E星期五的博客

E星期五,一个心情日记和分享记录的博客

Page 10 of 57

natvps安装x-ui攻略

入了webhorizon natvps就没消停过
瞎折腾浪费不少时间。记录一下可行性方案,感谢其他人攻略。

nat机的ipv4一般是在封着,或者只有ipv6,此篇只记录我遇到的情形。
一个被墙ipv4、有ipv6可用的、不能ssh直接连接的natvps,和一个正常ssh使用的另外的国外vps

1、登录这个另外的国外vps的ssh做为跳板,然后使用命令登录ssh root@natvps的ip -p 端口(在https://my.webhorizon.in/plugin/support_manager/knowledgebase/view/3/nat-ipv4-ports-calculator-ovz/)
或者给xshell添加代理,参考

v2ray代理登录 xshell

运行bash <(curl -Ls https://raw.githubusercontent.com/FranzKafkaYu/x-ui/master/install.sh)
(库地址https://github.com/FranzKafkaYu/x-ui)

2、用x-ui命令启动管理

端口需要设置以下
Cloudflare支持的 HTTP 端口为: 80 8080 8880 2052 2082 2086 2095
Cloudflare 支持的 HTTPs 端口为:443 2053 2083 2087 2096 8443
如把面板端口设置为2095,内部端口8443,注意CF开伞后一定要在上面的端口选,开tls了就选第二行端口

3、进入CloudFlare,选择你自己的域名,设置DNS记录AAAA到你的VPS IPv6,小云朵记得开启
4、进入SSL/TLS下面的概述,将加密方式改为完全
1
5、进入“源服务器”,点击“创建证书”

6、保持默认,点击“创建”

7、复制证书和私钥,备用

8、进入X-ui面板的入站列表,新建一个节点
下图为使用CF CDN配置,当然如果你不用CDN的话,你自己想怎么配置都可以。

也可以使用x-ui的一键申请,证书路径分别是 Your cert is in: ***.cer 和Your cert key is in: ***.key
9、点击“操作”→“二维码”,导出节点

让WordPress 显示页面加载时间

只需在主题的footer.php中(外观–主题文件编辑器)加入以下代码

微信号存在换绑记录,请确保您的微信帐户安全 京东特价(原京东极速版)签到免单提现失败

微信号存在换绑记录,请确保您的微信帐户安全
签到完成了,却出现下面这提示
很抱歉,提现失败
您的微信号存在换绑记录,请确保您的微信账户安全再进行提现!
Screenshot_20221119_203007_com.jd.jdlite.png
原因是换绑过微信。换回以前的微信号或者换新的没绑定过JD的微信号。
实验结果:只能换回以前的微信号,否则就算是重新签到,还是不能提现,换回以前的微信号后,就算是重新签到也能提现成功。

看不懂现在的防疫

三年了,没什么进步。
花这么多钱搞核酸,为什么不通过扩建医院,增加医护水平,发展改善医疗条件,有病就医病。
如果是像黑死病鼠疫埃博拉之类的病,传染快致死高,封一封,消杀一下病原,搞封控最有效。可是现在这种变异了的新冠已经变成无症状态,还要搞这封控,想不通,真想不通。
为了表明权力?向所有人表达,我们党有这个力量控制全国人民?还是说经济发展过热,要把过热的经济凉一凉?这明显不对啊。还是说,在搞大跃进,放卫星,最高决策层觉得这个国家已经很富有,人民很幸福,政治很清明?搞民粹主义?民众没有疾苦进入了高级阶段?

bt宝塔面板上报后门,更加隐蔽

今天对比了一下最新版7.9.4的宝塔面板(宝塔的开发习惯是即使是同一个版本号,也会不断更新文件)。发现了一个js文件比较可疑,经过分析后得出,是宝塔最新增加的上报后门,可以上报用户自己的IP和端口(非服务器的)

js文件路径:/panel/BTPanel/static/laydate/laydate.js

根据文件时间戳,可知是10月9日更新的。

这个文件本身是layer的日期显示组件,但是宝塔在最后加入了一段eval加密的js。这种js很好解密,以下是解密后的js:
1.png

可以看出是创建了个WebRTC连接,最终是拿到了用户自己的IP和端口(id和pid变量),并组合后进行了简单加密,赋值给cid,POST到接口/plugin?action=get_soft_list_thread

那么get_soft_list_thread是在干什么呢,找到py代码,是异步调用/script/flush_soft.py,然后这个文件里面是调用加密模块里面的一个方法PluginLoader.get_soft_list(cid)

下面反编译看看这个方法是具体干什么的
2.png
宝塔搞了个很有迷惑性的方法名,初看还以为是获取软件列表的,实际根本不是。方法内部只是把cid发送到接口https://cpi.bt.cn/get_soft_list,并未对返回值进行处理,可确定不是获取软件列表的。

之前已经有人爆料过宝塔的上报接口(site_task.py),为什么10月9日又新增了一个?可能是之前的接口只是上报一些统计的数据,并没有上报用户IP这种敏感信息。另外现在新增的这个更加隐蔽,通过迷惑性方法名、夹杂在公共js文件等手段进行隐藏。
我刚才还疑惑,明明有上百种方法可以获取到用户IP,为什么非要写那么一大堆js通过WebRTC的方式来获取。原来这种方式可以无视代理,我这边试了即使是开了全局代理,也一样可以获取到真实IP而不是代理服务器IP!

« Older posts Newer posts »

© 2025 E星期五的博客

Theme by Anders NorenUp ↑