## 单向信任漏洞利用：通过TDO转储进行横向移动
本研究详细描述了Windows单向信任中的一项漏洞，攻击者可以利用该漏洞访问受信任域。单向信任允许从受信任域到信任域的身份验证，反之则不行。在创建信任关系时，会在受信任域中自动创建一个特殊的`TRUST_ACCOUNT`。
虽然看似无害，但此帐户的密码以明文形式存储在*信任域*上的“受信任域对象”（TDO）中。一个新的Python工具`tdo_dump.py`可以有效地提取此TDO，从而揭示在受信任域上以`TRUST_ACCOUNT`身份进行身份验证所需的Kerberos密钥。
这有效地绕过了预期的单向访问控制，从而实现了横向移动。攻陷信任域的攻击者可以在受信任域内执行典型的Active Directory攻击——例如请求票据授予票据（TGT）和创建计算机帐户。该研究强调，由于远程访问和密钥检索方面的限制，现有的工具（如Mimikatz）对于这种特定攻击效果较差。`tdo_dump.py`工具和相关发现可在GitHub上获取。
每日HackerNews RSS
黑客新闻 新 | 过去 | 评论 | 提问 | 展示 | 招聘 | 提交 登录
不要相信任何人：单向信任真的是单向的吗？ (almond.consulting)
11点 由 notmine1337 1天前 | 隐藏 | 过去 | 收藏 | 讨论 帮助
指南 | 常见问题 | 列表 | API | 安全 | 法律 | 申请YC | 联系
搜索：
这篇帖子详细描述了作者构建编译器的惊人经历，并质疑现代编译器的规模。最初持怀疑态度，他们成功地创建了功能完善的C和Lisp编译器，分别仅用1500行和500行代码，且功能妥协最小。这让他们意识到，大型编译器（通常数百万行代码）中的许多复杂性并非任务本身固有的，而是源于大量的“接缝、景观和权宜之计”——不必要的添加和复杂性。 作者将这些大型编译器比作费力构建的、但无法居住的景观。他们自己较小的编译器代表着为一种新方法播下“早期种子”——一种“现代GDSL”，暗示着专注于基本功能和简洁性，而非庞大的功能集。这篇帖子标志着探索这一新方向的开始。
## GDSL：一个极简内核与编译器探索
FirTheMouse最近分享了GDSL，一个2600行C++项目，包含一个“内核”——定义为共享处理核心，而非完整的操作系统——以及Lisp（500行）和C（1300行）语言的子集编译器。该项目尚未实现自举，这意味着编译后的语言无法重新编译源代码。
核心思想是展示编译器复杂性的很大一部分源于管理“边界”——数据表示之间的转换——而不是编译过程本身。GDSL旨在贯穿整个编译过程，保留信息，从而大幅减少代码量，与GCC或LLVM等生产级编译器相比。例如，GDSL-C中的标识符处理需要80行代码，而GCC则需要超过1000行。
该项目目前专注于“MIX”层——代码转换的基本过程——并且缺乏代码生成后端（汇编/LLVM IR）。作者希望扩展GDSL，可能包含后端系统，并探索与其他语言（如Python或Rust）的统一，在易用性和基本理解之间取得平衡。其他人也分享了类似的项目，例如Mu，引发了关于编译器设计和复杂性的讨论。
马里兰大学科学家创造出“智能内衣”来测量人体肠胃气胀。
UMD Scientists Create 'Smart Underwear' to Measure Human Flatulence
13 天前
客户端挑战：您的浏览器已禁用 JavaScript。请启用 JavaScript 以继续。此网站的必要部分无法加载。这可能是由于浏览器扩展、网络问题或浏览器设置所致。请检查您的连接，禁用任何广告拦截器，或尝试使用不同的浏览器。
DR-DOS是Digital Research Inc.于1988年开发的操作系统的一个现代重新实现，作为MS-DOS的一个技术上更先进的替代品。与简单的克隆不同，DR-DOS 9.0是一个“洁净室”重建版本，尊重其创造者Gary Kildall的原始愿景，同时提供一个不受法律限制的平台。 最新版本（修订版330，发布于2026年3月）包含一套完整的文件管理、编辑和系统实用工具，以及十六进制转储和鼠标支持等高级工具。值得注意的是，它保留了低级访问命令（PEEK、POKE、JMP），吸引着黑客和对操作系统开发感兴趣的人。 DR-DOS面向复古计算爱好者、开发者、教育工作者以及任何寻求最小DOS环境的人——非常适合测试经典软件、嵌入式系统或仅仅探索个人电脑操作系统历史。
