有一种相当常见的安全漏洞报告形式：”我可以在 PDF 文件中放入 JavaScript，而且它还能运行！”
它是由 XZ 的共同维护者 “Jia Tan”（可能是不明身份者的别名）引入的。该后门是一种复杂的攻击，包含从 build 、link 到 run 的多个阶段。
刚刚过去的周末里，一则“大多数 Linux 发行版中存在的压缩工具 XZ Utils 已被其维护者设置后门”的消息震惊了整个开源社区
一位 Fedora 的贡献者称，Jia 一直在推动将其纳入 Fedora，因为它包含了 “很棒的新功能”。在测试版冻结前几天，Jia Tan 也曾试图将其纳入 Ubuntu。
在广泛使用的 xz 数据压缩工具和 liblzma 库的最新版本中发现了一个严重的安全漏洞。
为流行的 Linux 图形环境安装 “Gray Layout “主题后不久，系统开始出现异常，然后提示输入 root 密码。他们意识到情况不对，于是拒绝了，但此时已经太晚了，因为他们主目录中的所有个人文件都被删除了。
这个未注明的功能让 MacOS 上使用 curl 进行 CA 证书验证变得完全不可靠，而且与文档不符。它欺骗了用户。
贾斯汀和我立即向谷歌报告了这一漏洞，我们最终获得了 20,000 美元的赏金，并额外获得了 1,337 美元的赏金，获得了本次活动最酷漏洞奖的第三名！
这也许就是ONCD报告让人感觉如此错误的原因，因为它既没有包含过去的教训，也没有包含那些编写代码以维持社会运转的人的来之不易的经验。
如果对 C 语言程序员进行淘汰，让大多数程序员（甚至是 90% 的程序员）转而学习 Rust 或其他语言，那么剩下的 10% 程序员就会成为拥有卓越技能的程序员，从而大大提高 C 语言代码的整体质量。
曝光：Android恶意应用巧妙伪装，谷歌紧急出手修复漏洞
在关键时刻，两步验证还是挺好用的
Google 工程师表示：目前 Chrome 代码库中所有严重的安全漏洞，70% 是内存管理的安全漏洞，其中 50% 的内存漏洞是 use-after-free 漏洞，因为对内存指针的错误管理，给予了攻击者攻击 Chrome 内部组件的机会。
这里证明这个函数会识别一个规则就是遇到类似/../这种结构时，会将第一个斜线前面的内容当作一个目录名来处理。这里也就是说分号、斜线这种是可以在这个函数中逃逸出来的。
在网页中使用链接时，如果想要让浏览器自动在新的标签页打开指定的地址，通常的做法就是在 a 标签上添加 target等于”_blank” 属性。然而，就是这个属性，为钓鱼攻击者带来了可乘之机。
好了言归正传，事情是这样的这两天暂(wu)时(jia)借(ke)宿(gui)在一个朋友家，他最近在自学php，我就是嘴贱跟他提了一嘴metinfo之前的一个getshell漏洞,结果非要缠着我让我演示一下怎么通过web得到目标权限…..哎算了算了，就当普及了一下安全知识把
之前，我从没参加过GitHub官方的一些漏洞众测项目，在HackerOne发起的HackTheWorld比赛中，主办方宣传除了赏金以外，还有机会获得Github提供的终身无限制私有库（unlimited private repositories）使用权，这激发了我的挖洞兴趣。
文章内容很简单，但是还是想分享一波，送给向我一样的孩子。
原本，EOS打算6月1日上线，但就在这临门一脚的时候，被360的 Vulcan（伏尔甘）团队曝出“史诗级”漏洞。
正当我苦苦思索如何绕过谷歌安全限制时，我就想“能不能问问谷歌自己如何绕过它自己的限制呢？”，hahahaha，谷歌一下啊。于是，我就用谷歌搜索了大量“绕过谷歌IP限制的方法”，有一篇路径为/blog/forum/comments的文章中透露
漏洞描述：WebLogic WLS组件中存在CVE-2017-10271远程代码执行漏洞，可以构造请求对运行WebLogic中间件的主机进行攻击，近期发现此漏洞的利用方式为传播挖矿程序。
从Equifax官方发布的网络安全事件更新公告中可以确认，引起此次数据泄露的原因是Web框架Apache Struts的一个漏洞（CVE-2017-5638）。CVE-2017-5638是一个RCE的远程代码执行漏洞，最初是被安恒信息的Nike Zheng发现的，并于3月7日上报。这个漏洞被官方鉴定为严重级别，同时，在披露的当天，Apache 也发布了新的Struts版本进行修复
经 过“Heartbleed”（心脏出血）漏洞的洗礼后，SSL安全问题就一直牵动着国内安全研究者的神经，昨天SSLv3漏洞新闻一出，差点又乱作一团 （有企业小伙伴跟乌云君说差点准备红牛泡面准备加班了）。
应该还能用
【外评】谷歌：从源头消除内存安全漏洞
【外评】在 RiSC-V 上运行《巫师 3》游戏
【外评】法官驳回大部分 GitHub Copilot 版权索赔要求
谷歌内部推出 SQL 中的管道(Pipe)语法
你们干扰不了我写开源代码
【外评】FreeBSD 将 Rust 纳入基本系统
【外评】电脑从哪里获取时间？
【外评】为什么 Stack Overflow 正在消失？
有时
