刚读完了这两篇关于 xz-utils 包的供应链攻击说明，攻击者潜伏了三年，很精彩，只差一点点就可以往众多 Linux 发行版的 sshd 注入后门，可用于绕过密钥验证，后果不堪设想。概括： 1. 攻击者 JiaT75 (Jia Tan) 于 2021 年注册了 GitHub 账号，之后积极参与 xz 项目的维护，并逐渐获取信任，获得了直接…

分享一个链接

发表一篇文章

任何有趣的，图片，热点新闻，视频，文字...

4679 位用户此时在线

24小时点击排行 Top 10：

“53岁演员闫学晶直播哭穷，称儿子一年收入仅为几十万” 近日，演员闫学晶在直播过程中谈及家庭经济情况时表示，自己32岁的儿子在北京生活和养家压力较大，年开支约80万至100万元，但儿子一年的收入仅为几十万元，这一情况让家庭财务捉襟见肘。她还提到，儿媳从事音乐剧演出，收入同样不高。

“盛世之牛马，乱世之炮灰”🤔

#红右世界年终回顾：俄罗斯著名TikTok网红，格拉扎诺娃，在地铁口去世。地铁口去世。这就为什么，川粉红粉去要移民白左国家。。。。但，川粉红粉的龌龊在于，他们鼓吹极右保守的恶魔普京，瞻仰俄罗斯是基督徒的天堂。

12月28日，一位博主发文关注全国多地存在的“凌晨劳务市场”现象。文章称，在上海、南京、武汉、合肥等城市，不少务工人员每天凌晨三四点便聚集在劳务市场或路边等候派工，冒着寒风等待临时工作机会，年龄跨度从二十多岁至七十多岁不等。

12月29日，央视新闻发布一段视频画面，内容疑似为无人机从高空俯瞰台北地标建筑台北101大厦。目前，央视方面未就视频的具体拍摄时间、地点及技术背景作出进一步说明。

12月28日，北京，“领导封道过车”视频的弹幕区，网友纷纷刷屏“死者为大”

中国发布意淫动画片，给小粉红们壮阳

“援助柬埔寨2000万成敏感词” 继媒体们开启评论精选后，12月29日，一名博主发布关于“中国援助柬埔寨2000万”的视频，视频流量很快被断崖式限流，还被判定为“不适宜投放”。

我的胖兄弟在柬埔寨有路子，带你去发财啊🤑 😎 匿名投稿

12月19至29日，广东省肇庆市鼎湖新区中山三院。家属抛洒纸钱维权，却被警察和保安阻拦。家属表示，该院叶继才、汪洋医生在发生医疗事故后仍能正常挂号出诊。

哈爾科夫🇺🇦

#乌克兰今日昨天乌克兰总统则连斯基到达美国，没有一个美国官员到机场接机。这与川普亲自跑到阿拉斯加为普京接机，完全不同。（也许是因为，川普和普京都是公认的基督教的先知吧。）正义在谁一方，一目了然。

第一次来北京，真的让我无语死了！我正坐在出租车上，被堵在著名的北京东三环晚高峰里，真的他妈的纹丝不动！司机正在抱怨还要堵两个小时。我默默拿出我的 Vision Pro，接入了北京市城市交通管理的市政内网，启动了 Llama 4-700B 模型。

炮灰吻別灰姑娘，接著就上路了。

医生眼里最喜欢的动作

卡拉奇破獲一個電詐團伙，骨干全部是中國人。中國電詐集團在原是全球滲透，幕後由習家軍指揮。

12月28日，台湾总统赖清德在媒体专访中就两岸安全议题发表评论，针对外界有关中国可能在2027年具备侵台军事能力的评估，赖清德表示，若中国设定这一时间目标，台湾唯有不断提升自身防卫难度，让对方“永远都达不到这个标准”，才能确保安全与和平。

