Python creator and Benevolent Dictator for Life Guido van Rossum has decided, in the wake of the difficult PEP 572 discussion, to step down from his leadership of the project.

Python 语言作者 Guido van Rossum 宣布他将完全退出 Python 语言开发的决策过程。BDFL 萌生退意是因为围绕 PEP 572 决策而引发的混乱。Guido 表示他将作为一名普通的核心开发者留在 Python 社区，会继续指导其他开发者。

作为 BDFL，他给予了自己永久性的假期。他不会任命一名继任者，Python 的治理模式是进入到民主制，还是无政府状态，或者独裁还是联邦制？他对此不再干预，由社区自己决定如何走下去。

"Now that PEP 572 is done, I don't ever want to have to fight so hard for a PEP and find that so many people despise my decisions. I would like to remove myself entirely from the decision process. I'll still be there for a while as an ordinary core dev, and I'll still be available to mentor people -- possibly more available. But I'm basically giving myself a permanent vacation from being BDFL, and you all will be on your own."

https://lwn.net/Articles/759654/

✔08月24日更新TG专用代理,仅TG有效他用无效，点击自动设置。

https://t.me/proxy?server=mtproto.ovh&port=443&secret=ddb67bc26648177a20ccd4e20d1b67d980

https://t.me/socks?server=47.91.22.207&port=443&user=download2018&pass=m8f5SiiBoX5B1FZ

https://t.me/proxy?server=45.63.8.94&port=7000&secret=46f78ebac95d108d0c76828280e3f0b3

https://t.me/proxy?server=35.229.221.18&port=7000&secret=dd0df4081c778a9e7070872c2ef5a194fd

https://t.me/proxy?server=95.163.206.198&port=-26035&secret=27b03af304202795cd79e56cd7337718

https://t.me/proxy?server=45.76.216.101&port=443&secret=dd4c00201fdf03106e6248152103a1baaa

tg://proxy?server=178.128.105.145&port=6666&secret=ddd9202e1af13c76120a18a0fd2ec25e75

tg://proxy?server=178.128.89.129&port=6666&secret=774afc5b552def7b9d4a2508054d52bf

✔08月25日更新TG专用代理,仅TG有效他用无效，点击自动设置。

https://t.me/proxy?server=mtproto.ovh&port=443&secret=ddb67bc26648177a20ccd4e20d1b67d980

https://t.me/socks?server=47.91.22.207&port=443&user=download2018&pass=m8f5SiiBoX5B1FZ

https://t.me/proxy?server=45.63.8.94&port=7000&secret=46f78ebac95d108d0c76828280e3f0b3

https://t.me/proxy?server=35.229.221.18&port=7000&secret=dd0df4081c778a9e7070872c2ef5a194fd

https://t.me/proxy?server=95.163.206.198&port=-26035&secret=27b03af304202795cd79e56cd7337718

https://t.me/proxy?server=45.76.216.101&port=443&secret=dd4c00201fdf03106e6248152103a1baaa

tg://proxy?server=178.128.105.145&port=6666&secret=ddd9202e1af13c76120a18a0fd2ec25e75

tg://proxy?server=178.128.89.129&port=6666&secret=774afc5b552def7b9d4a2508054d52bf

tg://proxy?server=178.128.105.145&port=6666&secret=ddd9202e1af13c76120a18a0fd2ec25e75

tg://proxy?server=107.174.59.37&port=27474&secret=407b7b4bd12a8cce2f6862b26207dd8a

tg://proxy?server=178.128.89.129&port=6666&secret=774afc5b552def7b9d4a2508054d52bf

tg://proxy?server=172.65.1.14&port=23333&secret=3dc8260912fd3ad4e2c7d9431a91f14c

tg://proxy?server=107.172.243.206&port=44065&secret=a8f568f8436e6d8029bda009ebfbddf0

https://t.me/proxy?server=47.75.161.239&port=443&secret=08246574a64bb073207901fa39c8cdc4

