即刻App年轻人的同好社区
下载
App内打开
JoeyBlue
65关注29被关注0夸夸
我也盘尼西林过敏
JoeyBlue
2月前
在做 PET CT的时候,机器把我推进去,圆筒形的上方正对眼睛的有个黑色的小窗口,我想看看是什么,看了半天没看出来是什么,瞟到旁边写了一行小字,“Do not stare at the beam”,操..
00
JoeyBlue
3月前
故事曲折离奇

Yachen: 刚读完了这两篇关于 xz-utils 包的供应链攻击说明,攻击者潜伏了三年,很精彩,只差一点点就可以往众多 Linux 发行版的 sshd 注入后门,可用于绕过密钥验证,后果不堪设想。 概括: 1. 攻击者 JiaT75 (Jia Tan) 于 2021 年注册了 GitHub 账号,之后积极参与 xz 项目的维护,并逐渐获取信任,获得了直接 commit 代码的权利。 2. JiaT75 在最近几个月的一次 commit 中,悄悄加入了 bad-3-corrupt_lzma2.xz 和 good-large_compressed.lzma 两个看起来人畜无害的测试用二进制数据,然而在编译脚本中,在特定条件下会从这两个文件中读取内容对编译结果进行修改,致使编译结果和公开的源代码不一致。 3. 目前初步的研究显示,注入的代码会使用 glibc 的 IFUNC 去 Hook OpenSSH 的 RSA_public_decrypt 函数,致使攻击者可以通过构造特定的验证数据绕过 RSA 签名验证。(具体细节还在分析中) 4. 只要是同时使用了 liblzma 和 OpenSSH 的程序就会受到影响,最直接的目标就是 sshd,使得攻击者可以构造特定请求,绕过密钥验证远程访问。 5. 受影响的 xz-utils 包已经被并入 Debian testing 中进行测试,攻击者同时也在尝试并入 fedora 和 ubuntu。 6. 不幸运的是,注入的代码似乎存在某种 Bug,导致特定情况下 sshd 的 CPU 占用飙升。被一位安全研究人员注意到了,顺藤摸瓜发现了这个阴谋并报告给 oss-security,致使此事败漏。 如果不是因为这个 Bug,那么这么后门有不低的概率被并入主流发行版的 stable 版本,恐怕会是一件前所未有的重大安全事件。 另外从一些细节能看出来攻击者非常用心: 1. 攻击者抢在 ubuntu beta freeze 的几天前才尝试让新版本并入,以期望减少在测试期间被发现的时间。 2. xz-utils 项目的原维护者 Lasse Collin (Larhzu),有着定期进行 internet breaks 的习惯,而且最近正在进行,导致这些变动他并没有 review 的机会,即使到现在也没能联系上他本人。这可能也是攻击者选定 xz-utils 项目的原因之一。 更多的细节还在被分析中,目前 GitHub 已经关停了整个 xz 项目。 参考来源: https://boehs.org/node/everything-i-know-about-the-xz-backdoor https://gist.github.com/thesamesam/223949d5a074ebc3dce9ee78baad9e27

00
JoeyBlue
4月前
Messi 这种事儿,说白了屁大点事儿,这都能上升到gj层面,都能和爱国扯上关系,真服。
00
JoeyBlue
6月前
基本都是因为 乐夏 听的 坏蛋调频
00
JoeyBlue
9月前
背后有不少故事啊
00
JoeyBlue
10月前
riff 好听,原作歌词也很棒 「背起行囊我要去远远方,远的可以把过去遗忘。」

分享八仙饭店的单曲《单身旅记 (Live)》163cn.tv (@网易云音乐)
00
JoeyBlue
10月前
一瓶500ml 53度(酒精度53%)的茅台价格是2000元左右,一杯酱香拿铁也按500ml近似来算,酒精度不超过0.5%,按0.53%来算,大概放了 1/100瓶的茅台,也就是5ml的茅台酒,价值20块钱左右。我严重怀疑不会有这么多,毕竟优惠完才18一杯,所以距离吹出酒驾还差一截
180
JoeyBlue
12月前
前天突然空调不制冷了,叫过来维修的一看,说空调外机因为过热保护停机了,尼玛...
00