用过 Hetzner 的人大概都知道 Abuse 邮件不能随手归档。有些工单要求限时解释或处理，拖久了可能影响服务器乃至账号。不过，这次邮件正文明确写着不必回复，真正要做的是先弄清楚：我的服务器为什么会出现在一份恶意软件通信报告里？当时正在给 Mantine 迁移到 StyleX 的工作收尾，邮箱里突然出现一封 Hetzner 转发的 CERT-Bund 报告。那台服务器没有对外提供什么公共服务，也没有运行容易触发此类告警的程序，所以第一反应自然是，被挂马了？一、先从邮件开始
冬天来了，万物凋零。又到了坏人们泛滥的季节，城市的乌烟瘴气中蕴含着难以形容的善意与陷阱。对于游泳爱好者而言，冬天的去处是一个值得研究的课题。很多普通健身房的泳池因为维护成本与客流不成比例，纷纷选择关闭；剩下那些苦苦支撑的，往往基础设施糟糕——从更衣室出来到下水的那段路，足以让你冻得发抖。于是，目光自然转向了酒店泳池。设施完备、水温恒定、体验极佳。唯一的缺点是：贵。这里存在一个有趣的年卡悖论：高端酒店泳池年卡价格动辄近五位数，按 8,000 元计算。若每周去一次，一年约 52
很多古老的程序都存在一个普遍的问题——身份认证问题。如果有以下行为之一，就有可能存在这个问题。允许弱密码，例如 password、123456、admin使用明文、加密或弱哈希管理密码允许暴力破解、自动攻击使用非安全连接进行认证使用 GET 请求进行认证使用不正确的失效策略关于身份认证可以先从客户端说起。传统 Web 登录方式中，都会默认隐藏用户输入的密码，但是除此之外，应该默认禁用记住会话、记住密码这些功能。用户使用的电脑并非一定是自己的、安全的，默认禁用这些功能对提升安全
在应用程序安全性中，如果不处理用户输入及其相关数据，可能会带来安全风险。而注入是应用最广泛、历史最久且非常危险的漏洞之一。它在 OWASP Top 10 的 2010、2013 和 2017 版中位列第一，在 2021 版中调整为第三。当不受信任的数据作为命令或查询的一部分发送到解析器时，就会产生 SQL 注入、NoSQL 注入、OS 注入和 LDAP 注入等缺陷。攻击者的恶意数据可以诱使解析器在没有适当授权的情况下执行非预期命令或访问数据。例如，我们需要查询用户输入的用户名
