为了应对运营商考核上下行比率，PT玩家狂刷下载量
为了打击类似于使用家宽做 PCDN 的行为，中国运营商开始对上行流量较大的用户进行检查，其中一个重要指标就是上传/下载比率，当上传远超下载的时候，运营商就会电话联系用户，甚至要求线下检查。这项政策导致在家运行 PCDN 或者 PT 玩家受到了影响，为了避免检查，他们需要提高他们的下载流量，以便降低上行/下载比率。
GitHub 用户名为@thank243的用户修改出了trafficConsume(已删库)，并发布于恩山无线论坛基于 Bittorrent 网络的流量消耗器，目前此贴拥有 108 个回复并带有“火”标志，回复中大部分人表示“感谢楼主分享，非常有用”。
此软件简单易用、跨平台，彰显了开发者优秀的技术和恶意软件制作能力，其本人介绍为“下载直接运行即可，不需要特殊设置。支持 Windows ，Linux 及 macOS 系统以及 ARM 芯片。”
—— V2EX studyingss
为了打击类似于使用家宽做 PCDN 的行为，中国运营商开始对上行流量较大的用户进行检查，其中一个重要指标就是上传/下载比率，当上传远超下载的时候，运营商就会电话联系用户，甚至要求线下检查。这项政策导致在家运行 PCDN 或者 PT 玩家受到了影响，为了避免检查，他们需要提高他们的下载流量，以便降低上行/下载比率。
GitHub 用户名为@thank243的用户修改出了trafficConsume(已删库)，并发布于恩山无线论坛基于 Bittorrent 网络的流量消耗器，目前此贴拥有 108 个回复并带有“火”标志，回复中大部分人表示“感谢楼主分享，非常有用”。
此软件简单易用、跨平台，彰显了开发者优秀的技术和恶意软件制作能力，其本人介绍为“下载直接运行即可，不需要特殊设置。支持 Windows ，Linux 及 macOS 系统以及 ARM 芯片。”
—— V2EX studyingss
来自频道: @lover_links
Jupiter 上的下一个可能上架的项目 Sharky 的Zealy任务，今天发空投是 Zeus Network 🥑
https://zealy.io/cw/sharky/invite/Tq2XWDs-nqMji3lgfU0eu
https://zealy.io/cw/sharky/invite/Tq2XWDs-nqMji3lgfU0eu
来自频道: @lover_links
🛞 Elmo：开箱即用的 AI Chrome 拓展
🔗 Web | Chrome Web Store
ℹ️ 关于 Elmo
- 由原阿里巴巴技术副总裁 贾扬清 创立的 Lepton AI 团队打造的一款 Chrome 拓展；
- 完全免费，无需账号，开箱即用。「Elmo 是你的 AI 网络助手，帮助你提取总结、发掘洞见，并拓展你的知识」。
✨ 功能亮点
- 快速总结网页内容并生成要点，适合需要快速获取信息或者大致了解主题的用户；
- 针对当前网页内容提出问题并获取答案，节省搜索资料所花费的时间和精力；
- 无需离开当前页面，从网络上抓取与关键词相关的信息并无缝融入到你的浏览体验中；
- 把 PDF 或者 YouTube 当成 Chatbot 一样进行提问对话，让你在处理大量文本或者理解晦涩视频时更加轻松；
- 除此之外，Elmo 还支持翻译、改写等功能。
👀 我的看法
在一则 推文 中，Lepton AI 团队的创始人吕扬清提到创建 Elmo 的缘由：「因为我们深信开源模型的力量至今仍被严重低估。Elmo 完全建立在开源 LLM 的基础上，如果使用得当，开源模型能够提高出乎意料的优秀性能，并且可高度自定义——这对于企业来说是非常有帮助的」。从这个角度上来说，Elmo 跟 Lepton AI、ChatGPT 跟 OpenAI 的关系颇为相似。如果你正在寻找一款开箱即用、完全免费的 AI 拓展，那么不妨来试试 Elmo。
P.S. 由于 Elmo 运行在浏览器的侧边栏（sidepanel）中，而 Arc 浏览器目前还不支持侧边栏 API，因此使用 Arc 浏览器的用户暂时无法体验 Elmo。
📁 本文首发于 Humanitech 频道，图文版见 小红书。
来自频道: @lover_links
安卓上的第三方启动器 Lawnchair 于今日在其官方频道宣布推出 Lawnchair 14。新版本基于 Android 14 的 Launcher3，此更新版本的主要亮点包括，例如无需 Root 权限的全新“全局搜索”、隐藏主屏幕 Dock 栏的功能、对 Android 10 至 14 的 QuickSwitch 支持等等。
—— Lawnchair 频道
来自频道: @lover_links
https://ton.app/
TON App
TON App — dApps and apps on The Open Network Blockchain
Explore TON Ecosystem and find what you need: NFT marketplaces, DEXes, Toncoin wallets, games and more.
来自频道: @lover_links
挖小草 https://app.getgrass.io/register/?referralCode=WMn8Hz3pJSEm8in
Grass
Grass: Track Your Rewards
Keep tabs on your earnings, uptime, and referrals. The Grass dashboard makes it easy to track how much you're making by renting out your unused internet.
