Firefox v68.9.0 for Android

CVE-2020-15647
影响版本 ≤v68.9.0 （Android）
读取任意Firefox浏览器有权访问的文件并发送出去
一不小心Firefox浏览器中用户Cookie被一锅端走

#Firefox #漏洞 #Cookie

Google宣布搜索排名引入网页体验指标

网页体验是一组因素和指标，用于衡量用户对于网页互动的体验（不考虑网页本身的信息价值）。它包含核心网页指标，这是一组衡量真实用户体验的指标，包括网页的加载性能、互动性和视觉稳定性。它还包含现有的搜索衡量因素：移动设备适合性、安全浏览、HTTPS、无干扰性插页式广告

了解网页体验会如何影响排名
Google 在生成搜索结果时需要考虑数百个因素，尽管网页体验很重要，但即使网页体验不佳，Google 仍会尝试提高总体信息质量高的网页的排名。良好的网页体验很重要，但拥有精彩的网页内容更加重要。不过，如果多个网页在相关性方面比较相似，网页体验对于网页在 Google 搜索结果中的曝光度就会变得更为重要

在 Google 搜索中提供良好网页访问体验的衡量因素：

💡核心网页指标
网页提供了良好的用户体验，侧重于加载速度、互动性和视觉稳定性方面的性能：
最大内容渲染时间 (LCP)：衡量加载性能。为了提供良好的用户体验，网站应尽力将最大内容渲染时间控制在 2.5 秒内
首次输入延迟 (FID)：衡量互动性。为了提供良好的用户体验，网站应尽力将 FID 控制在 100 毫秒以内
累积布局偏移 (CLS)：衡量视觉稳定性。为了提供良好的用户体验，网站应尽力使 CLS 得分低于 0.1

其它常见维度也用于检测和度量网页体验指标

🏷适合移动设备
网页适合移动设备。通过移动设备适合性测试检查网页是否适合移动设备

🏷安全浏览
网页不包含恶意（例如恶意软件）或欺骗性（例如社会工程学）内容。 通过“安全问题”报告检查网站是否存在任何安全浏览问题

🏷HTTPS
网页采用 HTTPS 协议。检查您的网站连接是否安全。如果网页没有采用 HTTPS 协议，请了解如何使用 HTTPS 确保网站安全

🏷无干扰性插页式广告
用户可以轻松访问网页上的内容

*Google每年更新一次网页体验衡量因素指标

Timing for bringing page experience to Google Search
Improving Performance and Search Rankings with Cloudflare for Fun and Profit
#搜索引擎优化 #Google #SEO
Via @RAM9s

#搬运 #Starlink #星链 开箱测试视频

傻瓜式安装，自动寻星，WIFI连接，100M+下载速度，看情况户外找个地方放上接收天线，插上电源就可上网

Telegram 几天后将更新到 7.2.4

预期到来的一些新特性
▪️群组引入语音通话聊天功能
群通话由特权群管发起，处于匿名状态的群管理无法参与使用群通话
群通话的两种工作模式：所有人任意发言、麦克风仅管理员可用
*桌面版可以设置快捷键以绑定激活使用麦克风

▪️改进邀请链接机制
可设置限制邀请链接的使用时间或使用次数

▪️iOS版将支持通过Siri收发消息
当iPhone或iPad锁定时，Siri将能够通过AirPods自动读取并回复消息
使用要求 iOS13.2 及以上
支持的AirPods型号 AirPods (第二代)、AirPods Pro、Powerbeats、Powerbeats Pro、Beats Solo Pro

#谷歌 对于 用户账号闲置状态以及存储空间的新政策摘要

关于自建 Telegram Bot API 服务端

大型Bot应用开发者可以考虑自建，去掉了多个中间层转换交互环节，一定程度上提升了Bot性能、可用性；尤其是服务器不在欧洲的情况下，通过自建可以就近连入Telegram其它数据中心改善响应速度
当然，绝大多数的一般开发应用场景使用 api.telegram.org 是够用的

Via @RAM9s

“人生如梦，灵犀一动，不觉惊跃，如魇得醒。”

说者无心听者有意，看有人被黑自闭有感

很多时候无论你做什么、怎么做，多少都会触犯某些人利益、有意无意得罪了人，而网上负面这块如影随形，玩笑也好，真心喷也好，无脑跟风也罢，网上很多黑粉是不需要理由的，大都是太闲了，找个由头宣泄一下身上无处安放的能量

