“写笔记”支持四种格式——Word 文档、Excel 表格、Markdown、纯文本，起稿或二次编辑时都能随时切换，同一篇笔记想用哪种形态来记，都由你说了算。
md、txt、csv、json 这类纯文本则原样载入，不做多余加工。拿一张现成的表倒进来、改几笔、再导出去，等于白用一台免费的格式转换器。
要带走就在右上角点“下载”，可导出 PDF、Word、Markdown、Excel、TXT 等格式；列表卡片“⋯”菜单里，也有同样的下载入口。
在“工具”页点“＋ 上传工具”即可发布：填好名称与链接，再用 Markdown 把使用方法写清楚——能解决什么问题、怎么装、怎么用，比堆介绍实在。
要分发安装包就一并上传压缩包（ZIP、RAR、7Z、TAR.GZ，最大 35MB），别人在详情页一键下载；只放链接不带附件也可以。
工具按大家的收藏热度排序，好用的自然会被顶上来。发布后可在详情页或卡片菜单里编辑、下架。
写笔记时勾上“隐藏”，这篇就只存在于你自己的账号里：不进列表、不进搜索、不上首页精选，也不会出现在任何公开的页面，链接发给别人同样打不开。
适合放密码、草稿、日记这类只给自己看的内容；想公开，去“发布”打开它，把“隐藏”的勾去掉再保存，之后编辑会默认保持原状态，不会悄悄变回公开。
你的内容会同时保存在多个副本上，系统定期做备份与完整性校验，再配合异地容灾机制：就算某台机器出问题，数据也不会丢，可以长期放心存放；特别重要的资料，仍建议你另外再留一份备份。
全站跑在容器化、模块化的现代架构上，更新、部署、回滚都很快，扩展性和稳定性都按长期运营的标准来设计（Built for reliability, designed to scale）。
这个网站最早只是一个人的笔记仓库，后来慢慢长成现在的知识中枢。设计上很克制——没有广告、没有追踪、没有推荐算法，只是干干净净地存放一些东西；既然做好了，就公开出来，万一有人用得上呢。
不做大而全，不做平台梦，保持简单、保持克制、保持好奇。所有内容都由用户贡献、由用户维护：不会突然冒出付费墙，不会在角落塞广告位，也不会把你的数据卖给第三方。
产品会持续迭代，站内日志页记录着每一次改动，改了什么都有迹可循；想了解这个站是怎么一步步走到今天的，翻翻日志就能看到来龙去脉。
如果在这里看到涉嫌违规的内容，点对应卡片右侧的“举报”按钮就能提交，我们会尽快核实处理；也谢谢你花一点时间，一起把这里维护干净。
CrowdStrike Update: Windows Bluescreen and Boot Loops
{"category":"网络安全","title_cn":"CrowdStrike更新致Windows蓝屏与启动循环：技术复盘与影响分析","content":"> 一次CrowdStrike更新引发全球Windows系统大规模蓝屏，揭示出安全软件与操作系统底层交互的脆弱性。\n\n## 事件背景\n\n2024年7月19日，CrowdStrike的Falcon传感器（EDR/XDR安全代理）推送了一次例行配置文件更新，却意外导致全球范围大量Windows机器出现蓝屏死机（BSOD），并陷入启动循环（boot loop）。此次事件在Reddit的r/crowdstrike子版块引发轩然大波——单帖获得了超过4489分热度与3859条评论，被认为是近年来影响面最广的安全软件升级事故之一。\n\n## 技术根因：不是代码逻辑错，是内容更新触发了驱动级异常\n\n从CrowdStrike官方后续发布的事后分析（PIR）来看，问题并非出在Falcon内核驱动的常规代码路径上，而是出在快速响应内容更新机制（Rapid Response Content）上。该机制允许CrowdStrike不通过完整驱动升级，就能动态更新检测规则和模型参数，本质上类似于防火墙的签名库更新。\n\n具体而言，这次更新推送了一个带有逻辑缺陷的模板文件（template instance），该文件被Falcon的传感器引擎加载到Windows内核态。当传感器在运行时解析该模板时，触发了一个未校验的空指针引用（NULL pointer dereference），导致操作系统在核心驱动层检测到非法内存访问，进而触发了Windows的强制崩溃保护机制——即蓝屏（PAGE_FAULT_IN_NONPAGED_AREA 或 KERNEL_MODE_HEAP_CORRUPTION）。\n\n关键在于：CrowdStrike的驱动（csagent.sys 等）注册为Windows启动时的引导驱动程序（boot-start driver），因此一旦到崩溃点，机器会尝试重启并再次加载损坏的更新内容，形成无限循环——除非安全模式启动或手动删除更新文件。\n\n## 为什么影响范围如此之广\n\n1. 更新分发机制即时生效：CrowdStrike采用的是云端集中推送，不经过灰度测试或分段发布（至少在此次事件中暴露了流程缺陷），全球90分钟内约有850万台设备同时收到了损坏的配置文件。\n2. 内核态代码不可回滚：普通应用出错可快速更新，但一旦内核驱动因加载错误内容而死机，系统无法自动恢复，必须人工干预。\n3. 企业和关键基础设施大量依赖：CrowdStrike在财富500强中的覆盖率极高，包括航空公司、银行、医院和政府部门。例如美国联合航空、达美航空、多家欧洲机场系统、伦敦证券交易所等都报告系统中断。\n4. 