https://t.me/proxy?server=45.76.216.101&port=443&secret=dd4c00201fdf03106e6248152103a1baaa

https://t.me/proxy?server=172.65.0.219&port=443&secret=fd9525a7d858a1b836483643a19cf91f

https://t.me/proxy?server=172.65.0.218&port=443&secret=ddb67bc26648177a20ccd4e20d1b67d980

https://t.me/proxy?server=207.246.106.52&port=443&secret=0dfe56a7d5ae6dc63a10563e76cdf981

https://t.me/proxy?server=35.230.67.227&port=7000&secret=ddab58ce6bc31a5ff6c914648b25bda567

https://t.me/proxy?server=t2.drproxy.pro&port=1012&secret=dd0219029aa5dfa653847694ad2d8191ea

https://t.me/proxy?server=192.200.109.125&port=9527&secret=e66953c0704fd24751123e53fde79ce0

自建节点，已上光速，需要自己拿

ssr://MTMuMTI0LjI0OS4yMDoxMjM0NTphdXRoX2NoYWluX2I6YWVzLTI1Ni1jZmI6aHR0cF9zaW1wbGU6TXpJeC8_b2Jmc3BhcmFtPSZyZW1hcmtzPU1UTXVNVEkwTGpJME9TNHlNQQ

#信息安全

全球信息安全支出明年或超1240亿美元

据福布斯杂志报道，研究公司Gartner最新预测，2018年的全球信息安全产品和服务支出将超过1140亿美元，比去年增长12.4%。

Gartner研究总监悉达多·德什潘德(Siddharth Deshpande)表示:“安全公司正努力帮助自己的组织安全地使用技术平台，提高竞争力，推动业务增长。持续存在的技能短缺和欧盟《全球数据保护条例》(GDPR)等监管规则的变化，正在推动安全服务市场持续增长。” 从2017年到2022年，信息安全市场的收入将以每年7.8%的复合增长率(CAGR)增长，以恒定汇率计算将达到1430亿美元。

#激活码分享，转载请注明出处

WPS 2016 PRO 正版软件（附带9个激活码）
产品下载链接：
http://ep.wps.cn/product/wps-office-download.html

下载选择第一个或者第二个即可

软件直接从官网下载安装，安全有保障，放心使用

政府版激活码：THUV2-32HH7-6NMHN-PTX7Y-QQCTH

企业版序列号1：R8R8P-MTT6F-KLRPM-J7CAB-PJM8C

企业版序列号2：A4XV7-QP9JN-E7FCB-VQFRD-4NLKC

企业版序列号4：7LR67-WTXPA-KLUHV-GEK2E-QW4CK

企业版序列号5：EUYTH-3KWKL-PJMX7-XBCPW-9U2DD

企业版序列号6：U2PWU-H7D9H-69T3B-JEYC2-3R2NG

企业版序列号7: 7G2HE-JR8KL-ABB9D-Y7789-GLNFL

企业版序列号8: 9DP6T-9AGWG-KWV33-9MPC8-JDCVF

#安全播报

用户在知名下载站“系统之家”下载安装“小马激活”及“OFFICE2016”两款激活工具时，会被植入病毒“Justler”，会劫持用户浏览器首页。病毒“Justler”作者极为谨慎，会刻意避开北京、厦门、深圳、泉州四个网络安全监察严格的地区的IP。除这几个地区以外的用户，下载到的软件均可能带毒。据“火绒威胁情报系统”监测和评估，截至目前，该病毒感染量已近60万。

#安全播报

你说安全就安全？对红芯浏览器的一次安全测试
From: 山东星维九州安全技术有限公司2018-08-24

你说安全就安全？
近日，红芯浏览器“套壳”一事被网络舆论炒的沸沸扬扬。红芯浏览器被官方标榜为“安全、稳定、可控的企业浏览器”，其中“自主可控”一项已经被舆论所质疑，但是被官方放在第一项进行宣传的“安全”是否属实呢？

