Chrome 远程代码执行漏洞（CVE-2021-21220）
Chrome 远程代码执行漏洞（CVE-2021-21220）前言Google于4 月 13 日发布了最新的 Chrome 安全通告，公告链接(https://chromereleases.googleblog.com/)，其中修复了pwn2own中攻破 Chrome 所使用的一个严重的安全漏洞（CVE-2021-21220），该漏洞影响x64架构的 Chrome，可导致Chrome 渲染进程远程代码执行，并使用了巧妙的手段绕过了 Chrome 内部的各种缓释措施，目前Chrome最新版89.0.4389.128已修复。
实际测试老版本的x64架构的Chrome或 Chromium 83、86、87、88 受此漏洞影响，存在漏洞的代码在 5 年前就被引入，最远可能影响至 Chrome 55 版本，下面是具体的漏洞分析详情：
环境搭建v8编译环境搭建漏洞版本commit通过访问如下链接可以获取到对应版本的信息
方法一https://omahaproxy.appspot.com
GNU Wget2高危路径遍历漏洞可导致实施远程文件覆盖攻击（CVE-2025-69194）
GNU Wget2高危路径遍历漏洞可导致实施远程文件覆盖攻击（CVE-2025-69194）GNU Wget2 是经典下载工具 Wget 的现代化继任者，它通过多线程、HTTP/2 支持及递归下载功能，提供了更高效、更快速的命令行下载体验。
Metalink 是一种基于 XML 的元数据文件格式，它将一个文件的多个下载镜像地址和校验信息整合在一起，让下载工具能实现自动防错、校验以及跨服务器的分段加速下载
2025年12月28日 GNU发布了更新，修复了GNU Wget2 中通过 Metalink 路径遍历进行任意文件写入漏洞（CVE-2025-69194）漏洞。CVSS评分8.8分（高）。
影响范围GNU Wget2 所有版本 < 2.2.1
漏洞描述GNU Wget2 在处理 Metalink 文档时发现了一个安全问题。该应用程序无法正确验证 Metalink 中提供的文件路径。攻击者可以利用此行为将文件写入系统中的非预期位置。这可能导致数据丢失，或进一步损害用户的环境。
GUN官方描述为：A security issue was discovered in GNU ...
PowerShell Remote Code Execution Vulnerability(CVE-2025-54100)
PowerShell Remote Code Execution Vulnerability(CVE-2025-54100)Windows PowerShell是微软为Windows系统开发的任务自动化和配置管理框架，包含命令行shell和脚本语言。不同于传统 Shell 处理文本流，它基于 .NET 运行环境，直接操作结构化对象。
12月份微软发布了更新，披露了PowerShell 远程代码执行漏洞(CVE-2025-54100)， CVSS评分 7.8分（高）。
影响范围Windows 10 Version 1607 < 10.0.20348.4529
Windows 10 Version 1809 < 10.0.17763.8146
Windows 10 Version 21H2 < 10.0.19044.6691
Windows 10 Version 22H2 < 10.0.19045.6691
Windows 11 Version 23H2 < 10.0.25398.2025
Windows 11 Version 24H2 < 1 ...
面试算法学习
面试算法学习前言为了应对腾讯的笔试，简单学习一些算法来应对吧，也是好久没有写代码了，一些基本的代码如何用都忘了，简单复习一下
算法题洗牌算法
对52张牌洗牌，要求尽量洗乱，而且原牌不能在原位置上重复
洗牌算法是常见的随机问题：将1-52张扑克牌重新洗牌。
Fisher–Yates随机置乱算法也被称做高纳德置乱算法，通俗说就是生成一个有限集合的随机排列。Fisher-Yates随机置乱算法是无偏的，所以每个排列都是等可能的，当前使用的Fisher-Yates随机置乱算法是相当有效的，需要的时间正比于要随机置乱的数，不需要额为的存储空间开销。
12345678910111213import randomdef shuffle(buf): length = len(buf) print(length) for i in range(length): number = random.randint(i,51); buf[i],buf[number] = buf[number],buf[i]buf=[]for i in range(1,53): ...
静态链接
静态链接空间与地址分配
对于多个输入目标文件，链接器如何将它们的各个段合并到输出文件？或者说，输出文件中的空间如何分配给输入文件？
按序叠加一个最简单的方法就是将输入的目标文件按照次序叠加起来，也就是将各个目标文件依次合并。但这样做会造成一个问题，在有很多输入文件的情况下，输出文件将会有很多零散的段。就会有很多零散的段，因为每个段是有一定的地址和空间对齐要求，这样会造成内存空间大量的内部碎片。所以这不是一个好办法。
相似段合并一个更加实际的办法是将相同性质的段合并到一起，比如将所有输入文件的“.text”合并到一起，其他段也是一样的。
”链接器为目标文件分配地址和空间“这句话中的“地址和空间”其实有两个含义：第一个是在输出的可执行文件中的空间；第二个是在装载后的虚拟地址中的虚拟地址空间。 事实上，我们在这里谈到的空间分配只关注于虚拟地址空间的分配。因为这关系到链接器后面的关于地址计算的步骤，而可执行文件本身的空间分配与链接过程关系不大。
现在链接器空间分配的策略基本上都是采用相似段合并的方法。使用这种方法的链接器一般都采用一种叫 两步链接的方法。也就是说整个链接过程分两步：
第一步 ...