【一位基层民警的自述：为什么越来越多的民警不愿意再主动办案】民警的办案积极性被长期消磨，主要源于四个现实问题：一、研究“案件”不如研究“人事“，能否评优提拔更多取决于“关系”而非“业务能力"。二、出差办案“越办越亏”，补贴不足以覆盖实际开支，甚至需要个人垫付。

中共無人機無法無天

哈尔滨市委书记会见谢霆锋，这个坐姿怎么样？😂

中共一直說巴拿馬運河是中國的，巴拿馬鐵路是中國的⋯⋯ 好像巴拿馬也是中國的，巴拿馬人細思極恐，不得不拆。

今日（2025年12月29日）共軍發起“正義使命-2025”圍台演習，台灣國軍進入緊急戰備狀態。在高雄，一輛坦克在道路上行駛時發生故障。

科学艺术展里涂的习近平水母 #给习主席的一份礼物

有意思，现在两边都说对方P图造假，达成了一种诡异的两岸一家亲。但事实上，大概率两边的图都是真的，但更重要的如何解读图背后的含义。先说“无人机俯瞰101”，CCTV对这段图像的描述很容易让人产生误解。这不是指PLA有一架无人机飞越101大楼，然后拍摄了照片。比例也不对，中间那是个客机。

12月29日，网友举报：山西省吕梁市文水县一案件当事人王生吉，在电话通话中自述向文水县检察院承办检察官王丽行贿录音资料。资料中，王生吉多次表示向王丽“几沓沓倒出去了”（送了几沓沓钞票）。

本站自动实时分享网络热点
24小时实时更新
所有言论不代表本站态度
欢迎对信息踊跃评论评分
评分越高，信息越新，排列越靠前

4

3

2

刚读完了这两篇关于 xz-utils 包的供应链攻击说明，攻击者潜伏了三年，很精彩，只差一点点就可以往众多 Linux 发行版的 sshd 注入后门，可用于绕过密钥验证，后果不堪设想。
概括：
1. 攻击者 JiaT75 (Jia Tan) 于 2021 年注册了 GitHub 账号，之后积极参与 xz 项目的维护，并逐渐获取信任，获得了直接…
IT技术
( twitter.com )

1年前由 Yachen Liu 提交

刚读完了这两篇关于 xz-utils 包的供应链攻击说明，攻击者潜伏了三年，很精彩，只差一点点就可以往众多 Linux 发行版的 sshd 注入后门，可用于绕过密钥验证，后果不堪设想。
概括：

攻击者 JiaT75 (Jia Tan) 于 2021 年注册了 GitHub 账号，之后积极参与 xz 项目的维护，并逐渐获取信任，获得了直接 commit 代码的权利。
JiaT75 在最近几个月的一次 commit 中，悄悄加入了 bad-3-corrupt_lzma2.xz 和 good-large_compressed.lzma 两个看起来人畜无害的测试用二进制数据，然而在编译脚本中，在特定条件下会从这两个文件中读取内容对编译结果进行修改，致使编译结果和公开的源代码不一致。
目前初步的研究显示，注入的代码会使用 glibc 的 IFUNC 去 Hook OpenSSH 的 RSA_public_decrypt 函数，致使攻击者可以通过构造特定的验证数据绕过 RSA 签名验证。（具体细节还在分析中）
只要是同时使用了 liblzma 和 OpenSSH 的程序就会受到影响，最直接的目标就是 sshd，使得攻击者可以构造特定请求，绕过密钥验证远程访问。
受影响的 xz-utils 包已经被并入 Debian testing 中进行测试，攻击者同时也在尝试并入 fedora 和 ubuntu。
幸运的是，注入的代码似乎存在某种 Bug，导致特定情况下 sshd 的 CPU 占用飙升。被一位安全研究人员注意到了，顺藤摸瓜发现了这个阴谋并报告给 oss-security，致使此事败漏。
如果不是因为这个 Bug，那么这么后门有不低的概率被并入主流发行版的 stable 版本，恐怕会是一件前所未有的重大安全事件。