据笔者所知，红芯浏览器的主要客户为国内政府、大型国有企业，单位主体的性质决定了其内部会有大量涉及商密、机密、甚至涉及国家安全的重要信息，而红芯浏览器则被设计为触及这些重要信息的媒介，如果它出了问题，那么后果不堪设想。

为了验证红芯浏览器的安全性到底如何，小编决定做了一个简单的安全测试。对于这种套壳浏览器，安全测试大体可以分为两个部分，一个是“壳”的安全性，一个是浏览器“内核”的安全性。

对于“壳”，由于小编没有服务器环境，暂时无法接触到“壳”的主要逻辑，暂时作罢，如果你有测试环境，可以分享给小编，我们将在后续文章中分享测试结果。

我们就测一下”内核”。根据之前网络上的爆料文章，红芯为了兼容XP，使用了最后一个兼容XP的内核：Chromium49。说起这个内核，笔者不禁回忆起了自己的青春，当初学编写chrome扩展的时候正是基于这个版本，说起来已经是两年前的事情了。

换句话说，如果你使用了两年前的版本，你失去不仅仅是两年内Chromium的新特性、新功能，更重要的是你失去了这两年内Chromium积累的安全补丁。

本次测试文件为红芯企业浏览器的3.0.54版本。

测试项目：XSS Auditor(filter) ByPass
XSS Auditor(filter)ByPass 翻译过来意思是：XSS审计器（或称XSS过滤器）的绕过。一直以来，XSS攻击是web前端领域里面威胁最大、利用最广泛的漏洞。在国际权威组织owasp针对最流行的Top10的web攻击统计中，XSS攻击从未掉队。

可以看到XSS从2013年的第3滑落到2017年的第7名，这其中的原因是多方面的，但其中重要的原因，就是现代浏览器引入并不断完善的XSS Auditor对反射型XSS的“狙击”，让XSS攻击越来越难用。

XSS Auditor最早被Chrome4、IE8引入。当然，道高一尺魔高一丈，XSS Auditor的更新不是闭门造车，而是在不断的攻防对抗中完善自己。全世界的黑客都在乐此不疲寻找XSS Auditor中的缺陷，以求绕过防护进行XSS攻击。而几乎Chrome的每次更新、IE的每个补丁，都会更新XSS Auditor，让这些绕过措施失效。然后黑客又找、官方又更新……由此往复循环，才有了今天较为完善的XSS Auditor防护体系。

我是不是扯远了。回到正题，红芯用了两年前的内核，那么意味着XSS Auditor已经两年没有更新，理论上这两年内的任何一个绕过XSS审计器的利用代码都是可以生效的。

我们先构造一个简单的反射形XSS漏洞：

<?php
echo $_GET["c"]; //输入即输出
?>
我们检查红芯浏览器是否能抵御XSS攻击。地址栏输入：


http://127.0.0.1/uxss/xss.php?c=<script>alert(/xss/)</script>
输入的js并没有执行，可见红芯是开启了XSS Auditor的。

百度随手搜了一段绕过XSS Auditor代码，即在上面的js前面加一串%00。“%00”是16进制的0，在C语言中代表字符串的结束。不同的程序对0字符的理解不同，因此这个字符经常会引发一些安全问题。输入：

http://127.0.0.1/uxss/xss.php?c=%00%00%00%00%00%00%00%00<script>alert(/xss/)</script>

成功绕过XSS Auditor执行了js。

相同的代码在我的Chrome63（非最新）上却被成功拦截。

测试项目：UXSS
Same origin policy（同源策略，简称SOP）一直是web前端安全的基础。简单来说，SOP是指就是每个网站中的可执行脚本（包括html/js/flash等）只有读写自己网站内资源的权限，禁止跨域读写其它网站的内容。

举个例子，你同时打开了淘宝和京东的网站，淘宝和京东网站的js会同时在你的浏览器上运行。浏览器认为这两个网站是严格隔离的，淘宝的js不可能访问京东的收藏夹，同样，京东的js也不可能访问淘宝的购物车。这很好理解。

