「没有对手?我有话说!」Gate广场挑战赛——秀操作赢$2,000,百万流量加持!
你是下一个明星交易员吗?
想让自己的名字闪耀广场热搜?想吸引数万追随者?百万流量已就位,就等你来承接!
🎉 双重豪礼,赢家通吃!
1️⃣ 晒单排行榜奖励
收益率排名前10的用户,瓜分 $1,500合约体验券!巅峰对决等你来战!
2️⃣ 晒单幸运奖
随机抽取10位用户,每人赠送 $50跟单包赔券!即使不是大神,也有机会躺赢!
🎮 参与方式超简单!
✅ 在 Gate广场 晒出你的交易战绩,并成为带单员!
✨ 发帖要求:
内容必须原创,并带上 #CopyTrading# 或 #跟单# 标签
附上 收益率截图 或 交易卡片,并分享你的 独家交易心得
严禁AI生成虚假交易,一经发现取消资格
观点犀利、逻辑清晰,干货越多越吸粉!
⏰ 活动截止:8月15日 10:00(UTC+8)
【立即发帖】 展现你的王者操作,承接百万流量,成为下一个交易传奇!
💬 还在等什么?Gate广场,等你来战! 💪
用开源软件搭建 chatGPT 网站?小心别人花你的钱!
撰文:卫剑钒
自从 OpenAI 提供了 GPT 的 API 后,很多同学用一款开源软件搭建自己的 chatGPT 网站。
这款开源软件是 chatGPT-web,网址是:
搭建好以后,界面大概就是这个样子:
但是,如果在缺省情况下使用这个软件,一不小心(是说你不会设置),就会被人扫描到,并且会被人无偿使用。
很多网站维护者已经纷纷中招,他们发现,自己搭的 chatGPT,自己还没有怎么用,已经被别人重度使用了,每天的 API 费用都达到了好几美元。
原因就是他的网站被人发现了,并且被很多人免费使用了。
别人是如何发现这种网站的?
互联网上有一些网络资产搜索引擎(有人称其为「网络空间测绘」),通过指定拟搜索网站的 title 信息、域名信息、IP 信息、端口和协议信息、header 信息、html 正文信息、banner 信息、城市信息、证书信息等等,可以对互联网上的信息资产进行非常便利的搜索,比如可以搜索含特定标题的网页,搜索某软件在互联网的部署情况,并可做到全网的漏洞扫描。
这些引擎中最知名的有 FOFA 和 shodan。
使用这些搜索引擎,你能找到几乎所有和互联网相关联的资产,因为这些搜索引擎,几乎一刻不停地在互联网上搜索着各种服务器、路由器、智能设备、摄像头、打印机等等,这样,用户搜索时,就能迅速返回搜索结果。
真正可怕之处在于,很多在互联网上网站或设备并没有安全防御措施,所以别人搜索到了,就可以很轻松地进入。
chatGPT-web 这个开源软件,其前端首页的 Title 默认是:ChatGPT Web
那么在资产搜索引擎里,搜索 title 是 ChatGPT Web 的网站,就可以发现使用这个开源项目的网站了。
可以看到,在 1 秒多的时间内,就搜索到了 2 万多个这样的网站。
如果这些网站没有口令保护(缺省是没有的,除非去设置),扫描者就可以直接使用不花钱的 chatGPT 了。
如何防范
其实在 chatGPT-web 的 README 中,说明了这个问题,只不过很多使用者把所有精力都放在了怎么让网站转起来,而没有细看这些安全说明。
如果你真的用的,现在改还来得及,毕竟,能少损失一点少损失一点。
1、在前端的 index.html 文件中,将 title 修改为别的,一定不要含有 ChatGPT 的字样。
2、在配置文件中,设置 AUTH_SECRET_KEY,给网页增加访问口令。
如果是自己构建后端,在在 service 目录下的.env 文件中设置 AUTH_SECRET_KEY。
如果用的是 Docker Compose,在 docker-compose 目录下的 docker-compose.yml 文件中设置。
加上口令验证后,网页就会变成这样:
这样就会好很多,至少可以拦截大量的一般尝试者。
结语
所以,网站维护者一定要有最基本的安全意识,你以为别人发现不了你,其实别人早就发现你,并且利用你了。
软件开发者则应该考虑,如何让软件的缺省安装是安全的,比如让程序自动生成不同的 Title,自动生成缺省的口令等等,而不是等着用户去设置。
你可以说,我是开源的,我没有这义务,你用不好是你自己的事,但是,如果你做的好,你的声誉会很好。
因为使用者,往往就是傻瓜式安装,他们懒得改任何东西。
网站可能还会有其他问题,就看攻击者是不是有心了,此处不赘述。有兴趣可以看看此文:《使用国内私人部署 ChatGPT 风险分析》。