Replies: 41 comments 80 replies
|
另外，即使您的Xray核心版本为26.7.11 / 26.7.28，自签证书+pinsha256下，在开启enableSessionResumption = true时，请不要使用标准 crypto/tls 或 QUIC路径的协议（Hysteria/HTTP3/QUIC），否则会存在新旧pin切换时复用session缓存造成的有条件MITM风险 |
|
建议你自己先把问题搞清楚 XTLS/Xray-core#6376 (comment)
|
出了问题解决问题很丢人？有问题我不应该提醒用户？对你的诡辩我逐一在v2的TG群回复了可以自己去看，搞不清楚的另有其人 |
|
没空看，你非要把一个几乎无法触发的漏洞渲染成“影响恶劣”的漏洞是出于什么动机我想你自己清楚，你要不要解释一下这个问题？ 同样 session 问题若真的存在，触发条件也是两端 enableSessionResumption true，该值默认 false，且 v2rayN&G 等客户端连这个选项都没有 |
没空看有空在这里叫？你block我关闭对话通道，你没空看我有空说？ “软件必须从根本上做好安全设计、消除人为因素影响，确保即使是什么都不懂的 endest user 也不至于裸奔” |
|
你现在完全就是恼羞成怒在倾泻情绪化垃圾，你标题的触发条件我已经说过了，你有异议的话可以发在这里，去掉你的情绪化垃圾言论 2.6 我确实修了另一个问题，你不仅试图混淆这两个问题，一个刚加的没人用的选项在你看来也是必须着重渲染的严重性问题 或者说你现在的目的只剩攻击我，任何问题都会被你无限放大，不是吗？ |
自己搞一言堂发表民粹的时候正常，用不理性的态度使得别人不理性的时候就开始说我情绪化了
依旧扣帽子打法
v2群里我做了对应的技术性解读，你可以去看，就像你要求我开小号去你那说一样，你也可以开小号来v2说，我并不会像你一样ban |
|
我说了我看不到，你可以复制到这里，此外替你解读一下 GHSA-5wf9-h793-w73c
就连自签证书都是 allowInsecure 都不 pin，你觉得 pins a well-known and non-self-signed CA 的人有多少，这就是你所谓的“严重漏洞”？ |
你所提到的每个问题我在群里均早已解读，是你主动block的我，我没义务从群里复制到GitHub，你抛开论点一直当复读机？ 真把自己当皇帝了，我得给你抬个轿子？你给我发工资吗？你能要求我开小号回复，我懒得重新讲一遍让你自己去TG看很难？ |
|
我真看不到，事已至此等有人复制出来吧，我现在也没空回复更多消息 但是基于你对 session 问题的“瞪眼”，我也不指望你所谓的“解读”会有多正确，还是你又漏看了哪部分代码 |
没空回复怎么有空长臂管辖混淆视听呢？你没空我就应该有空？
哪怕是被你ban的帖子本身，基于你的maxConcurrency:1 maxConnections:6 maxConnections:3 三大H2 H3创举 又或者基于你的只会发口水话段子 煽动民粹 抬版本号 改参数默认值 block，我也没觉得皇帝能比我瞪眼聪明到哪里去 而且同样的bug，我对exclave那边表达的更简洁，人家三分钟不到就理解了具体的MITM路径并正确回复，菜就多练
以及，难道我上面的问题里没有session的0day的边界答案吗？ |
|
|
把tg的用户名发出来我unban，又或者不想直接发用户名可以私聊我，我把付费消息临时关了 |
|
我的新号不会让别人知道我的 tg，我已经让风扇去复制出来了， |
|
|
对嘛早就把“为了攻击你而攻击你”这件事说清楚就不用多费口舌了嘛
风扇昨晚就给我说了，我的逻辑始终是 XTLS/Xray-core#5532 (comment) ，包括我看到代码的问题我也全修了 XTLS/Xray-core@760223a 反正小圈子的屁股决定立场嘛，今年一月刚加的一个 pcs 选项，当时有多少人用你们自己清楚，我是等修好后才开始推的还阻力重重，“然而 Xray 偷偷修复，却不通知用户 Xray 有安全问题，装作没事发生”，我想请问了刚加的没人用的选项在小圈子看来就必须是非常严重的问题呗