那么如果这种规则被破坏，后果则不堪设想。设想你访问某个网站，其中某个不知名的小广告商的js有权限访问你邮箱中的商业合同、你网盘中的私密照片，我就问你还敢不敢上网。

既然SOP这么重要，黑客又怎么可能放过呢。黑客们也在不断寻找绕过SOP的方法，这类绕过方法，或者说SOP的缺陷，被称为uxss漏洞。此类漏洞一旦被发现，基本上都被定性为高危漏洞。

与XSS Auditor一样，谷歌官方也不断修复着这些漏洞，而对于一个已经停止维护的内核，这类漏洞的PoC（即漏洞利用代码）在网上比比皆是。

在chromium项目的bug反馈页面，找到一个作用于chrome <52的UXSS。这个漏洞提交时间为2016年4月份。

https://bugs.chromium.org/p/chromium/issues/detail?id=604901

根据作者提供的Demo，把目标域名修改为baidu，把要执行的js修改为如下：

将Demo部署到本地http://127.0.0.1/中，用红芯访问。

点击第一个按钮，意为“跳转后执行uxss”，点击后调转至baidu，并以baidu域的权限执行了我们定义的js代码。

上面的过程，演示了http://127.0.0.1/中的js读取了http://www.baidu.com/上的Cookie，Cookie意为着什么我就不多说了。换句话说，浏览器的SOP被破坏，http://127.0.0.1/将有权限读取 http://www.baidu.com/上的任何资源。如果进一步的利用，可以读取你百度搜索历史，百度网盘里的文件等等。

作为对比，我们换Chrome63试一下：

页面报错，代码没有执行。

解决方案

首先是对官方的建议，新内核不代表一定不会兼容XP。完全可以像360浏览器那样，把不兼容的函数一一手改成兼容的，当然这个工程量很大。

对于普通用户，尤其是政企类用户，在官方没有给出升级方案之前，暂时不建议使用。

后记:
我从新审视了红芯官方对于安全功能的阐述，看上去很高大上。

红芯对于安全的宣传集中在身份认证和通讯加密，如果浏览器内核出了问题，导致浏览器被恶意代码接管，谈这些是没有意义的。

由于没有测试环境，对于这两点并没有测试，不过也没有必要了，毕竟决定你安全级别是木桶的短板。

安全不是销售的夸夸其谈，不是产品经理的纸上谈兵，不是投资人的患得患失，也不是程序员的“想当然”。安全是一件很专业的事情，应当交给专业的人去做。

#360公司

360SRC助力2018第三届SSC安全峰会 让互联网变得更加美好

CloverSec Security Conference（简称：SSC），致力于打造为国内顶尖的网络安全峰会，旨在推动国家网络安全事业整体发展。2018第三届SSC安全峰会以“智御安全•洞鉴未来”为主题，将于9月18日在中国•西安（君悦酒店）召开，360SRC受邀出席参加，共同助力网络强国建设。

SSC安全峰会作为中西部最具盛名，影响力最大，知名度最高的网络安全安全峰会，已连续举办两届，由西安四叶草信息技术有限公司（简称：四叶草安全）主办，峰会凝聚全国优秀的网络安全企业，汇聚全国网络安全专家学者、行业大咖、网络安全从业者、网络安全爱好者共同聚焦“网络安全”。

本次峰会共两天（9月18日-19日），第一天为高峰论坛，分为主论坛和分论坛，主论坛以“引领安全新方向，探究安全新理念，共创安全新未来”为主题，分论坛以“分享技术干货，交流前沿技术，共享研究成果”为主要内容；第二天为闭门会议。

作为中国网络安全领军企业，360一直秉承开放的态度，联合社会各界，为亿万互联网用户提供更加安全的产品。我们欢迎所有网络安全从业者，白帽子向我们反馈360业务漏洞，对于有效漏洞会依据漏洞奖励评估标准给予相应的现金奖励。

