👋 @LXDAO_Official Builder ｜ AI 降临派 ｜构建探索有意思的 AI × Web3 项目 ～
Joined October 2019
- Tweets527
- Following454
- Followers186
- Likes282
Keylen retweeted
安全研究员披露了潜伏整整十年的 OpenSSH 史诗级认证绕过漏洞（*sshole）：
在 Alpine Linux 等基于 musl libc 的系统上，面对一个被 “*” 锁定的无密码账号（比如 root 或仅密钥登录用户），攻击者只要输入任意超过 256 字符的长密码（如 300 个 A），就能直接以该身份登录成功。
荒诞的因果链条闭环了四十年：
1. 1980 年 Unix 将无密码账号的 shadow 哈希设为 “*”；
2. 2012 年 musl libc 为了防崩溃把 crypt() 失败返回值从 NULL 改成 “*”，同时为了防 DoS 把密码截断在 256 字节；
3. 2016 年 OpenSSH 为了防计时攻击引入借 salt 计算机制。
当长密码撞上 musl 的 256 字节上限，crypt() 失败返回 “*”，OpenSSH 拿着它与 shadow 里的 “*” 做字符串比对判定完全匹配，直接放行 root 登录。
漏洞技术报告：sshhole.com
突然想起郭德纲的相声，说于老爷子是大善人，其他地方管不着，但是他方圆十公里内不能有穷人，于是每天没事儿就出门找穷人，终于找到一个走投无路的穷人，这给他心疼的哟～于是跟手下人大喝一声：“快给他赶走，方圆十公里内，不得有穷人！！”
120
最近刷到这种故障推文，其实是把 Unicode 组合符号叠 #̰̰̰̰̰̰̰̰̰̰̰̰̰̰̰̰̰̰̰̰̃͂̃͂̃͂̃͂̃͂̃͂̃͂̃͂̃͂̃͂ 在 # 后面：话题标签负责变蓝，符号负责越界，产生的效果。
很多人好 #̰̰̰̰̰̰̰̰̰̰̰̰̰̰̰̰̰̰̰̰͂̃͂̃͂̃͂̃͂̃͂̃͂̃͂̃͂̃͂̃ 奇怎么做的，我做了个「故障推文」生成器，欢 #̰̰̰̰̰̰̰̰̰̰̰̰̰̰̰̰̰̰̰̰͂̃͂̃͂̃͂̃͂̃͂̃͂̃͂̃͂̃͂̃ 迎来折腾。
x-crack-preview.vercel.app/
昨天儿子的自行车到了，我在给他组装，他在一个人在一旁很投入的玩快递纸箱，这个纸箱似乎拥有某种魔力，一会儿变成城堡，一会儿是轮胎，一会儿是坦克，一会儿是机甲或者是其他什么毫不相干的东西.....他是那么投入跟确信这是一个神奇的纸箱，可以通过他口中随意喊出的咒语千变万化，并从中获取到无尽快乐。突然我很羡慕他，因为我只能看到一个该被丢进垃圾桶的纸箱。
2
2
157
Ledger 老牌硬件钱包也中招了？
🚨Specter：数百个 Ledger 用户钱包疑似被盗，损失超 8600 万美元
链上分析师 @SpecterAnalyst 发推表示，X 和 Reddit 上有 Ledger 用户报告钱包资产被盗。
其追踪被盗资金流入地址后发现，资金来自以太坊、TRON 和比特币等多条区块链上的数百个受害者钱包，损失总额超 8600 万美元。
1
83
我觉得这是一个标志性事件，在AI时代纯靠技术实现难度为护城河的商业模式，将会逐渐失去基本盘。
能被写出来的都不再是壁垒，开源大概率会变成默认选项，与软件配套的开发者生态与上下游插件会变成了更核心的战场。
This quoted post is unavailable.
20
震惊瘫坐！Opus5.5 是真的牛逼，以前的这种科普视频都是 PPT 模式的，动效音效都很拉，更别提速度感跟节奏感。而现在整体观感已经有了质的提升！
BTW 估计这种风格很快就会泛滥导致审美疲劳了吧
bilibili.com/video/BV1H8av6H…
46