遭遇网络暴力的你，应该对自己说：你在做对的事，想要更高的成就，必然要经得起无尽地无穷尽的诋毁。在意的越少，留出来成长的时间才能越多

成事过程中一些事情考虑不周全：没做好、有问题没解决，不要一味回避、无视，凡事总有解决办法，偶尔心累是正常的，要学会看开与自我恢复，今天的你比昨天更好一点，你在成长

圈里有位牛人轻描淡写地说：现在每天有 200+ 个人 cao 我 ma

人们羡慕比自己更有成就的人，但很现实，突然给你百万粉丝关注，你不会欣喜若狂，没有成事的底子，你大概率只会被喷到自闭

看到不顺眼的人和事，点到为止，看到身边做的好与不好的朋友和伙伴，更少的去嫉妒和羡慕，真心的祝福与鼓励

心态越好，人越大气随和，越容易把事情做成
祝好

#摘录一些句子 #心累

Telegram Bot在群组中异常无响应

事发
北京时间2020年12月29日早上9:30前后开始，持续至15:28分前后恢复

影响
在任意类型群组中，用户向未设置为群管理的Bot，发送指令@Bot，BotAPI将接收不到该指令请求

例如：
Bot用户名：@test
测试指令：/ping

在群组中发送
/ping@test
Bot无响应，直接发
/ping
Bot可以正常接收到指令并响应

*Bot为群管时可以正常响应所有指令
*指令后面@不相关用户名可以正常响应
*直接发指令不@Bot自身用户名可正常响应
*私信Bot所有预设指令一切正常

Via @RAM9s

近期又看到几起，个人用户挂着 UserBot（MTP/tdlib）
导致Telegram 账号突然被官方封禁（注销）的案例
可以尝试通过 [email protected] 找回账号

#Telegram #账号 #封禁 #提示 #找回
Via @RAM9s

#注意 最近Windows 10操作系统中一个“安全威胁”

只需要执行命令 cd c:\$i30:$bitmap
即可“破坏”当前NTFS文件系统，使磁盘驱动“不可用”

此代码无需管理员权限即可激活执行，很轻易隐藏到快捷方式、批处理脚本中，小心别“中招”了，虽然它并不会实际破坏当前操作系统

细节
命令执行后将看到有关“驱动损坏”的警告，查看系统事件日志记录可看到磁盘分区索引损坏记录
在下次Windows重启时可看到系统尝试自检磁盘相关提示并进行自我修复，全程无用户文件实际损坏或丢失

影响
2018 年 4 月发布的 Windows 10 build 1803，以及之后发布的 1809、1903、1909、2004 、最新的 20H2

建议
应注意禁用各类软件的自动文件下载以防可能的联锁触发风险，引发不必要的恐慌
如Telegram桌面版等带有默认自动下载资源文件功能

如何自动触发细节？（桌面客户端版潜在风险）
创建一个扩展名为.url的特殊文件，并在文件图标的地址中指定一个特殊的恶意命令。如果保持Telegram默认设置：启用自动下载资源文件，用户发送文件后目标Telegram客户端将自动下载文件到目录存储。在用户后续转到Telegram资源下载文件夹查看时，Windows将自动解析url文件并尝试从指定的路径加载图标，从而触发指令执行

源•作者 #勘误 #更新细节说明
#Windows #NTFS #文件 #系统 #漏洞
Via @RAM9s

Telegram上那些人可以向我发送信息？

如果对方知道你注册绑定的手机号码或者你主动先发送过信息（人或者Bot），对方可以给你发送信息

如果对方不知道你号码，则在以下场景找到你并向你发送信息：
▪处于同一群组中的两个人
▪有设置用户名，可通过全局搜索找到你
▪启用了附近的人并设置显示自身（默认不显示）
▪有关注频道，频道主/管理员尝试通过订阅列表向你发信息

🏷关于Telegram上附近的人功能
如果“附近的人”功能处于打开状态，则当前定位百米范围内的用户将可以在附近的人列表中看到你。如果不打开该功能，则将永远不会出现在其中
启用附近的人并进入附近列表需要单击“使自己可见”按钮
后续可以随时通过单击“不显示我”按钮从列表中删除展示个人信息

#Telegram #常见问题 #FAQ
Via @RAM9s

sudo爆缓冲溢出提权漏洞 CVE-2021-3156

快速自检是否受到影响？
进入低权限用户模式（非root权限用户）
运行 sudoedit -s /
如果响应返回
包含有 sudoedit: 开头字样则受影响
包含有 usage: 开头字样说明已修复