除此之外，我们还发布了360IoT安全守护计划，该计划秉承 “让产品过一道黑客关”的理念，将360旗下硬件产品第一时间免费提供给知名黑客团队和安全专家进行测试。一经发现严重漏洞将获得单笔最高36万元的现金奖励。目的是希望能从黑客攻击视角发现潜在风险，进一步提升产品的安全性。

四叶草安全作为国内安全行业发展最快的创新型企业之一，专注于为客户提供网络信息化安全服务，致力于帮助用户先于黑客发现并及时解决安全问题，与四叶草安全的良好合作将有效推进我国网络安全整体建设，助力网络安全强国建设，最后，预祝2018第三届SSC安全峰会圆满成功！

#TG代理分享

Telegram内置代理链接:
tg://proxy?server=35.229.221.18&port=7000&secret=dd0df4081c778a9e7070872c2ef5a194fd

tg://proxy?server=35.221.230.152&port=7000&secret=dda2e33790e79f3a3e875eed2362cda14f

tg://proxy?server=mtp.nanbusuidao.com&port=9527&secret=ddb4281094931659e3b87761594b488a80

手机端点击此处支持我们(支持我们 )

#资讯分享

科普 ChinaNet 以及 CN2

#ChinaNet
ChinaNet(a.k.a. 163)，主要城市如LAX、SJC、FRA、LON回国带宽大，但因电信超卖严重，因此尖峰时段较容易阻塞，同时也常有来自中国境内的流量攻击将出口塞满。价格较低。

#CN2 GT
CN2 GT，163与CN2 POP之间统一在上海、广州、北京三个互连点，北京互连点应为一年内所新增。同上一点所属，由于两张网流量交换前也会经过163的汇聚点，因此也较容易因163汇聚点有大量攻击流量导致阻塞，同时因攻击塞满两张网之间的互连也时常发生。
3 CN2 GIA

GIA以及GT之间，回国线路并没有差异(尽管电信方的产品说明有提到出口不同)，但优先级可能有不同，路由差异化。该产品在163与CN2两张网之间互连有独立的端口进行互连，互连点也较多，采就近接入原则，但实际上延迟不一定比较好。且因互连点不同关系，实际上有可能会出现某地至北美GT走上海出口，但GIA却走广东出口等等差异。另互连端口在有大量攻击时容易阻塞。特别是南京、北京互连点。价格相较GT线路较为差不多，或者较高。

#Extra 1
两张网在常见的地区以外，骨干都较小。
另外新疆有两种CN2，一种与一般国内CN2无差异。
另一种有独立国际出口，但国内营运商访问过墙，路由也较为奇葩，如上海访问可能先绕行广东再到北京等等。
#Extra 2
CN2与联通之间有互连，上海、广州、北京、香港都有。其中香港互连只跑回国流量。其他互连点仅在GIA路由使用，GT线路仍需经过163。

#安全资讯

雅虎邮箱被爆大规模扫描用户邮件，将数据出售给广告商。

华尔街日报报道，雅虎依然在扫描用户邮件并将这些数据销售给广告商。在报道中雅虎和多家广告业主进行洽谈，希望为后者提供一项分析超2亿封Yahoo Mail收件箱的电子邮件，从中提取消费者数据的服务。

最近发现很多人 无法主动私聊别人 ，特此解释一下：

该限制几个月以前是没有的。前段时间因为一些币圈(挖矿)的人大量使用 +86 手机号注册的机器人群发广告，导致被大量投诉。
因为投诉太多，所以 Telegram 干脆对所有 +86 手机号注册的账号进行了限制：
无法对非+86的用户主动发起私聊（会提示必须是双向联系人），+86用户之间可以正常私聊。

如果该限制对你影响很大，那么请找一些虚拟号码然后在 个人信息中点击你的手机号码 - 更改手机号码 即可。该操作不会有任何影响。

至于虚拟号码，可以考虑： Google Voice 之类的（撸不来就去淘宝买）

非 +86 手机号的用户可以随意发起主动私聊(除非被对方屏蔽)。