另外从一些细节能看出来攻击者非常用心：
攻击者抢在 ubuntu beta freeze 的几天前才尝试让新版本并入，以期望减少在测试期间被发现的时间。
xz-utils 项目的原维护者 Lasse Collin (Larhzu)，有着定期进行 internet breaks 的习惯，而且最近正在进行，导致这些变动他并没有 review 的机会，即使到现在也没能联系上他本人。这可能也是攻击者选定 xz-utils 项目的原因之一。

更多的细节还在被分析中，目前 GitHub 已经关停了整个 xz 项目。

参考来源：
https://t.co/maoYpCp2Zk
https://t.co/VJQseYUWbM

1周内 1个月内 1年内全部时间

1
2
3
4
5
6
...
400
下一页

1

2

1

1

就不总结了哈哈，因为喜欢读博客，分享两篇 2021 年读到的最触动的两篇文章：
1. 《软件工程是个面包机》
2. 《关于 Yak Shaving》…
推特中文圈
( twitter.com)

4年前 • twitter机器人 • -- 点击 0 评论

2

2

1

1

这两天沉迷读 @thesephist 的 Blog，昨天读到凌晨两点。很佩服他每篇言之有物的思考和持续高效的产出。先推荐这篇关于 side project 的，喜欢折腾的同学可以看下
推特中文圈
( thesephist.com)

3年前 • twitter机器人 • -- 点击 0 评论

3

2

1

1

关于"金刚"你只需要看这一篇终极科普就够了！
大陆资讯
( www.jiemian.com)

8年前 • 粉身碎奶掌 • -- 点击 0 评论

4

2

1

1

读了一篇关于休假制度的论文，调查结论如下——
大陆资讯
( weibo.com)

4年前 • 微博 • -- 点击 0 评论

5

2

1

1

这两篇文章建议大家反复读读（这不是关于炒币的）

可组合性 VS 模块化，谁才是区块链的C位？

Celestia、Evmos 和 Cosmos 的基于 EVM 的应用程序的开放式模块…
推特中文圈
( twitter.com)

4年前 • twitter机器人 • -- 点击 0 评论

6

2

1

1

关于该事情，我刚刚在 V2EX 发布了一篇详细的回应与说明：
时政
( v2ex.com)

1年前 • 数码荔枝 • -- 点击 0 评论

7

2

1

1

✍你是如何记笔记的？

我这两天读了由 @fortelabs 写的「如何记笔记：彻底改变笔记和写作的 10 条原则」很是收益。这篇文章是作者读了《How to Take Smart Notes》后提取的精华。

读完这篇文章后，我…
推特中文圈
( twitter.com)

5年前 • twitter机器人 • -- 点击 0 评论

8

2

1

1

重译了洛克的《政府论两篇》。加了一些有助于理解的注释。写了一篇五万字的导读。
时政
( twitter.com)

1个月前 • 张雪忠ZHANG Xuezhong • -- 点击 0 评论

9

2

1

1

实际上只有前两篇有些具体内容。为啥只有两篇呢？因为Shu Kang教授的博客（nerd has power）里只写了两篇关于病毒真相的文章啊（第一篇三月份写的，第二篇5月份写的，均早于蛇妖闫在大众媒体路面），大家仔细读一下就发现，…
推特中文圈
( twitter.com)

4年前 • twitter机器人 • -- 点击 0 评论

10

3

2

2

这是我的反思读书论、反思简中读书界宣言——老夫写于2025年世界读书日两篇短文：《尽信书不如不读书》、《读书越多越觉无知》。
时政
( twitter.com)

8个月前 • 程益中 • -- 点击 0 评论

11

2

1

1

有推友向我推荐这篇推文。为便于推友们阅读，我会紧接着贴出这篇劝退请愿书的全文。敬请关注。
时政
( twitter.com)