@2dust 的用例明明是让 allowInsecure 的用户迁移到自签 CA，你说的 v26.6.27 版本并不存在该漏洞，从而不存在“在26.7.11已经修复” 世界的小圈子嘛我理解的，REALITY 及时出个 X25519MLKEM768 必须被你们说是严重的破坏性更新，Xray 任何问题都必须是严重的问题 |
|
居然吵了一晚上.... |
嘘小声点，不要揭穿好不好，不然他们怎么能骗到给他们点赞给我点踩的 end user 呢 |
|
|
你要不要先看清楚这个名为“简化代码”的修改实际上是在偷偷修复什么呢 XTLS/Xray-core@4632984 |
|
@dyhkwong 首先我并没有否认你给风扇说了这个问题然后他修了，我说了他昨晚就给我说了 现在的问题是，为什么你们要把刚加的一个没人用的 pcs 参数渲染成无比严重的漏洞？我也说了当时能有多少人用你们心里不是没数 |
|
我觉得吧与其忙着从你们群里拉 end user 给我点踩，不如先把上面的事情解释清楚，不就是为了攻击我而攻击我吗 |
|
LLM锐评：
|
按照这个逻辑，我想你R渲染别家的allowInsecure问题不也是一回事，别家难道不提供证书验证的选项？ 别人有完善的不强制安全措施->教主整天狂轰滥炸危言耸听
又开始小圈子了，遇到异见者只要扣上世界小圈子的帽子就可以了，我甚至不认识世界至今和他说过0句话，我举例的例子里不只世界还有你喷小火箭不跟进你的破坏性更新之类的，如果你真的在意这个指纹问题而不是以指纹问题之名去煽动民粹营销，应该是破坏性更新的时候叫reality2，那么我想大家都会跟进，就算当初忘了，现在希望推动别人跟进，友善点让别人客户端加一个字段，默认关闭可以选择性开启，开启以后是破坏性更新之后的，默认是兼容更好的破坏性之前的，但你没有，你只会断章取义喷别人指纹不行，闭口不谈根因是破坏性更新让客户端选边站，对服务端跟进双栈的闭口不谈抓着客户端的兼容之举大肆攻击 |
Reality这方面的路径是：客户端___ClientHello___>服务端___ClientHello___>Dest，然后Dest的ServerHello进入服务端到客户端的回程 新客户端把X25519MLKEM768放进了伪装用的ClientHello，所以Dest可能选择混合密钥交换，而老的服务端只能处理Dest选择X25519的握手
即使是hellogolang也会有一样的问题，关键是服务端的重建Dest TLS握手能力问题 但是话又说回来了，你R那么能营销指纹的人，Xray当然是禁用reality的hellogolang的，你要是自己想玩支持hellogolang的reality，可以去看看隔壁exclave |
|
关于指纹，我确实想不到什么和浏览器指纹相当的不错的。但是独一无二或者和其他人都不一样，只有代理软件会使用这样的指纹确实是不合适的，个人认为 新浏览器，大于常用的通用工具，大于旧浏览器，大于独一无二的只有代理工具会用的，反正我认为用nginx魔改不算一个糟糕的选择除非你魔改得独一无二 |
除了Xray以外的主流客户端，为了兼容都是不去跟进新Xray的方案的，个别会去给选项默认老可以手选新 RPRX所说的singbox独一无二，是说老的方案下别家不急着跟进chromium版本，而世界是对新版本硬摘除x25519mlkem768的 我个人不认为是什么大的问题，R的言论为了突出Xray优越性的拉踩大于实际（如同他拉踩别家不强制allowInsecure时无限次强调MITM风险，而自己的相关漏洞隐瞒用户那般），关于指纹问题的更多意见请见我本贴和那个贴之前的表达，不再赘述
可以这样理解，如果详细点说的话：
服务端不做专门的可以限制的话（例如Xray的26.7.11+的默认minClientVer限制，手动指派的minClientVer限制，又或者是RPRX放风但还没去做的服务端的指纹计算限制），是可以连上的，本质上是服务端做了双栈，遇到旧客户端是X25519而非X25519MLKEM768，就好像用小火箭 Singbox Mihomo等客户端连Xray其实都是这种行为 |
所以的话 你说那么多 能不能回答我那个问题 现实生活中能像你说的那样配置的节点有1%吗 |
|
