今天abc看了啥🤔
- 赋能：把自己不想干的活甩给下游团队，美其名曰给对方提供资源支持
拉通：拉上8个无关的部门开2小时会，最后谁也不用拍板担责
复盘：项目搞砸了但没人愿意背锅，大家坐在一起互相甩锅走个过场
沉淀：把去年写过的PPT改改日期，换个封面就当新产出存档
赛道：老板突然想跟风凑热闹，随便选个热门领域就想往里砸钱
生态：啥业务都想掺一脚，最后啥也没做成，PPT上画满互相连接的圆圈
打法：把网上抄来的别人的成功案例，改改名字就当成自己的创新策略
迭代：上次做的东西没做完，这次接着改改，就敢叫“版本升级”
痛点/痒点/爽点：根本没搞懂用户要啥，随便找三个词凑成方案里的三点框架
链路：把从用户点进来到最后付钱的3步流程，硬拆成7个环节显得很专业
落地：别光在PPT上吹了，赶紧把活干了，不然月底没法交差
闭环：把之前没做完的烂尾项目，随便补个收尾动作，就敢说流程跑通了
对齐：大家把各自手里的信息对一遍，别到时候说的不一样露馅了
灰度发布：新版本没测完就敢上线，先放1%用户踩坑，出问题赶紧偷偷改
DAU：今天打开过APP的人，哪怕只点开看了1秒就算一个活跃用户
ROI：算一算我们砸进去这么多钱，最后到底亏了多少
抓手：实在找不到核心突破口，随便抓个小事就当项目核心切入点
用户触点：用户能接触到我们的所有地方，说白了就是加了30个客户微信 
- 什么叫你们租了台舞萌放在算法竞赛赛场给选手玩？
后面的 ICPC logo 好幽怨啊。
诶对了，今年 ICPC 决胜曲是哪首来着？ - 我发现最近最搞笑的一件事是：
那几个利用 CVE 获取临时 Root 的方案，到现在也还没有被手机厂商的安全扫描拦住，处于一个随便装甚至风险提示都没有的状态。
Nu1L Team：关于暂停N1CTF的决定在今年阿里CTF决赛现场，我们看到了SOLO CTF中，二进制选手率先通过GPT拿到Web题目的1血，那个时候，传统CTF赛事或许已经走向了终点。
https://mp.weixin.qq.com/s/WdmpT2n2kL_sPZLxe_QBkQ- CVE-2026-83844: Remote Code Execution in Microsoft Paint.
哦 哦 哦？ - UU 远程终于
- 【緊急安全預警】關於 OpenSSH（musl libc 環境）密碼驗證繞過高危漏洞的風險提示
發佈時間：2026 年 11 月 5 日
級別：CRITICAL（極高危）
尊敬的 VPS.Town 用戶：
近日安全研究人員公開披露（https://sshhole.com/），在使用 musl libc 的 Linux 系統上（如 Alpine Linux、Buildroot、Yocto，以及大量基於 Alpine 的 Docker 映像），若 OpenSSH 未啟用 PAM，攻擊者可繞過密碼驗證登入「本不應接受密碼登入」的帳號。OpenSSH 官方已於今日發佈 10.6p2 版本修復此問題。
此漏洞自 2016 年起潛伏近十年，且利用方式極為簡單，請受影響用戶立即處理。
風險摘要
觸發條件（需同時符合）：
系統使用 musl libc（Alpine Linux 等）；sshd 未使用 PAM（Alpine 的 openssh-server 預設即未啟用）；SSH 密碼登入處於開啟狀態（預設開啟）；系統中存在密碼欄位為 * 的帳號（如僅用金鑰登入的帳號、LDAP 帳號、Alpine 的 root），且另有至少一個設有真實密碼的帳號。
危害後果：上述 * 帳號將接受任意長度介於 257 至 1024 字元的密碼，攻擊者可直接登入。在 Alpine 官方 AWS / Azure 映像中，預設的 alpine 帳號具備免密碼 doas 權限，等同直接取得 root 權限。
不受影響：Debian、Ubuntu、CentOS、Fedora 等使用 glibc 的系統；透過 PAM 驗證密碼的系統；使用 Dropbear 的系統（如多數 OpenWrt 預設環境）。
緊急處置措施
立即升級 OpenSSH（最高優先級）apk update && apk upgrade openssh
rc-service sshd restart
升級後請以 ssh -V 確認版本為 10.6p2 或更新（或 Alpine 對應的已修補套件版本）。
若暫時無法升級，請立即關閉密碼登入echo "PasswordAuthentication no" > /etc/ssh/sshd_config.d/00-no-passwords.conf
rc-service sshd restart
請先確認已可使用 SSH 金鑰登入，避免將自己鎖在伺服器外。若您的 VPS 無法使用金鑰，可透過控制面板的 VNC 主控台操作。
限制 SSH 對公網開放
建議在安全組或防火牆中將 22 埠限制為指定 IP 存取，或改經 WireGuard / Tailscale 等 VPN 連線。
自我檢查方式
確認是否為 musl 系統：ls /lib/ld-musl*（有輸出即為 musl）
確認 sshd 設定：sshd -T | grep -Ei 'usepam|passwordauthentication'
列出密碼欄位為 * 的帳號：awk -F: '$2=="*" {print $1}' /etc/shadow
檢查是否已遭入侵：grep "Accepted password" /var/log/messages
若發現「僅限金鑰登入」的帳號出現密碼登入成功記錄，代表主機很可能已失陷。請立即備份重要資料、重裝系統，並更換所有相關憑證與金鑰。
平台合規提醒
VPS.Town 已加強對實例出站流量的異常審計。若您的實例因此漏洞遭入侵並被用於對外攻擊、掃描或挖礦，我們將依規則暫時隔離網路連線，以保障整體網路穩定。如需協助，請透過工單與我們聯繫。請各位站長盡快完成加固！
VPS.Town
2026.11.05Sshhole*sshole · sshhole.comopenssh on musl linux has been letting people into password-less accounts since 2016. - 小知识: 淘宝 app 的商品详情页和订单页面有全屏数字盲水印。
水印与账号有关联，客户端使用 encrypted uid 向服务端请求水印模板后缓存于/data/data/com.taobao.taobao/files/wmp/<imgCode>.png
该水印模板为 320x320 黑白灰三色半透明纹理贴图。
以上基于 10.68.0.601 Android 客户端测试。
登录了淘宝账号的用户可以试试打开商品详情页截图然后使用在线盲水印检测工具测试一下。 - 《胜利女神：妮姬》PC 客户端遭供应链投毒，可能窃取密码、密钥和加密货币钱包
https://www.appinn.com/nikke-pc-launcher-supply-chain-attack-2/
《胜利女神：妮姬》国际服 PC 客户端遭遇供应链投毒攻击。黑客篡改了游戏启动器从官方 CDN 加载的 JavaScript 文件，导致玩家正常启动游戏时，就可能在不知情的情况下运行远程控制木马。小众软件
《胜利女神：妮姬》PC 客户端遭供应链投毒，可能窃取密码、密钥和加密货币钱包 - 小众软件《胜利女神：妮姬》（Goddess of Victory: NIKKE）国际服 PC 客户端遭遇供应链投毒攻击。黑客篡改了游戏启动器从官方 CDN 加载的 JavaScript 文件，导致玩家正常启动游戏时，就可能在不知情的情况下运行远程控制木马。
