近日网络安全威胁和漏洞信息共享平台发布漏洞预警,公布了微软Windows Print Spooler远程代码执行漏洞的风险公告,漏洞CVE编号:CVE-2021-34527。
该漏洞影响范围十分广泛,服务器操作平台Windows Server 2008 R2、Windows Server 2012 R2、Windows Server 2016、Windows Server 2019、Windows Server Version 2004和消费者操作系统平台Windows RT 8.1、Windows 7、Windows 8.1、Windows 10都受此次漏洞影响。
Print Spooler是Windows系统中用于管理打印相关事务的服务,黑客可通过Windows Print Spooler打印机服务执行该漏洞,如操作不当,黑客可利用该漏洞以系统权限运行任意代码,然后可以安装程序,查看、修改或删除数据,或者创建拥有完全用户权限的新账户。
目前微软尚未针对该漏洞发布补丁,网络安全威胁和漏洞信息共享平台给出了临时解决方法:禁用Windows Print Spooler打印机服务或通过组策略禁用入站远程打印。

Cloudflare即将弃用的部分HTTP Header

关于 __cfduid Cookie标识即将弃用

从2021年3月31日,在世界标准时间15:00至23:00之间尝试临时删除 cfduid cookie
从2021年5月10日开始,Cloudflare将永久停止在所有HTTP响应上添加 Set-Cookie 设置该HTTP Header标识
最后的 __cfduid cookie将在此之后30天过期

关于移除 cf-request-id 标识

2020年中,Cloudflare引入了一个实验性的HTTP标头cf-request-id。此标头存在于发送给源的请求中,并在响应时返回。经过仔细评估,Cloudflare决定删除cf-request-id标头

cf-request-id现正式进入弃用状态,Cloudflare计划将于2021年6月15日世界标准时(UTC 0):15:00~23:00间进行临时测试移除 cf-request-id标头,在此时间之后,它将还存在一段时间,直到2021年7月1日将其完全移除,在7月1日之后,标头将不再出现在请求和响应中
如果您需要请求的标识符,建议使用CF-RAY标头

请注意限制服务器以及本地系统浏览器JS location请求。

https://twitter.com/jonasLyk/status/1347900440000811010

cd c:/:$i30:$bitma 可损坏Windows 10 NTFS磁盘分区

(目前尚未确认服务器系统NTFS是否重现此漏洞)

此路径在浏览器中访问同样可以损坏磁盘分区

谷歌浏览器打开以下链接也会导致蓝屏。
\.\globalroot\device\condrv\kernelconnect

警惕不明压缩包,以及访问不明网站,不明文档。请勿接收此类文件并打开运行。

Docker

由于Docker的官方默认源在海外,导致了腾讯云国内CVM(或轻量)使用Docker默认源拉取镜像速度不理想,甚至直接失败等问题,造成了不小的困扰。

解决方式很简单,我们可以使用腾讯云提供的docker镜像源加速:

https://mirror.ccs.tencentyun.com

一、适用于基于 Ubuntu 操作系统的实例:

1、执行以下命令,打开 /etc/default/docker 配置文件

vim /etc/default/docker

2、按 i 切换至编辑模式,添加以下内容,并保存

DOCKER_OPTS="--registry-mirror=https://mirror.ccs.tencentyun.com"

二、适用于基于 CentOS 操作系统的实例:

1、执行以下命令,打开 /etc/docker/daemon.json 配置文件

vim /etc/docker/daemon.json

2、按 i 切换至编辑模式,添加以下内容,并保存

{
	"registry-mirrors": [
		"https://mirror.ccs.tencentyun.com"
	]
}

Cloudflare Pages 发布Beta试用

-支持发布时分支预览
-支持与 GitHub 集成自动部署
-支持配置 Node.js 进行编译部署
-支持 Gatsby, Hugo, Jekyll, React & Vue 等应用实例
-提供免费公共二级域名 *.pages.dev (可自绑定独立域名)
-提供 Firebase、Vercel、Netlify 以及 Worker Sites 迁移方案

