@wxf666 是，除非是 mmap 的 shared 这种情况，之外父子进程都会看到 ro 的页面，等写入的时候中断介入复制

其实出于好奇我也下载了，丢到容器解压一看一个 exe 几个 dll
甚至还是 libstdc++的 dll
非常失望，开源供应链攻击都瞧不上了 linux 用户

@Pointless 我也遇到个，顺手举报了然后还评论了个 “The reply from @PiaoR in this issue seems to be a spam or an attacking attempt, please don't follow its guidance.”

GitHub 过了一个小时就删回复封号了

@skyrim61 这是 systemd 自己的 manpage

@freedom2030 #55 所以我隔了一层 wireguard ，还好机器只有我一个人用所以不应考虑这东西可能打穿用户之间的隔离之类的问题

我在自己的 homelab 的开发机上搭了 code server
效果基本上和原生一致

唯一的担忧就是这东西要是被黑走了 token 那就是一个完整的 shell 权限了

问题不是“输入法有特权”，而是启动输入法的整个环境就是个特权和完整性拉满的环境。Windows 在启动输入法的时候也没做特殊处理，输入法也没特别的实现发现权限太高就 drop 权限或者 lockdown 的逻辑，于是就留下一个和登录界面整个有同等权限的输入法了。

@EVANGELIONAir #9 至少 gdm 是做了权限隔离的，root 下的 gdm 会 fork 出来一个 gdm 进程运行在非特权用户下，整个登录界面的 ui 和进一步启动的程序（辅助功能之类的）也在这个非特权用户下。在 gdm 界面 ssh 上去看进程树就能看出来。这种情况下想要提权就得先控制非特权的 gdm ，然后想办法借由它们之间的 ipc 来破坏特权的 gdm ，没那么容易。

这种思维很常见，sshd 也会 fork 出来一个无特权（甚至受限）的子进程来负责网络通信之类的服务，不知道为啥 Windows 登录界面设计就这么简单，还是说 Linux 的思路在 Windows 不适用？

@HFX3389 #10 我倒觉得不能全怪搜狗，这更接近于搜狗没有特殊处理“输入法被运行在登录界面”这种情况导致的漏洞，Windows 远古时期貌似微软自己也犯过类似的错误。不过换个角度，其实输入法这种程序 per-user 安装就行了，一开始安装到所有用户就是不那么正确的决定。（当然大多数情况没得选....直接弹个 UAC ）

@Makerlife #11 那些是用户身份运行的，或者说是用户的启动项，当然是在用户名下的。不过还有一类启动项是“服务”，这些东西可以是 system 权限的，不过大概率不是你在任务管理器看见的那些。

是登录界面运行在 system 用户下的，搜狗输入法是作为登录界面的输入法于是就有了同等权限。至于为什么登录界面要这么高权限自然是因为鉴权和登陆本身就是特权行为。

操作上不是完全没办法规避，比如登录界面可以设计成由特权的鉴权程序+非特权的 UI 组成，特权程序自从非特权 UI 拿鉴权需要的信息（用户名/密码等等）。但是 Windows 没这么做，我也不知道为啥。

常年 silverblue 用户，silverblue 用的是 ostree ，原理是所有系统文件（/usr 下面的文件）都用 content addressable storage 的方式存储。设计上类似于 git ，每个镜像是上游服务器构建的一个 commit ，然后用户拉取，然后用 hardlink 构造一个传统的（看起来很 fhs 的）文件系统树。系统启动的时候 initrd 阶段会做 bindmount+remount-ro 保证所有程序行为和传统系统一样。
在此之上 rpm-ostree 提供从 rpm 构建 ostree commit 以及再已有的 commit 上修改的能力，每次更新都拉取新的镜像+重新应用变更。
ostree 不管依赖，只管文件树，然后 rpm-ostree 是基于 rpm 的。

nix 是完全不同的设计，同时管理文件树和依赖关系，文件系统不是 fhs ，程序可能需要修改才能运行（然后随便下载的二进制大概需要容器或者 patchelf ），某种程度上更完整（比如程序运行的环境和编译的环境可以保证一致，因为 nix 在追踪这种信息； rpm 虽然可以但是操作上可以，但是大家只要 soname 不变都无所谓）。以及更加可定制，整个系统都所有细节都是用 nix 文件描述的。

我选 silverblue 的原因是常年 fedora 用户，没心情换发行版。

@1423 免责条款不适用于恶意破坏，先不扯复杂的法理和协议文本。光就这份协议本身的效力在刑法面前就得让步。

> 我大概直到他的大学在哪

要是有明确的证据证明他在那个学校，可以试着去他所在学校的辖区报警，效果会更好

但是整体上警察处理这件事就很难，因为损失难以界定，哪怕算手机报废价值也不算很大。但是报警的时候可以强调群主实际上在向不止你推介恶意软件可能能增加处理的概率。

> 应用应仅加载在应用的 APK 文件中嵌入的二进制代码。
只是没了+x ，受影响的也就 termux 这种加载 ELF 格式可执行的程序会受到影响
不过我猜动态可执行还是能从 linker 执行，除非 Android 的 linker 改变了行为

判断密码就状态机（参照 kmp ），什么都不用存，存一个当前识别到几位连续密码就行，数据读一个丢一个

肯定存的是明文密码，密码锁存个明文密码没有任何困难和安全风险

道理我都懂，但是 python 是典型的强类型语言。C++反倒是弱类型语言。你指的是动态类型和静态类型的区别

^最好还要 mlock 一段内存下来，设置成各种各样的 pattern ，要么 sleep 之后检查，要么频繁写入频繁检查

草错别字*，是散裂不是散列

以及原文代码，我不清楚 golang 里面的 bool 类型具体内存布局是怎样的，有可能你只用了一个字甚至更长的内存区域里面的一个 bit ，那就效率更低了

我唯一一次意识到 bitrot 有可观的概率是同学告诉我他们在散列上取数的电脑爱死机（电脑暴露在中子束流下面）

改成 pubkey 登录之后就让他扫呗，只要 key 不泄露怕啥