主机吧指南

全部 IT资讯下载中心好东西好工具更多

经验教程

Node.js 发 10 个 CVE 补丁：Brotli 越界写入能打通 RCE，但你不主动解压也躲不过

Node.js 10 月 21 日发布安全更新，修复 10 个 CVE，4 个高危。Brotli 解码器越界写入可致 RCE，但不需要你主动解压：fetch 会按响应头自动解 br。本文在 v22.13.1 上实测三条，修复版本为 22.23.4、24.22.1、26.12.1。...
- 主机吧
- 5小时前
- 25
经验教程

腾讯云发布 php2shell 风险通告：两个 9.2 分漏洞并列为高风险，但关掉上传进度并不能保平安

腾讯云 10 月 21 日发布 php2shell 风险通告，CVE-2026-109618 与 109619 列为高风险。社区流传的关闭 session.upload_progress 挡不住 109618：它走的是内存耗尽与请求关停路径。本文对照五种措施的实际效果。...
- 主机吧
- 5小时前
- 19
经验教程

PHP 拉响 9.2 分警报：两个 RCE 漏洞今日打补丁，欧盟说修不了就先下线

PHP 安全团队 10 月 21 日 14:00 UTC 发布紧急补丁，修两个 CVSS v4.0 均为 9.2 分的 RCE 漏洞。欧盟 CERT-EU 称打不了补丁的机构应考虑把站点摘下来。本文用本机 PHP 8.3.6 实测了这条链：上传进度功能默认开着，原始文件名不经校验进 session，但默认配置下会话文件名不可控，第三环是断的。...
- 主机吧
- 9小时前
- 38
经验教程

印度 CA 的 8 张中间证书私钥只有个位数：一次密钥生成脚本写错，让 HTTPS 信任链漏了 18 个月

印度 CA 机构 eMudhra 的 8 张中间 CA 证书私钥只有个位数——4、56、66、115、155、156、230、237，攻击者从 1 试到 256 就能还原并签发任意域名的 HTTPS 证书。Mozilla 2 小时 53 分钟封堵，但这次事故真正的看点是：从 2025 年 4 月生成密钥到 2026 年 10 月被发现，18 个月里没有任何一道检查拦下它。...
- 主机吧
- 14小时前
- 70
IT资讯

Chrome 将升级反诈骗：新增「可疑网站」分级提示，Gemini 上云识别假更新

谷歌 Chrome 增强保护模式迎升级：新增「可疑网站」分级提示，把 Gemini 模型搬到服务器端识别虚假杀毒和假冒浏览器更新，并新增剪贴板检测拦截 ClickFix 攻击。约 10 亿用户已启用，防护提升约 10 倍。...
- 主机吧
- 18小时前
- 22
经验教程

一天 589 万请求、505 万次拦截：百度云防护 WAF 如何守住一家旅游网站

一家做欧洲旅游线路的网站，一天收到589万次请求，其中505万次被判定为恶意流量——拦截率高达85.9%。如果没有WAF挡在前面，这个站点每天要处理的无效请求会压垮服务器，真实客户连页面都打不开。下面这份后台数据，记录了一场持续24小时的攻防战。...
- 主机吧
- 10月20日
- 40
经验教程

AI 爬虫疯狂抓站，拦还是不拦？别纠结了，一张策略表+几行配置说清楚

误区三：所有AI爬虫都该杀光。Perplexity这类引用型爬虫带来的曝光是新流量入口——AI时代的”搜索排名”正在变成”AI回答引用位”。如果你的内容被Perplexity引用，点击是真实存在的。把它们和训练爬虫一起拦掉，等于把新渠道也关了。...
- 主机吧
- 10月19日
- 54
经验教程

利用百度云防护WAF识别无头爬虫：HTTP请求头指纹拦截科普

很多网站都面临自动化爬虫、无头浏览器（Playwright/Puppeteer）批量采集数据的困扰。这类爬虫依托Chromium无头模式模拟浏览器访问，抓取页面内容。我们可以借助百度云防护 WAF自定义规则，通过HTTP请求头指纹识别这类爬虫，实现基础Bot防护。一、无头爬虫标志性Header指纹普通真实浏览器与无头自动化浏览器，在请求头细节上存在明显差异，其中最典型特征： sec-ch-ua…...
- 主机吧
- 10月19日
- 45