影响常见Linux发行版本
Ubuntu 20.04（Sudo 1.8.31）
Debian 10（Sudo 1.8.27）
Fedora 33（Sudo 1.9.2）

具体受影响的sudo版本区间
从1.8.2到1.8.31p2的所有旧版
从1.9.0到1.9.5p1的所有稳定版本

*即使 nobody 用户都可提权至root

来源 #Linux #提权 #漏洞
Via @RAM9s

Google Workspace 教育版（以前为 G Suite 教育版）每教育单位默认共用存储空间上限将变更为100TB
政策变更公告

Windows 系统中两个TCP/IP 远程执行代码漏洞

两个漏洞几乎影响现有Windows操作系统的绝大部分版本
具体包括如下：
Windows 7 SP1～Windows10 20H2
Windows Server 2008～Windows Server 20H2

解决（缓解）方案
针对CVE-2021-24074执行以下命令阻截
防火墙上阻截源路由请求或者
丢弃所有IPv4源路由请求
netsh int ipv4 set global sourceroutingbehavior=drop

撤销操作指令
netsh int ipv4 set global sourceroutingbehavior=dontforward

操作影响
Ipv4 源路由被认为是不安全的，并且在 Windows 中默认为阻止状态；但是，系统将处理该请求并返回拒绝该请求的 ICMP 消息。上述指令生效后将导致系统完全丢弃这些请求，而不进行任何处理
Src CVE-2021-24074


针对CVE-2021-24086执行以下命令阻截
根据业务需要可以在防火墙上丢掉IPv6来路的UDP分段数据或者
将全局重汇编极限设置为 0
禁用数据包重组。丢弃任何无序数据包
Netsh int ipv6 set global reassemblylimit=0

撤销操作指令
Netsh int ipv6 set global reassemblylimit=267748640

操作影响
丢弃无序数据包时可能会丢失部分数据包
Src CVE-2021-24086

附录
Windows系统 2021年2月安全更新细节说明

Via @RAM9s

Telegram 7.5.x公开测试版特性

■新增无限人数的广播群类型（Broadcsast Group）
-群组人数无上限
-仅群管可正常发言（无法解除）、发起语音聊天（有权管理可单独解除）
-成员列表可以看见彼此（联系人、最近发言人靠前）
-暂不支持单独创建，在成员数达到199000时开放
*可以简单归为阉割部分用户互动，人数无上限的超级群组

■群组/频道的临时邀请链接功能上线
-管理可指定有效时间/邀请人次•使用次数
-Telegram提供一些常用模板，自动换成时间、次数，方便实用
*测试版目前看还是空架子，功能不起作用

■全会话场景支持消息自毁
-用户间的个人私聊
-公开或者私人的群组、频道
-目前支持设置周期：一天、七天
怎么设置？
会话窗口右上角 清除历史记录 -> 配置 自动删除消息

■支持小部件（Android）
-两种类型：聊天列表、头像组合
-支持个人私聊、机器人、群组、频道
*相当于创建快捷方式，将常用聊天会话放桌面（屏幕）方便查看消息、即时响应

■频道/群组的举报投诉交互界面更新
针对频道消息现在可以操作举报精确到条而不再是整个频道
*逻辑改进，粒度更细分

#Telegram #更新 #特性
Via @RAM9s

#此时此刻 #小知识

每年7月8日，世界时 11:15，地球上99%的人口同时处于白昼

Telegram 将支持群组/频道所有权继承

解说
如果群组/频道所有者删除其帐户，则将群组/频道的所有权转移给其中一位管理员
仅对近期新创建的群组/频道有效，如果是很久以前创建的群组/频道则必须由所有者转让才可，不会被系统转移继承

所有权继承的细节
频道
• 所有权转移给有权发布消息的管理员之一
• 拥有其他权限多会增加转让的可能性
• 如果管理员不能发布频道消息，就不能成为频道新的所有者

群组
• 关键因素在是否有任命新管理员的权限
• 拥有权限越多会增加所有权继承的机会
• 如果群组中没有管理员，则比其他人更早加入群组的用户继承成为所有者

*一些特殊情况不会出现所有权继承

#Telegran #权限
Via @RAM9s

Apache HTTP Server 路径遍历

影响
只影响 2.4.49 版本

解决方案
更新到 2.4.50 及以上

CVE-2021-41773 PoC验证
127.0.0.1/cgi-bin/.%2e/%2e%2e/%2e%2e/%2e%2e/etc/passwd

#Apache #越权 #访问 #漏洞
Via @RAM9s