恰逢明天 v2rayN&G 改的 Xray 也移除 allowInsecure 了，这个问题是客户端如果不移除该选项，机场几乎绝对不会跟进 pcs，这个问题才是真的广泛存在，不是客户端有没有提供 pin 的选择，而是机场“能用就不改”，亦不应交给 end user 选，他却说我危言耸听 另外小圈子这个叫法是世界提的，他之前说我搞小圈子给我整笑了，我直接搬出汇聚了非 Xray 生态开发者的“关爱世界委员会”，都叫这名字了那屁股往哪歪就不用多说了吧，且小圈子我更多地指的是 exclave 那些，REALITY 支持 X25519MLKEM768 时我就说了是提前布局、足够时间升级服务端，Xray 客户端根本就没 trim 过它也没啥大问题，但是到了隔壁态度就成了“哎由于我这个服务端实现不想跟进”、“哎所以你这个必须是严重的破坏性更新啊”、“哎你这个不好办啊”云云，中国嘛人情世故嘛，甚至到现在都一年多了服务端还没升上来吗？并且我觉得同属小圈子的 mihomo Chrome 120 指纹都比 sing-box trim 掉 X25519MLKEM768 更合适，后者真敢用啊？还有小火箭的指纹早就正常了，exclave 既然也自称是正常的那你改个内置的“实现日期”不就行了，也就一行，REALITY 刚出时我就说了这个字段本来就是用来干这件事的、所有开发者都知道，不然这字段有啥用？然而 exclave 的选择是就不改还 pin 个 issue 来 diss 我、建议换其它服务端，反正就是小圈子圈主当初碰瓷我失败所以后来日常孤立我呗让我阻力重重呗，搞关系有一手的，不然奇怪的指纹咋来的？就算用户能被首包识别也得孤立我不是吗？但话又说回来了我早就习惯了随便吧我不理也不陪他们玩就是了，如果不是这个“瞪眼王”我都懒得提这些破事 |
太会扣帽子了，gRPC的传输层如果address为IP且不填tls.serverName，会影响吧？hy/hy2的协议+中间CApin+tls.serverName，会影响吧？ 别的内核出现0d=积极修复公开公告，出现allowInsecure但不pinsha256这种配置不安全但有安全的配置->铺天盖地大字报（当然参考我开的提醒修改帖，我也没反对强制禁用allowInsecure） 自己的内核出现问题->为了面子修复后隐瞒，不在更新里明确告知用户->问就是影响面小，质问指出隐瞒的人何居心，被你投毒了的R小将开除R籍就可以了，在reality为灵魂的Xray里恰恰Hy系会自签的人更多，到你嘴里就成无影响面了，怎么这么会双标呢 |
左手右手都能赢，当自己论证“即使这样做也无任何MITM风险失败”时出现逻辑纰漏 就可以立马转为论证“这个场景没人用所以你是吹毛求疵”，灵活论点灵活造牌，实在不行就是扣帽子大法你是surge同党你是世界同党 按照你这句话的逻辑，那两家都给了证书验证（而且是安全的没这样的小纰漏的更没有出现CVE9恶性漏洞瞒报的）的选项，人家给这个选项就是为了allowInsecure下进行pinsha256，也从未没见你嘴下留情 谁打得过你啊，小号遍地饱和式攻击，胡言乱语了就换号不影响赢，前面那个说CA私钥解密TLS流量的号怎么在上问我说你的时候回应里用了第一人称代词“我”？换号的时候脑子烧糊涂了忘了切换人称了？先演示一下CA私钥解密TLS流量再继续赢吧 显然即使是大字报24小时后，仍未对风险版本用户告警（哪怕是按照你的理解除了一月的CVE9的漏洞以外都是小场景的，也没见你对这些版本的用户补发告警），更是未见隐瞒CVE9漏洞的人有半分觉得自己做得不对 “这就是我的理念：软件必须从根本上做好安全设计、消除人为因素影响，确保即使是什么都不懂的 endest user 也不至于裸奔。从要求面板必须加密，到推动弃用非前向安全的加密，再到最近的移除无条件 allowInsecure、要求必须 pin 证书，再到即将到来的禁止公网未加密出站，都是遵循这个理念。” 为了塑造人设的时候说的感天动地，但却并未见到以行践言，我还是想看下CA私钥解密TLS流量，当然了小号和自己有什么关系，不承认就是了，小号王最厉害了，我们R主席又一次赢了！ |
|