3年前 • twitter机器人 • -- 点击 0 评论

12

2

1

1

终于发现了比ChatGPT更好玩的事：读书。刚看完了自制双语版 Ex…
推特中文圈
( twitter.com)

2年前 • 白板报 • -- 点击 0 评论

13

2

1

1

昨天上午读完《铁路与中国转型》后就一直酝酿着写篇读书笔记，来整理自己思路的。但写了《国中之国铁道部》后就进入《土地改革与华北乡村权力变迁》的阅读中了，越读越惊叹，这么牛逼的著作我怎么现在才找到，然后就如饥似渴的读起来了，刚读完就迫…
时政
( twitter.com)

2年前 • 左手墨迹 • -- 点击 0 评论

14

2

1

1

读读这篇
时政
( twitter.com)

2年前 • Petrichor • -- 点击 0 评论

15

6

5

5

#时报专栏 @NickKristof：今年我的专栏中读的最差的一篇是关于香港，关于新疆问题的也没人读。我倒是想说这些文章是写砸了，但砸字还显得留下了点影响似的。权且称它们为废物。失策。水货。鲁蛇。
我感到自己很幸运，仍有完全的自由…
大陆资讯
( twitter.com)

6年前 • 纽约时报 • -- 点击 0 评论

16

2

1

1

推荐你读两篇文章

和

推特中文圈
( twitter.com)

4年前 • twitter机器人 • -- 点击 0 评论

17

2

1

1

这两天一直在读这篇 paper，有料，太有料了（搜集分析的数据真厉害啊
推特中文圈
( twitter.com)

4年前 • twitter机器人 • -- 点击 0 评论

18

2

1

1

由于过了版权期，经出版社同意，已在网络上发布了免费电子版。我知道没有很多人可以读完这套两卷本的书（），但至少可以读一读这遍不到两页的后记。
图片
( www.chinarightsia.org)

4年前 • twitter机器人 • -- 点击 0 评论

19

2

1

1

大力推荐。附上我的四篇文章：1、胡平：于无声处听惊雷——读郭罗基先生的两篇起诉书——
时政
( twitter.com)

9个月前 • Hu Ping胡平 • -- 点击 0 评论

20

2

1

1

今天有两篇文章被爆转，一篇上海逝者，一篇上海人的忍耐已到极限。

两篇文章的区别是，后者有一个置顶评论：删这篇文章的人不得好死。获了大几十万赞。

然后，我刚刚看了。
前一篇文章己经404了。
带诅咒的那篇还在。

非常有意思。
推特中文圈
( twitter.com)

3年前 • twitter机器人 • -- 点击 0 评论

21

2

1

1

推荐阅读财主的这篇《30万亿新钱，都去了哪个交易市场？》读完也就明白了新钱到底去了哪里。
时政
( twitter.com)

2年前 • 左手墨迹 • -- 点击 0 评论

22

2

1

1

发完刚刚那条“异”之后
关于“异喵”的推文图片都不能看了
时政
( twitter.com)

4年前 • twitter机器人 • -- 点击 0 评论

23

2

1

1

一个读者的读后感：这篇我真的认真看完虽然真的挺长的，然后脑海中不断浮现出好多这十几年中跟香港房子有关的场景……
大陆资讯
( m.weibo.cn)

7年前 • 清水芙蓉 • -- 点击 0 评论

24

2

1

1

关于抖音，这篇文章分讲的太好了！
时政
( twitter.com)

2年前 • 左手墨迹 • -- 点击 0 评论

1
2
3
4
5
6
...
400
下一页

0.31005 Second , Gzip Enable.本网所有言论均来自网络，不代表本网站立场。联系方式: [email protected]

©2012.11.21 bad.news All rights reserved. 社区自动运营第 -- 年零 -- 天
This site is protected by reCAPTCHA and the Google Privacy Policy and Terms of Service apply.

关注推特