来自频道: @lover_links
https://sshx.io/
sshx.io
sshx · share collaborative terminals
Fast, collaborative live terminals in the browser, with real-time chat, cursors, and activity tracking.
来自频道: @lover_links
#tools #PKM 🤷♂️可以下载 240 万本非小说类书籍、8000 万篇科学杂志文章、200 万份漫画文件、220 万本小说书籍和 40 万期杂志的bot 。 https://t.me/bookdownbot
来自频道: @lover_links
TLDR:
刚读完了这两篇关于 xz-utils 包的供应链攻击说明，攻击者潜伏了三年，很精彩，只差一点点就可以往众多 Linux 发行版的 sshd 注入后门，可用于绕过密钥验证，后果不堪设想。
概括：
1. 攻击者 JiaT75 (Jia Tan) 于 2021 年注册了 GitHub 账号，之后积极参与 xz 项目的维护，并逐渐获取信任，获得了直接 commit 代码的权利。
2. JiaT75 在最近几个月的一次 commit 中，悄悄加入了 bad-3-corrupt_lzma2.xz 和 good-large_compressed.lzma 两个看起来人畜无害的测试用二进制数据，然而在编译脚本（注1）中，在特定条件下会从这两个文件中读取内容对编译结果进行修改，致使编译结果和公开的源代码不一致。
3. 目前初步的研究显示，注入的代码会使用 glibc 的 IFUNC 去 Hook OpenSSH 的 RSA_public_decrypt 函数，致使攻击者可以通过构造特定的验证数据绕过 RSA 签名验证。（具体细节还在分析中）
4. 只要是同时使用了 liblzma 和 OpenSSH 的程序就会受到影响，最直接的目标就是 sshd（注2），使得攻击者可以构造特定请求，绕过密钥验证远程访问。
5. 受影响的 xz-utils 包已经被并入 Debian testing 中进行测试，攻击者同时也在尝试并入 fedora 和 ubuntu。
6. 幸运的是，注入的代码似乎存在某种 Bug，导致特定情况下 sshd 的 CPU 占用飙升。被一位安全研究人员（注3）注意到了，顺藤摸瓜发现了这个阴谋并报告给 oss-security，致使此事败漏。
如果不是因为这个 Bug，那么这么后门有不低的概率被并入主流发行版的 stable 版本，恐怕会是一件前所未有的重大安全事件。
另外从一些细节能看出来攻击者非常用心：
1. 攻击者抢在 ubuntu beta freeze 的几天前才尝试让新版本并入，以期望减少在测试期间被发现的时间。
2. xz-utils 项目的原维护者 Lasse Collin (Larhzu)，有着定期进行 internet breaks 的习惯，而且最近正在进行，导致这些变动他并没有 review 的机会，即使到现在也没能联系上他本人。这可能也是攻击者选定 xz-utils 项目的原因之一。
更多的细节还在被分析中，目前 GitHub 已经关停了整个 xz 项目。
https://x.com/Blankwonder/status/1773921956615877110?s=20
注1：仓库中的构建脚本没有问题，但是随新版本发布的源代码打包（tarball）中的构建脚本中添加了对后门的利用。这导致直接使用源代码包的用户构建了带有后门的程序。
注2：据其他来源，受影响的 sshd 是 Debian 和 Ubuntu 等系统经过修改后支持 systemd notification 的版本。xz 是 systemd 的依赖，不是 sshd 的直接依赖。
注3：这个人似乎并不是安全研究人员。参见：https://www.openwall.com/lists/oss-security/2024/03/29/4
完整上下文事件链接另见：https://t.me/CE_Observe/32247
刚读完了这两篇关于 xz-utils 包的供应链攻击说明，攻击者潜伏了三年，很精彩，只差一点点就可以往众多 Linux 发行版的 sshd 注入后门，可用于绕过密钥验证，后果不堪设想。
概括：
1. 攻击者 JiaT75 (Jia Tan) 于 2021 年注册了 GitHub 账号，之后积极参与 xz 项目的维护，并逐渐获取信任，获得了直接 commit 代码的权利。
2. JiaT75 在最近几个月的一次 commit 中，悄悄加入了 bad-3-corrupt_lzma2.xz 和 good-large_compressed.lzma 两个看起来人畜无害的测试用二进制数据，然而在编译脚本（注1）中，在特定条件下会从这两个文件中读取内容对编译结果进行修改，致使编译结果和公开的源代码不一致。
3. 目前初步的研究显示，注入的代码会使用 glibc 的 IFUNC 去 Hook OpenSSH 的 RSA_public_decrypt 函数，致使攻击者可以通过构造特定的验证数据绕过 RSA 签名验证。（具体细节还在分析中）
4. 只要是同时使用了 liblzma 和 OpenSSH 的程序就会受到影响，最直接的目标就是 sshd（注2），使得攻击者可以构造特定请求，绕过密钥验证远程访问。