## 英特尔傲腾 SSD 总结 英特尔的傲腾系列，利用与美光联合开发的 3D XPoint 技术，在 2017 年发布时，融合了 DRAM 和 NAND 闪存的特性——超低延迟、高耐用性和强劲的性能。像 P4800X/P5800X（以及消费级产品）这样的型号在传统 SSD 难以处理的领域表现出色，尤其是在一致的写入性能和数据完整性方面，这得益于断电保护等功能。 然而，傲腾面临着成本高昂和容量有限的挑战。尽管在数据库、VDI 和缓存（Ceph、ZFS）等苛刻的工作负载中具有优势，但 NAND SSD 技术的快速进步以及 Compute eXpress Link (CXL) 的出现降低了其市场吸引力。 英特尔最终在 2022 年停止了傲腾的开发，退出闪存存储市场。尽管如此，傲腾产品仍然可用，包括于 2023 年初发布的新型持久内存 NV-DIMM 系列，以支持英特尔的 Sapphire Rapids CPU。虽然其未来有限，但傲腾展示了存储技术的一项重大创新，为特定高性能应用提供了无与伦比的耐用性和低延迟。
运行 清除 补丁 保存 加载 音垫 固定 复古 指南 自述文件 历史 · 运行 · 清除 加载wasm… 补丁 · octetta/k-synth 加载中… 音垫 鼓 旋律 播放 下载wav 重命名 设置基准速率 清除插槽 插槽 音高 取消 确定
## k-synth：APL 驱动的合成器
Octetta 构建了 “k-synth”，一个基于网页的合成器，它尝试使用一种极简的、K 风格的数组语言来绘制波形。目标不是取代 DAW，而是提供一种紧凑的方式来生成样本。用户可以在 [https://octetta.github.io/k-synth/](https://octetta.github.io/k-synth/) 现场试用 – 一个预制补丁 (“dm-bell.ks”) 是一个很好的起点。
该项目利用了一种简化的、右结合的数组语言（使用单字母命令，如 's' 代表正弦波，'p' 代表 pi），并使用 WASM 和 Web Audio 实现。值得注意的是，AI 代理被用来引导解析器和 Web 工具包的构建，从而加速了开发。
该项目是开源的（MIT 许可），并且在 GitHub 上可用 ([https://github.com/octetta/k-synth](https://github.com/octetta/k-synth))。Octetta 正在寻求来自数组语言和 DSP 社区的反馈，特别是关于运算符选择和从右到左的评估逻辑。相关项目如 BQN、Uiua 和 Strudel 也被提及为灵感来源，未来的计划包括从 Emacs 发送 UDP 控制以及一个跨平台的 MIDI 库。
## Kniterate 工作坊总结
材料编程项目的首次工作坊侧重于 Kniterate 机器的实践培训，由 UAL 教学与学习基金资助。目标是为学生准备使用目前正在开发的新的针织编程工具。
本次会议首先概述了 Kniterate 编辑器——一款免费软件——并演示了如何编织一个基本的 100 针起针模板。参与者探索了基于图层的文件构建方式，并注意了它与其他针织工具（如 CMU Knit）的不同之处，尤其是在参数化设计潜力方面。一个关键的学习点是理解 Kniterate 软件如何精确管理起针过程中的纱线放置。
随后，工作坊探讨了罗纹结构和“提花”技术——通过分层纱线来实现色彩变化，而无需复杂的图案。学生们尝试创建罗纹，并观察了纱线特性如何影响纹理。最后，团队成功地编织了一个由另一位技术人员设计的样品，其中用提花罗纹拼写出名字。
本次体验强调了 Kniterate 的可视化界面比其他针织可视化工具更清晰，表明现有的针织工具需要提高可读性。
这个Hacker News讨论围绕一篇名为“Kniterate Notes”的文章，内容是关于编程针织机的探索。原作者“petsquirrel”澄清，他们的工作并非旨在*取代*手工编织的亲密感，而是为了培养与*代码*和机器本身更深入的联系。
评论者讨论了针织机的历史，将其与Jacquard提花机和早期计算机相提并论。一些人承认由于不熟悉针织术语（如费尔岛式、Jacquard）而感到困惑，这类似于非程序员阅读技术文章时的感受。另一些人则反思了对手工编织物品的情感联系，以及自动化是否会削弱这种联系。
一个关键点是，现有的针织机软件通常缺乏灵活性，而该项目旨在创建更具适应性和吸引力的工具。这场讨论突出了工艺、技术以及人与机器之间不断演变的关系的交汇点。
## Glassworm再次发起隐形代码攻击 威胁行为者“Glassworm”正在发起新一轮供应链攻击，利用隐藏的Unicode字符来破坏代码仓库。该技术于2025年首次被发现，它将恶意载荷伪装成空字符串注入代码中，从而绕过典型的安全检查。目前，这些攻击正在影响GitHub、npm和VS Code。 2026年3月观察到的最新一波攻击已经破坏了超过151个GitHub仓库——包括Wasmer、Reworm和anomalyco的仓库，实际数量可能更高，因为有仓库已被删除。Glassworm利用逼真、项目特定的代码更改，这些更改很可能由AI生成，以掩盖恶意提交。 注入的代码解码后会执行脚本，这些脚本之前与基于Solana的代币和凭证盗窃有关。开发者不能依赖视觉代码审查来检测这些威胁。Aikido是一家安全公司，提供检测工具——包括免费的恶意软件扫描器和“Safe Chain”——来识别和阻止这些隐形注入，从而避免它们影响开发环境。这凸显了针对日益复杂的供应链攻击，需要积极的、专门的防御措施。
## Glassworm回归：不可见Unicode攻击瞄准代码仓库
一波新的“Glassworm”攻击正在利用不可见的Unicode字符向代码仓库注入恶意代码。这些攻击利用微妙且难以检测的字符来隐藏恶意载荷，可能导致代码执行。核心问题在于由于威胁的不可见性，导致代码审查无法发现。
