https://github.com/galaxy-s10/billd-desk
基于Vue3 + WebRTC + Nodejs + Electron搭建的远程桌面控制
可以当rustdesk的网页版替代品，可以观望观望
#链接分享

今日XSS小技巧之魅力javanoscript语法

''.replace.call`1${/.../}${alert}`

来源，所以这东西到底是怎么生效的，待我研究一下（

这个东西是JS的标签模板语法，本来是用来标记一个模板的

f`aaa${arg}bbb`就相当于f(["aaa","bbb"], arg)

所以''.replace.call`1${/.../}${alert}`就相当于''.replace.call(["1","",""], /.../, alert) ，也就是把第一个参数转成字符串"1,,"，用正则/.../匹配这个字符串，然后传给alert

https://github.com/AuthourAkson/Live2D_Desktop_AI_Vtuber
一个基于 PyQt6 + Live2D + Ollama + 多种 TTS + js + python +pyttsx3 + pydub + qwebchannel + deepseek 等 api 代理选项（扩展中） 的桌面 AI 助手项目，支持透明悬浮窗口、Live2D 虚拟角色、本地大语言模型聊天、语音合成（TTS），并实现了角色嘴型联动、眼睛 / 头部追踪鼠标等自然交互效果。

所以说DNS配置不正确就可以伪造这个域名的邮件...

DNS中MX记录标记这个域名可以发送邮件，SPF记录标记哪些服务器可以用这个域名发送邮件

所以如果一个域名（比如说aaa.com）没有配置SPF，那任意服务器都可以用admin@aaa.com之类的邮箱给别人发邮件...

最后伪造邮件可以用emkei.cz这个网站

https://mp.weixin.qq.com/s/UFUBRg3BL1EMy0urkb6xxA

https://gitbox.hust.online
GitHub AI 锐评
锐评一下你都在 GitHub 写了什么。

https://github.com/ayangweb/BongoCat
本项目灵感来源于 MMmmmoko 大佬的 Bongo Cat Mver。由于原项目仅支持 Windows，作为一名深度 macOS 用户，我希望在自己的设备上也能使用这款可爱的 Bongo Cat，因此决定开发一个适配 macOS 的版本。

此外，得益于 Tauri 框架强大的跨平台能力，本项目不仅支持 macOS，还可在 Windows 和 Linux 上运行，让更多用户都能与这只可爱的猫咪互动！

https://github.com/wed0n/Paster
不如这个

https://github.com/YaoFANGUK/video-subnoscript-remover
Video-subnoscript-remover (VSR) 是一款基于 AI 技术，将视频中的硬字幕去除的软件。 主要实现了以下功能：

无损分辨率将视频中的硬字幕去除，生成去除字幕后的文件
通过超强 AI 算法模型，对去除字幕文本的区域进行填充（非相邻像素填充与马赛克去除）
支持自定义字幕位置，仅去除定义位置中的字幕（传入位置）
支持全视频自动去除所有文本（不传入位置）
支持多选图片批量去除水印文本

关于堆栈 (@libstack) 频道停更的公告

各位一直关注频道的朋友：
你们好。遗憾地告知，即日起 @libstack 将进入无限期停更状态。
从创建频道至今的三年多里，我始终希望通过这里分享技术见解和实用资源，也很感激每一位订阅者的关注——无论是默默潜水的朋友，还是常留言互动的伙伴，你们的存在让这个空间有了意义。但近期随着个人工作重心的重大调整，日常事务已占据几乎频道猪全部精力，加上对内容质量的执念，实在难以兼顾频道的持续更新。
停更决定并非轻率做出。过去几个月里，频道内碎片化的输出既违背了创立频道时“深度分享”的初衷，也无法保证对读者的价值。与其勉强维持低质更新，不如暂时按下暂停键，对自己和关注者都更负责。虽然暂时告别，或许未来某个时刻，当状态更加成熟、内容更有沉淀时，我们会以更好的形式重逢。
即日起，频道现有内容仍会保留，如需过往资料可随时查阅。若有重大事项本频道仍会临时启用。频道附属讨论组 (@c0mm1nt) 不受影响。
最后，衷心说一声谢谢。谢谢你们曾在这里停留，谢谢你们给予的包容与鼓励。江湖路远，我们各自珍重。
libstack
2025 年 5 月 11 日

频道暂时恢复更新

一款旨在将像素对齐到网格上的工具，用于修复人工智能生成的杂乱的像素作品
https://github.com/Hugo-Dz/spritefusion-pixel-snapper

终端内查看 word 文档
能够很好地保持文档的原有格式，如标题、段落、列表都能准确显示，甚至表格也能正常查看。
https://github.com/bgreenwell/doxx/

Cloudflare 错误页面生成器，能够创建模仿 Cloudflare 错误页面的自定义错误页面，并且可以将其嵌入到自己的网站中。
https://github.com/donlon/cloudflare-error-page

waf 穿透提示:
wget https://替换/....//....//....//....//....//....//....///....//....//....//....//....//....//....//etc/passwd -k


如果你知道存在的文件夹（例如通过查看网页源代码找到的资源路径），可以将其作为起点：
如果图片路径是 /static/img/logo.png，Payload 可能是：
https://替换/static/img//....//....//....//....//....//....//....//....//....//....//....//etc/passwd

很多简易的防火墙（WAF）或代码会检查输入中是否包含 ../。如果攻击者写成 ....//，一些写得不好的过滤器可能会检测 ../ ，没发现（因为中间多了点）。waf 执行清理逻辑：把所有的 // 替换成 /，目的是为了规范化 URL，waf 执行递归清理，也就是把 .. 删掉，结果剩下的部分又组合成了新的 ../

或者是路径规范化漏洞，有些后端程序在接收到 ....// 时，会先进行一次非标准的字符串处理，将其误判为两个连续的跳转请求，或者将其修剪成了操作系统最终能识别的 ../

https://github.com/LandGrey/SpringBootVulExploit
SpringBoot攻防全解

https://github.com/Maldev-Academy/DumpChromeSecrets
从现代 Chrome 版本中提取数据，包括刷新令牌、cookie、保存的凭据、自动填充数据、浏览历史记录和书签。

这个可以跟楼上配对