5. 受影响的 xz-utils 包已经被并入 Debian testing 中进行测试，攻击者同时也在尝试并入 fedora 和 ubuntu。
6. 幸运的是，注入的代码似乎存在某种 Bug，导致特定情况下 sshd 的 CPU 占用飙升。被一位安全研究人员（注3）注意到了，顺藤摸瓜发现了这个阴谋并报告给 oss-security，致使此事败漏。
如果不是因为这个 Bug，那么这么后门有不低的概率被并入主流发行版的 stable 版本，恐怕会是一件前所未有的重大安全事件。
另外从一些细节能看出来攻击者非常用心：
1. 攻击者抢在 ubuntu beta freeze 的几天前才尝试让新版本并入，以期望减少在测试期间被发现的时间。
2. xz-utils 项目的原维护者 Lasse Collin (Larhzu)，有着定期进行 internet breaks 的习惯，而且最近正在进行，导致这些变动他并没有 review 的机会，即使到现在也没能联系上他本人。这可能也是攻击者选定 xz-utils 项目的原因之一。
更多的细节还在被分析中，目前 GitHub 已经关停了整个 xz 项目。
https://x.com/Blankwonder/status/1773921956615877110?s=20
注1：仓库中的构建脚本没有问题，但是随新版本发布的源代码打包（tarball）中的构建脚本中添加了对后门的利用。这导致直接使用源代码包的用户构建了带有后门的程序。
注2：据其他来源，受影响的 sshd 是 Debian 和 Ubuntu 等系统经过修改后支持 systemd notification 的版本。xz 是 systemd 的依赖，不是 sshd 的直接依赖。
注3：这个人似乎并不是安全研究人员。参见：https://www.openwall.com/lists/oss-security/2024/03/29/4
完整上下文事件链接另见：https://t.me/CE_Observe/32247
来自频道: @lover_links
如何忆苦思甜：
最近在社交媒体上看到有男性去体验分娩疼痛，在肚子上贴几个电极，通电模拟分娩的阵痛，曰切身体会女性生产的艰难。天下可能很少见比这更可笑的活动了。哗众取宠、装腔作态，在欢快的空气中达成自我感动。
对此有人认为这种程度的模拟根本比不了女人实际生产的痛苦。但我想到以前有种颇为流行的活动叫「吃忆苦餐」。一群人聚在一起吃烂菜叶子米糠草根之类的东西，边吃边感慨万恶的旧社会人民生活多么苦。但是，烂菜叶子要吃多少斤才能体会到旧中国人民的苦呢？我建议各位不要再去吃忆苦餐了，伤胃又伤脑。真的想了解旧社会的苦，去多看几本历史书吧，甚至小说也行。
最近在社交媒体上看到有男性去体验分娩疼痛，在肚子上贴几个电极，通电模拟分娩的阵痛，曰切身体会女性生产的艰难。天下可能很少见比这更可笑的活动了。哗众取宠、装腔作态，在欢快的空气中达成自我感动。
对此有人认为这种程度的模拟根本比不了女人实际生产的痛苦。但我想到以前有种颇为流行的活动叫「吃忆苦餐」。一群人聚在一起吃烂菜叶子米糠草根之类的东西，边吃边感慨万恶的旧社会人民生活多么苦。但是，烂菜叶子要吃多少斤才能体会到旧中国人民的苦呢？我建议各位不要再去吃忆苦餐了，伤胃又伤脑。真的想了解旧社会的苦，去多看几本历史书吧，甚至小说也行。
来自频道: @lover_links
Gmail 诞生二十周年
2024-03-30 23:52 by 科玛
二十年前的愚人节，Google 宣布了 Gmail，在一个只有几十 MB 邮件空间且收费的时代提供 1GB 容量的免费电邮服务。Gmail 彻底改变了电邮服务，如今它的用户数多达 12 亿，约占全球总人口的七分之一。但在社媒和消息应用主导在线交流的时代，Gmail 不再是我们生活的中心，它已经边缘化了，Gmail 以及其代表的电邮可能成为了过去式。用户对 Gmail 最初的印象可能是其巨大的可用容量，你不再需要删除邮件了。对 Google 而言，大量的邮件代表着可靠的搜索对用户是必不可少的。
https://www.theverge.com/24113616/gmail-email-20-years-old-internet
#Google
2024-03-30 23:52 by 科玛
二十年前的愚人节，Google 宣布了 Gmail，在一个只有几十 MB 邮件空间且收费的时代提供 1GB 容量的免费电邮服务。Gmail 彻底改变了电邮服务，如今它的用户数多达 12 亿，约占全球总人口的七分之一。但在社媒和消息应用主导在线交流的时代，Gmail 不再是我们生活的中心，它已经边缘化了，Gmail 以及其代表的电邮可能成为了过去式。用户对 Gmail 最初的印象可能是其巨大的可用容量，你不再需要删除邮件了。对 Google 而言，大量的邮件代表着可靠的搜索对用户是必不可少的。
https://www.theverge.com/24113616/gmail-email-20-years-old-internet
来自频道: @lover_links
UpRock App 更新之后支持暗黑模式和两步验证了。https://link.uprock.com/i/ec3ae602
UpRock
Super-charge your passive income and save time and money with UpRock's AI-powered deals
来自频道: @lover_links