零宽度字符水印
零宽度字符水印零宽度字符简介零宽度字符是一些不可见的，不可打印的字符。它们存在于页面中主要用于调整字符的显示格式。
常见的零宽度字符及它们的unicode码和原本用途：
零宽度空格符 (zero-width space) U+200B : 用于较长单词的换行分隔
零宽度非断空格符 (zero-width no-break space) U+FEFF : 用于阻止特定位置的换行分隔
零宽度连字符 (zero-width joiner) U+200D : 用于阿拉伯文与印度语系等文字中，使不会发生连字的字符间产生连字效果
零宽度断字符 (zero-width non-joiner) U+200C : 用于阿拉伯文，德文，印度语系等文字中，阻止会发生连字的字符间的连字效果
左至右符 (left-to-right mark) U+200E : 用于在混合文字方向的多种语言文本中（例：混合左至右书写的英语与右至左书写的希伯来语），规定排版文字书写方向为左至右
右至左符 (right-to-left mark) U+200F : 用于在混合文字方向的多种语言文本中，规定排版文字书写方向为右至左
...
零信任网关
零信任网关前言讲零信任，要先从VPN说起。
在电影《指环王》的圣盔谷守卫战中，洛汗军民依托城堡坚固的防御工事，一次次打退敌军的攻击，却因敌人利用了一条通向城内的下水道将厚重的城墙炸穿，攻守形势瞬间逆转。
VPN作为企业远程办公的常用工具，如今也如同那个致命的下水道一样，反倒为黑客突破层层边界防御提供了“捷径”。
把VPN比作“小区门卫”，安全破绽有多少？如果把VPN网关比作小区门卫，在外网环境下通过VPN访问公司内网应用，好比小甲要去位于该小区的小乙家玩，门卫只需对小甲身份和来意简单盘问即可放他进门。
VPN网关IP和连接端口须映射到互联网，能被黑客扫描到并发起攻击。这就好比欲对小乙家图谋不轨的法外狂徒张三，可以轻易地获取到小乙家的地址。面对小区门卫，张三使点小伎俩，即可骗过门卫，进入小区。比方说：
由于VPN默认“信任”所有内部访问流量，因此一旦VPN网关被攻破，就没有更进一步的安全措施阻止攻击到达企业数字资产。也就是说，只要张三骗过门卫进入小区，就可以：
除了盗窃和破坏，张三还能叫来一大群地痞流氓，围住小区门口不让进出，勒索小区住户打钱……
若小区门卫懂得零信任，张三还能 ...
零信任-深信服零信任aTrust介绍
零信任-深信服零信任aTrust介绍深信服零信任aTrust介绍深信服是国内领先的互联网信任服务提供商，也是国内首家通过认证的全球信任服务商。深信服零信任是其中一项核心的信任技术，主要针对身份认证、数字签名、数字证书等方面的信任问题。
深信服零信任提供了一种新的安全保护模式，可以在不对客户端进行任何信任的情况下，通过智能硬件等安全设备实现身份认证和数字签名。深信服零信任不仅可以保证安全，还可以提高效率和易用性，是信任技术领域的一个重要创新。
深信服零信任访问控制系统aTrust（简称aTrust），是深信服基于零信任安全理念推出的一款以“流量身份化”和“动态自适应访问控制“为核心的创新安全产品。产品通过网络隐身、动态自适应认证、终端动态环境检测、全周期业务准入、智能权限基线、动态访问控制、多源信任评估等核心能力，满足新形势下多场景的企业应用安全访问需求。同时，aTrust作为深信服零信任安全架构整体解决方案的核心组成部分，支持对接态势感知等多种安全设备，安全能力持续成长，助力客户网络安全体系向零信任架构迁移，帮助客户实现流量身份化、权限智能化、访问控制动态化、运维管理极简化的新一代网络 ...
集成大模型中精准度最高的模型算法是什么
集成大模型中精准度最高的模型算法是什么在集成学习中，多个模型的算法被组合在一起，以提高整体预测的准确性和鲁棒性。集成方法通常分为两大类：bagging 和 boosting。在这些方法中，有几种算法特别因其高精度而受到青睐，尤其在各种机器学习比赛和实际应用中表现出色。以下是几种在精度上表现通常最优秀的集成算法：
1. XGBoost (Extreme Gradient Boosting)XGBoost 是一个优化的分布式梯度提升库，它非常有效地实现了梯度提升算法。XGBoost 在处理稀疏数据时效果很好，并且经常被用在许多数据科学比赛中，如 Kaggle，因其执行速度快和模型性能好而广受欢迎。它还支持正则化，有助于减少过拟合。
12345678910111213141516# 创建XGBoost模型，启用GPU加速 xgb_model = XGBClassifier( n_estimators=300, max_depth=10, learning_rate=0.1, use_label_encoder=False, ...