免费(Free)版,每月500次构建发布,一个构建工作流,0$/月
专业(Pro)版:每月5000次构建发布,5个并发构建,20$/月
商业(Business)版:每月20000次构建发布,20个并发构建,200$/月

💡所有版本全体都有!
无限站点数
无限请求数
无限带宽流量
无限次部署预览
无限团队协作成员数
支持CNAME域名绑定

⛓具体限制
最多包含20000个文件
最大文件大小 25MB

主页入口(申请试用) :https://pages.cloudflare.com/
开发使用文档 :https://developers.cloudflare.com/pages

年关将至,多余的积分不要浪费,记得及时兑换哦~

联通用户:编辑短信 JFJF#Q 发送到 10010
移动用户:编辑短信 HF 发送到 10658999
电信用户:编辑短信 10601 发送到 10001

根据提示操作,可以将积分快速变成话费,隔壁小孩都馋哭了xD

注意:此操作会将所有积分转换为话费,如有其他用途建议慎重

近日,OpenSSL发布官方通告,披露了一个OpenSSL拒绝服务漏洞,该漏洞编号为CVE-2020-1971,漏洞等级为高危。

该漏洞会影响业务/功能正常运行,建议受影响的客户及时将OpenSSL升级到安全版本,避免遭受恶意攻击。

漏洞描述
OpenSSL GENERAL_NAME_cmp 存在拒绝服务漏洞,当两个GENERAL_NAME都包含同一个EDIPARTYNAME时,由于GENERAL_NAME_cmp函数未能正确处理,从而导致空指针引用,并引起程序崩溃导致拒绝服务,会影响业务/功能正常运行。

风险等级
高危

影响版本
OpenSSL 1.1.1-1.1.1h
OpenSSL 1.0.2-1.0.2w

修复建议
将 OpenSSL 升级至1.1.1i版本
https://www.openssl.org/source

使用 NGINX 官方源安装,启动程序发现 Systemd 中存在报错:Can't open PID file /var/run/nginx.pid (yet?) after start: No such file or directory

● nginx.service - nginx - high performance web server
   Loaded: loaded (/usr/lib/systemd/system/nginx.service; disabled; vendor preset: disabled)
   Active: active (running) since Thu 2020-12-10 03:35:04 MSK; 8s ago
     Docs: http://nginx.org/en/docs/
  Process: 9226 ExecStop=/bin/kill -s TERM $MAINPID (code=exited, status=0/SUCCESS)
  Process: 9229 ExecStart=/usr/sbin/nginx -c /etc/nginx/nginx.conf (code=exited, status=0/SUCCESS)
 Main PID: 9230 (nginx)
   CGroup: /system.slice/nginx.service
           ├─9230 nginx: master process /usr/sbin/nginx -c /etc/nginx/nginx.conf
           └─9231 nginx: worker process

Dec 10 03:35:04 vm228965.u83712.kvm.centos.7.64 systemd[1]: Stopped nginx - high performance web server.
Dec 10 03:35:04 vm228965.u83712.kvm.centos.7.64 systemd[1]: Starting nginx - high performance web server...
Dec 10 03:35:04 vm228965.u83712.kvm.centos.7.64 systemd[1]: Can't open PID file /var/run/nginx.pid (yet?) after start: No such file or directory
Dec 10 03:35:04 vm228965.u83712.kvm.centos.7.64 systemd[1]: Started nginx - high performance web server.

原因是Nginx 启动时 PID 文件并未生成,导致文件无法读取

知道问题如何产生,自然就有了解决办法。在 /usr/lib/systemd/system/nginx.service 中添加如下语句即可,作用是在执行可执行文件前等待 0.1s 。

ExecStartPost=/bin/sleep 0.1

添加后 /usr/lib/systemd/system/nginx.service 如下:

[Unit]
Description=nginx - high performance web server
Documentation=http://nginx.org/en/docs/
After=network-online.target remote-fs.target nss-lookup.target
Wants=network-online.target

