现南山必胜客和华而不实为所欲为的丰功伟绩了，还有微信最近经典的「不让用户读取聊天记录是为了用户的安全」然后下架所有项目，就是 Cory 说的「还把我们任何自卫的举动都定为犯罪」
放纵这些企业的垄断行为对整个互联网和全社会的自由和发展都有害；推进立法改革的同时，多用点 fediverse 和 self-host 吧，也可以去逆向一下自家的智能家居添加开源 Home Assistant 支持
还记得 19 年左右的时候我下决心删了微信，以砍掉了之前所有的人脉为代价跳出了这个对我控制最深的平台，现在仅使用 self-host 的 E2EE 服务和家人沟通；我不指望所有人都有能和我一样的条件和魄力去这么做，但我还是想说这并非不可能完成，虽然我切断了和一些同学和老朋友的联系，但现在和家人聊天再也不用担心审查问题，而且我在更开放的平台上也还是结识了更多的人，说不定还包括正在读这条推文的你，我认为这是我做出最好的决定之一，让我夜里得以安眠
https://www.youtube.com/watch?v=rimtaSgGz_4
作者之前的经典文章：
https://pluralistic.net/2023/01/21/potemkin-ai/
除了深度地介绍这些公司变💩的经典步骤（取悦用户 > 取悦投资者 > 将所有人都利润榨干归自己所有）之外，他还谈到互联网公司的垄断问题：
他们只需要砸钱就能称霸市场，把竞争对手一个个吞并，直到他们有了足够的资金和统一的意志去操控法律，让自己可以肆无忌惮地压榨我们，还把我们任何自卫的举动（逆向工程、爬虫抓取数据）都定为犯罪。
至于操作法律那一步，相信最近 Meta 游说加州的 AB 1043 法律是很好的例子；我认为其在中国的等价做法是被政府收编以及滥用律师函和诉讼，你们脑中可能已经浮现南山必胜客和华而不实为所欲为的丰功伟绩了，还有微信最近经典的「不让用户读取聊天记录是为了用户的安全」然后下架所有项目，就是 Cory 说的「还把我们任何自卫的举动都定为犯罪」
放纵这些企业的垄断行为对整个互联网和全社会的自由和发展都有害；推进立法改革的同时，多用点 fediverse 和 self-host 吧，也可以去逆向一下自家的智能家居添加开源 Home Assistant 支持
还记得 19 年左右的时候我下决心删了微信，以砍掉了之前所有的人脉为代价跳出了这个对我控制最深的平台，现在仅使用 self-host 的 E2EE 服务和家人沟通；我不指望所有人都有能和我一样的条件和魄力去这么做，但我还是想说这并非不可能完成，虽然我切断了和一些同学和老朋友的联系，但现在和家人聊天再也不用担心审查问题，而且我在更开放的平台上也还是结识了更多的人，说不定还包括正在读这条推文的你，我认为这是我做出最好的决定之一，让我夜里得以安眠
YouTube
DEF CON 31 - An Audacious Plan to Halt the Internet's Ensh*ttification - Cory Doctorow
The enshittification of the internet follows a predictable trajectory: first, platforms are good to their users; then they abuse their users to make things better for their business customers; finally, they abuse those business customers to claw back all…
👍3