Skip to main content

今天abc看了啥🤔

今天abc看了啥🤔
现在我也不知道这频道发了啥了，各位慢慢吃瓜，将就着看

联系我请去 @abc1763613206

友链儿
@cyberElaina
@rvalue_daily
@billchenla

  4. zrj766的频道
    微信即日起限制元宝的领红包分享链接，以春节为主题集中爆发的过度营销、诱导分享等违规行为进行打击。 https://mp.weixin.qq.com/s/wp_OApEpuunziMbU7Xv77w
    经典再回顾：
    据第一财经，今天召开的腾讯年会上，腾讯董事会主席马化腾提及 AI 应用元宝即将展开的春节分 10 亿元现金活动，表示希望重现当年微信红包的盛况。

    https://www.ithome.com/0/916/440.htm
    Ithome
    马化腾：希望腾讯元宝“春节分 10 亿”活动能重现当年微信红包盛况 - IT之家
    据第一财经，今天召开的腾讯年会上，腾讯董事会主席马化腾提及 AI 应用元宝即将展开的春节分 10 亿元现金活动，表示希望重现当年微信红包的盛况。马化腾称，元宝要做社交类产品“元宝派”，而该项目本来是“绝密”

  6. Cloudflare R2 的本地上传（Local Uploads）功能现已开放公测，该功能可在跨区域上传时将对象数据先写入离客户端最近的本地存储区域（元数据仍然存放在存储桶所在的区域），从而大幅度降低跨区域上传请求的总耗时。
    https://blog.cloudflare.com/r2-local-uploads/
    The Cloudflare Blog
    Improve global upload performance with R2 Local Uploads
    Improve global upload performance with R2 Local Uploads
    Local Uploads on R2 reduces request duration for uploads by up to 75%. It writes object data to a nearby location and asynchronously copies it to your bucket, all while data is available immediately.

  8. Forwarded from Save The Web Project
    https://www.wiz.io/blog/exposed-moltbook-database-reveals-millions-of-api-keys

    连人类都不知道怎么正确设置 PostgreSQL RLS，更别说 AI 乐。

    以后大家如果看到有互联网新产品用了 Supabase ，去探索探索 API，极高概率能爆出任意写。
    wiz.io
    Hacking Moltbook: AI Social Network Reveals 1.5M API Keys | Wiz Blog
    Hacking Moltbook: AI Social Network Reveals 1.5M API Keys | Wiz Blog
    Learn how a misconfigured Supabase database at Moltbook exposed 1.5M API keys, private messages, and user emails, enabling full AI agent takeover.

  11. https://t.me/kenvixmeow/42
    Telegram
    Kenvix喵的活动日报
    实现带有Nvidia GPU+Rootless Podman+Docker+Systemd+自动驱动注入支持的nspawn容器

    在AI计算集群等场景中，系统级容器的稳定部署、GPU资源高效透传及多容器运行时兼容是核心需求，传统容器方案要么无法良好支持systemd服务管理，要么GPU透传配置复杂、需在容器内重复安装驱动，且难以兼顾Rootless Podman与Docker的二级容器运行需求。本文针对这一现状，详细阐述一套集成Nvidia GPU透传、自动驱动注入、systemd-nspawn容器管理…

  12. Forwarded from 如有乐享
    前几天看到腾讯云一键部署OpenClaw，且支持接入QQ机器人。不过大家得注意一点：

    请大家注意，未经平台许可及安全评估，QQ机器人不得直接集成或接入AIGC服务，不得利用其生成和自动分发内容。对于违反上述规定的机器人，平台将依据违规程度进行处理。

  18. Forwarded from LoopDNS资讯播报
    关于飞牛系统（fnOS）无需认证远程代码执行漏洞链的复现

    经过分析与验证，我们已成功复现飞牛系统（fnOS）中的一个严重远程代码执行（RCE）漏洞链。该漏洞链允许攻击者在无需任何身份验证的情况下，远程获取设备的最高管理员（root）权限，从而完全控制设备。

    测试环境: FnOS 1.1.14

    我们成功复现的攻击链由以下四个关键漏洞构成：
    1. 漏洞一：路径穿越（任意文件读取）

    描述：系统的一个Web接口（/app-center-static/serviceicon/myapp/...）未能正确过滤用户输入的路径，允许攻击者读取服务器文件系统上的任意文件。
    在此攻击链中的作用：用于下载一个伪装成RSA私钥、但实际内嵌了硬编码AES密钥的文件 (/usr/trim/etc/rsa_private_key.pem)。这是整个攻击的起点。

    2. 漏洞二：硬编码的加密密钥

    描述：上述下载的文件中，在固定偏移量（100字节处）硬编码了一个32字节的AES主密钥（Root Key）。
    在此攻击链中的作用：为攻击者提供了“万能钥匙”。这是后续伪造合法用户凭证的核心要素。

    3. 漏洞三：认证绕过（通过伪造Token）

    描述：系统的WebSocket网关在验证用户身份时存在致命逻辑缺陷。它允许攻击者使用上述获取的AES主密钥，在本地凭空“创造”出一个服务器会认为是合法的临时token。
    在此攻击链中的作用：攻击者利用此漏洞，无需任何用户名和密码，即可伪造出一个“已登录”的管理员身份，从而有权调用需要高权限的API接口。

    4. 漏洞四：命令注入

    描述：在通过认证后，一个用于添加Docker镜像的API接口（appcgi.dockermgr.systemMirrorAdd）未能正确处理其url参数。
    在此攻击链中的作用：这是最终的执行环节。攻击者将恶意系统命令（如反弹Shell或下载执行脚本）注入到url参数中，服务器在处理该请求时会无条件执行这些命令
    Media is too big
    VIEW IN TELEGRAM

  19. Forwarded from 布丁的大杂烩餐厅ᕕ(◠ڼ◠)ᕗ
    选择你近期主要的收益来源：
    □国投白银
    □有色金属
    □航天商业
    ✅黄金ETF
    □元宝红包