讨论的重点在于像GitHub这样的代码仓库托管平台是否应该负责抵御此类攻击。许多人认为他们应该这样做，类似于他们的Secret Scanning功能，通过向开发者警报可疑的零宽度字符使用情况。虽然存在第三方扫描工具，但社区认为平台应该提供内置的可视性。
该事件凸显了代码中`eval()`的危险性以及对健全的linting规则的需求。讨论的解决方案包括更严格的代码审查、pre-commit钩子以检测可疑字符，以及可能限制源代码中的Unicode字符集。一些人建议由LLM驱动的审查者可能更有效地发现这些攻击，而另一些人则强调人工监督的重要性。该事件还引发了对LLM可能*创建*更复杂的攻击的担忧。
巴西国家数据保护局 (ANPD) 将 37 家公司提交关于其为“ECA Digital”（第 15.211 号法律）准备情况的报告的截止日期延长至 2026 年 2 月 13 日，该法律旨在保护儿童和青少年在网络上的权益。 此次延期源于 ANPD 发起的一项监测流程，旨在了解这些有影响力的科技公司——为巴西年轻人提供平台、内容或设备的公司——如何实施新法律的技术和组织要求。ANPD 旨在评估当前的合规阶段并确定企业面临的挑战。 原定截止日期过于紧迫，特别是考虑到 ECA Digital 的复杂性和年末假日期间。行业代表要求更多时间以确保准确和全面的报告。ANPD 同意，认为推迟将带来更好的数据，并最终更有效地保护儿童在数字环境中的权利。这项监测是未来潜在执法行动的初步步骤。
巴西数据保护机构（ANPD）发布了一份公司名单，其中包括 Canonical（Ubuntu 的母公司），要求就符合“ECA Digital”法律进行进一步讨论。该法律最初被误传为仅关于年龄验证，但其目标是通过防止定向广告、数据收集和操纵性电子商务行为来保护儿童在线安全。
ANPD 正在向这些公司征求反馈，因为它们被认为属于该法律的范围，但尚未完全实施所需机制，包括超越自我声明的可靠年龄验证。人们担心，满足这些要求，特别是年龄验证，对于免费和开源服务来说实际上是不可能的，可能会阻碍它们的生存能力。最初的合规期限是 2026 年 2 月 13 日，但现在正在延长。名单中包括苹果、谷歌、Meta、微软等大型科技公司以及许多其他公司。
## DigiKey 与关税困境 DigiKey 是一家大型电子元件市场，运营中心位于明尼苏达州偏远的锡夫河瀑布镇，正面临美国关税的复杂问题。该公司雇用了彭宁顿县一半的劳动力，向全球运送数百万个零件，但大约四分之一的库存来自中国——受到不断变化的关税影响，自 2018 年以来给 DigiKey 造成了五亿美元的成本。 这些不断变化的关税造成了物流噩梦，导致员工不得不脱离核心职责来管理关税计算、客户调整和系统更新。DigiKey 已经实施了建立外国贸易区以递延关税等策略，但应对这些复杂问题仍然是一个重大挑战。 DigiKey 由一位业余无线电爱好者创立，其成功与当地社区息息相关。然而，关税负担不仅威胁着公司的利润，也威胁着锡夫河瀑布镇的经济稳定，尤其是在另一家主要的当地雇主面临倒闭的情况下。虽然搬迁是一种可能的解决方案，但 DigiKey 的领导层仍然致力于其在明尼苏达州的根基，努力应对当前贸易环境的“暴风雪般”的条件，并保护其支持的就业和社区。
## Digi-Key 与关税影响 - 摘要
这次Hacker News讨论围绕一篇NPR文章，详细介绍了美国关键电子元件分销商Digi-Key因近期关税面临的挑战。核心问题是，这些关税扰乱了Digi-Key的运营，增加了成本和复杂性——尤其是在国际销售和潜在的美国制造扩张方面。
许多评论员强调了更广泛的经济后果。一些人建议直接将关税成本转嫁给消费者（如Mouser所做），但另一些人指出实施此类系统面临的重大后勤障碍和成本，特别是对于Digi-Key这样规模的公司而言。人们担心关税会阻碍美国制造业的增长，因为不确定性会抑制投资。
对话还涉及战略影响，担心失去关键元件的获取渠道，以及制造业可能从美国转移。一些人认为关税是一种应用不当的政策，阻碍了竞争力，最终损害了美国经济，而另一些人则对在当前成本和消费者偏好下，将生产迁回国内的可行性表示怀疑。最近的最高法院裁决以及随后关税的重新实施，进一步使情况复杂化。