[Service]
Type=forking
PIDFile=/var/run/nginx.pid
ExecStartPost=/bin/sleep 0.1
ExecStart=/usr/sbin/nginx -c /etc/nginx/nginx.conf
ExecReload=/bin/kill -s HUP $MAINPID
ExecStop=/bin/kill -s TERM $MAINPID

[Install]
WantedBy=multi-user.target

然后重新加载配置、启动

systemctl daemon-reload
systemctl restart nginx

问题修复。

去年 8 月,谷歌开始在 Chrome 76 版本中的 URL 栏内隐藏 “www” 子域和 “https://” 标识符,目前为止,它们都仍是默认隐藏状态,即便这一做法招致广大用户的不满。

除了单击地址栏外,另一种查看网页完整 URL 的方法是,安装谷歌的 Suspicious Site Reporter(可疑站点报告)扩展。曾经有一段时间,Chromium 团队通过临时的 “Omnibox UI Hide Steay-State URL Scheme and Trivial Subdomains” 标识允许用户重新显示 “https://” 和 “www”,不过后来该设置已不可用。

现在,谷歌又在 Chrome 83 Canary 版本的 Omnibox 上下文菜单中提供了一个内置选项,可通过启用它来显示网页完整 URL。

具体操作方式如下:

  • 使用 Chrome 83 Canary 或更高版本;
  • 前往 chrome://flags 页面;
  • 加载 chrome://flags/#omnibox-context-menu-show-full-urls;
  • 选择启用,然后重新启动浏览器;
  • 重新启动 Chrome 后,访问任意网站,在 Omnibox 中选择域,然后右键单击并选中 “Show URL” 选项,最后单击网页上的任何其他区域以恢复 URL 的默认状态。

消息来源:techdows

PHP 7.4.0 发布了,此版本标志着 PHP 7 系列的第四次特性更新。

PHP 7.4.0 进行了许多改进,并带来了一些新特性,包括:

Typed Properties  类型属性

类属性现在支持类型声明,以下示例将强制 $User-> id 只能分配 int 值,而 $User-> name 只能分配 string 值。

<?php
class User {
    public int $id;
    public string $name;
}
?>

Arrow Functions  箭头函数

箭头函数提供了用于定义具有隐式按值作用域绑定的函数的简写语法。

<?php
$factor = 10;
$nums = array_map(fn($n) => $n * $factor, [1, 2, 3, 4]);
// $nums = array(10, 20, 30, 40);
?>

将闭包传递给 array_map 或 array_filter 等函数时,它可以发挥极大的作用。

// A collection of Post objects $posts = [/* … */];

$ids = array_map(fn($post) => $post->id, $posts);

Limited Return Type Covariance and Argument Type Contravariance  有限返回类型协变与参数类型逆变

仅当使用自动加载时,才提供完全协变/逆变支持。在单个文件中,只能使用非循环类型引用,因为所有类在被引用之前都必须可用。

<?php
class A {}
class B extends A {}

class Producer {
    public function method(): A {}
}
class ChildProducer extends Producer {
    public function method(): B {}
}
?>

Unpacking Inside Arrays  打包内部数组

<?php
$parts = ['apple', 'pear'];
$fruits = ['banana', 'orange', ...$parts, 'watermelon'];
// ['banana', 'orange', 'apple', 'pear', 'watermelon'];
?>

Numeric Literal Separator  数值文字分隔符

数字文字可以在数字之间包含下划线。

<?php
6.674_083e-11; // float
299_792_458;   // decimal
0xCAFE_F00D;   // hexadecimal
0b0101_1111;   // binary
?>

Weak References  弱引用

弱引用使程序员可以保留对对象的引用,不会阻止对象被销毁。

Allow Exceptions from __toString()  允许从 __toString() 抛出异常

现在允许从 __toString() 引发异常,以往这会导致致命错误,字符串转换中现有的可恢复致命错误已转换为 Error 异常。

Opcache Preloading  Opcache 预加载

新增 Opcache 预加载支持。

此外还有一些弃用,以及从核心中删除一些扩展,详情查看: