HTTP/3 的头部压缩被人玩成了放大器。Bun 吃一条 516KB 的流，CPU 直接焊死在 100%，永远恢复不了 FoxIO 测了 10 个 HTTP/3 实现，7 个中招。quic-go、Cloudflare quiche、lsquic、Bun、Rust 的 h3 crate、aioquic/mitmproxy，连 Wireshark 都没跑掉 原理其实不复杂。QPACK 能把一个 header 压成 1 字节的索引，攻击者先往动态表塞一条 4KB 的大 header，再发几十万个 1 字节引用，服务器每见到一个就老老实实复制一份完整的 4KB，放大 4000 倍。RFC 明明写了要按解压后的大小限制，结果有的只查压缩前的大小，有的先全解完再检查，有的设置项解析了但从来没用过 最离谱的还是 Bun。它底层用 lsquic，lsquic 自带 64KB 的累计上限，Bun 换成了自己的实现，上限就这么没了。缓冲区还是用 unsigned int 翻倍扩容，过了 2GB 溢出成 0，0 乘 2 永远是 0，死循环 Bun、h3 crate、aioquic 到现在还没修。在用的话 Bun 先别对外开 HTTP/3，mitmproxy 加 --set http3=false，h3 自己设个 max_field_section_size

感觉今天其他的漏洞都还可以理解，只有那个 4……吐槽都不知道从哪开始属于是

przejebane jest pracować w durex bo twoj szef przychodzi losowo cie wyruchac zeby przetestowac nowe prezerwatywy i to jest wpisane w umowie

个人持有无人机管制变严后，我觉得个人持有的算力后面大概率也会变严。 以前各种牛逼的安全大佬会顾忌自己已有的工作和资产所以不会肆无忌惮攻击政府和公司公网服务。但是现在各种强破甲低算力模型出来后，让一个有几万块钱的普通个人就能够对政府和企业的公网服务开展有效的攻击。目前距离这个限制条款加速推行可能只缺一个标志性事件了。 再加速一波就是赛博朋克2077的大黑墙时代了😇

忠告: 把一万粉当成你的第一目标， 粉丝量不够，就不可能带来足够多的流量。 先拼命加好友，尽量把每天的额度加满。

半年前我辞职，是因为看到了软件时代落幕的可能性。 当时乐观预期，软件工程还能存在大约一年，操作系统这样的综合软件还能坚持两年。 现在看来，这最后的两年，是要撑不住了。操作系统，数字版权，活不过 2026 年冬天。 我们看到了 iOS 这个强大的操作系统，在任意硬件上跑得飞快，虚拟机也被端了出来。达尔文在华为上正确工作，核心加密 FairPlay 距离彻底解密也不会超过一个月。PS5 和 Switch 的游戏，在 iOS/macOS 上面繁荣发展。尼康、哈苏的固件，也被添加自制的功能。 这里面，有我和我朋友们的功劳。 这个世界真的还能用软件留住秘密吗？ 在过去的两个月内，日本的互联网企业每天都有大量数据库被泄漏。不仅是日本，TIBD 的生产数据和 Zeabur 的服务器，都赤裸裸的出现在公众面前。 如果说软件无法保护秘密，那这个世界还剩下什么呢？ 这也许可以从 Antropic 身上找到答案。博客全文，都是立场。 哦，天呐。 这是猴子手里拥有 AK47 以后发生的事情。当我们嘲笑达里奥的梦是被一群猴子戏耍的时候，有没有看到自己脑门头上的小红点呢？ 当然，这写 AK47 也有好处。 当任何人的任何软件，能以任何想要的方式运行在任意开放的硬件上，我人生的第一个使命【为每一个人找回数字生活的所有权】也就完成了。 这一天来得比我预期的要快。

am i cooking?