与杀毒软件“先于系统启动”的设计有关：为了防御bootkit等威胁，CrowdStrike驱动必须比操作系统更早加载，导致其一旦故障，用户连Windows恢复环境都难以进入。\n\n## 受影响系统的症状\n\n- 开机后进入自动修复（Automatic Repair）界面，循环失败\n- 蓝屏错误码包含 0x50（PAGE_FAULT_IN_NONPAGED_AREA）或 0x7E（SYSTEM_THREAD_EXCEPTION_NOT_HANDLED）\n- 部分笔记本在BIOS之后直接黑屏无法进入引导\n- 受影响系统主要版本：Windows 10 21H2及以上，Windows 11全部版本。Windows 7/8/Server 2008不受影响（因内核架构不同）\n\n## 紧急修复方法（IT管理员视角）\n\n### 方法一：安全模式删除问题文件（推荐，适用于单机）\n\n1. 强制关机三次进入Windows恢复环境（WinRE）\n2. 选择“高级选项” → “启动设置” → 重启后按F4进入安全模式（带网络）\n3. 打开文件资源管理器，导航至：C:\\Windows\\System32\\drivers\\CrowdStrike\\\n4. 删除或重命名所有以 C-00000291*.sys 开头的文件（这正是本次出错的模板实例）\n5. 正常重启即可恢复\n\n### 方法二：命令行删除（适用于无法进入GUI）\n\n在WinRE中打开命令提示符，执行：\n\ncmd\ndel /f /s /q C:\\Windows\\System32\\drivers\\CrowdStrike\\C-00000291*.sys\n\n\n注意：必须用 * 通配符，因为实际文件名可能带有随机后缀。\n\n### 方法三：云端批量修复（企业级）\n\nCrowdStrike在数小时后紧急下线了出错的内容标识符（channel file 即 channel-file-291），并提供了新版本。企业IT可以：\n\n- 通过CrowdStrike Falcon控制台将传感器切换到“安全模式”（该模式绕过内容更新）\n- 对于已经无法启动的机器，使用PXE启动镜像或Windows恢复工具脚本化删除上述文件\n- 微软Azure和AWS也发布了临时补丁建议：通过VM快照回滚或使用串行控制台手动删除文件\n\n### 重要警告：不要使用“磁盘写入Bypass”工具强制破坏驱动签名\n\n部分第三方工具建议通过禁用驱动签名强制来绕过错误驱动，但这样做会导致系统安全基线失效。正确做法是仅删除错误文件，保留其余CrowdStrike文件，等待官方下一次更新。\n\n## 根本原因反思：一个安全公司为什么会犯这种低级错误？\n\n从工程文化角度看，此次事件暴露了三个深层问题：\n\n1. 没有对“内容更新”执行自动化验证：模板文件与驱动代码不同，它属于数据文件，但被加载到内核态执行。CrowdStrike的验证流程显然没有包含“在隔离环境中进行模糊测试（fuzzing）和静默回滚测试”这一环节。\n2. 快速响应更新缺少分阶段放量：现代安全软件应当支持“金丝雀发布”（canary release）——先向1%的机器推送，观察崩溃率后再全量。但为了追求检测时效性，绕过了这个流程。\n3. 内核模块的隔离性不足：如果Falcon传感器将内容解析过程放到用户态（ring 3）而不是内核态（ring 0），即使解析出错也只是进程崩溃，不会导致蓝屏。但现实是EDR为了性能监控常驻内核，牺牲了稳定性。\n\nCrowdStrike后续承诺：重构更新验证流程、增加地理/时间分段部署、并考虑对内容更新进行签名校验和回滚机制。然而业界普遍认为，这暴露了整个网络安全行业的共同隐患——安全软件本身正在成为最危险的攻击面之一。\n\n## 对普通用户和开发者的启示\n\n- 如果你所在企业使用CrowdStrike，务必确认IT部门已了解修复步骤，并确保云虚拟机（VM）带有每日快照\n- 对于任何内核级安全软件，建议将更新策略改为“手动审批”或“延时24小时自动更新”\n- 开发者应理解：与用户态程序不同，内核驱动一旦崩溃，没有“进程重启”的兜底方案。任何对内核模块的输入数据（包括配置文件）都应进行严格的校验，并禁止直接将该数据映射为可执行逻辑\n- 此次事件再次证明了“供应链安全”的重要性：不仅代码供应链有风险，规则与配置文件的供应链同样危险。检测规则更新本质上是在推送远程代码执行，必须等同于代码部署管理\n\n## 总结\n\nCrowdStrike蓝屏事件是一次教科书级的实例：它展示了现代互联网基础设施如何在单一安全软件的错误配置下规模化瘫痪。虽然修复方法并不复杂（删除一个文件），但真正的问题在于——我们是否允许安全产品在缺乏熔断机制的情况下，直接操作系统内核的一切？答案显然是否定的，但行业需要更严格的标准和透明的审计。\n\n对于那些在Reddit上抱怨的用户，一个令人讽刺的细节是：CrowdStrike官方支持页面也因流量过大而宕机，他们只能用手机访问Reddit求助——这正是“安全防御体系自身成为故障中心”的写照。\n\n原文链接：https://old.reddit.com/r/crowdstrike/comments/1e6vmkf/bsod_error_in_latest_crowdstrike_update/"