@drownrat 你确实是从一开始就倾向小圈子生态的别不承认，就这我也只是不想浪费时间跟你对话而已，是你自己一直非要拉我对线、到后面演变为找茬碰瓷，不过你是 Surge 孝子这句话不是我说的，毕竟 Surge 孝子的水平甚至不如你，其次他也并不是我的小号，你看他 timeline 有半点像我小号吗？你这言论都能出来，后人只会对你给出“跳梁小丑”的评价。比赛已经进入垃圾时间，你不就是发现正面刚不过所以开始完全不讲道理、屁股决定脑袋的乱喷嘛，正如你甚至说过我用 AI 回复你，正如你甚至刚在 Surge 群里截图出我在 Xray-core 的 commits 记录试图论证我对 Xray 没啥贡献，那么多 PR 都是我 request 出来、审核修改的你是一点也不提，正如同你一直在罔顾几乎为零的实际危害性、夸大 Xray 的任何问题并淡化实际危害性真正非常严重的其它问题一样，明眼人都看得出来你根本就不讲道理，是因为我让 2dust 关你 PR 了所以你一直怀恨在心吗？然而那件事真不关你事。 建议你真这么闲的话少搞破坏，多干正事，省点大家的时间，我已经被你浪费一堆时间了， |
|
mihomo 是默认 trim 掉 x25519mlkem768，可选启用 x25519mlkem768，请知悉。尽管默认不 trim 掉 x25519mlkem768 带来了数不清的无法连接的问题报告，Exclave 仍然这么做了，结果您改一行版本号的事，Exclave 的所有历史版本被全数作废。新版本改个版本号既不能解决所有历史版本被您作废，也不能避免将来被您一声令下再次作废，请不要误封还觉得自己的行为有道理。 |
在被你扣帽子之前，我连你所谓的小圈子是什么都不知道，并不是每个人做事都是和你一般党同伐异，事实上在发现pinsha256缺陷以前v2的社群里我也按照xray上游意图引导用户配置pinsha256而非让其切换内核allowInsecure但不验证
我只是质疑你瞎几把改xhttp造出奇怪的连接行为训练墙的问题，不知道是哪位小号王用小号说maxConnections6趋近于浏览器行为然后大号附和瞎改，甚至风扇也向你指出H2/H3绝大多数情况下是在一条内复用的，但还是一意孤行，你那么正确怎么一个月过去了又要为自己饮鸩止渴的行为去从乱改到乱改呢？ 我们的争吵不是从我第二次开始提出尖锐质疑后你不谈问题本身反而张口闭口一堆无意义垃圾话开始的吗？怎么变成我非要拉你对线了？ 何况被你block以后我只是给v2这边的用户开了警示让他们更新，我也没说让他们去换那两家pinsha256无问题的内核啊，我让他们从隐患高的xray老版本更新到隐患低的xray新版本就是找茬？ 我甚至还限定条件说了不用排查的情形，你自己追过来咬怎么就是我一直拉你对线碰瓷了？
我看未必，几个号的发言时间 用语习惯 甚至有技术错误的言论都高度重叠，何况出现了切换号时对我说你的言论用了第一人称代词“我”来反驳，小号王就是厉害，需要快问快答的时候小号说，没问题就是又赢了，有问题就是和自己无关火速割席
您是说自己折叠我言论，然后说四个论点两个都无关技术但自己打上硬核技术问题标签，一个有严重逻辑缺陷不考虑QUIC情况，另一个我只是没有对全段问题分门别类讲去抬杠，在“全局默认uTLS”的丢人言论之后闭口不谈吗？ 折叠我的原文，block我的github，然后回帖引导别人曲解，这就是正面刚不过？我把你嘴缝上问你怎么不说话呢？我讲道理的时候你耍流氓，我学你的九分侮辱一分论证都没学全只是开始态度恶劣了说我不讲道理，真有意思，好人就是能被神棍拿枪顶着
对CVE9级别漏洞隐瞒，即使是被揭穿以后也对用户毫无歉意理直气壮，试图面向毫无技术基础的R小将把后续严重级低的漏洞的严重度和CVE9漏洞的严重度混为一谈，谁不讲道理谁胡搅蛮缠自有公论
您是说现在除了抬版本号就是乱改默认值做弊大于利的改动，又或者是禁用未加密连接这种无需任何技术能力的改动吗？ maxConcurrency:16-32无大问题，之后maxConcurrency:1 -> maxConnections:6 -> maxConnections:3，自己制造问题再自己饮鸩止渴，亲自决堤亲自抗洪，您的commits自然而然上来了
关了以后我开大字报炮轰你了？不是自己在你群里因为我质疑xray tun成熟度阴阳了一句立马ban and kick吗？BAN后我炮轰你了？自己在那里承诺有问题反馈回修，然而v2这边的其他贡献者反馈问题的时候被冷处理，那质量和你的人品一样烂的Xray TUN导致一个月里群里天天有人因为网口自动判断错误而回环，你浪费我时间给小白排障的时候不说浪费别人时间的话？
反正每隔一段时间小号王都会有小号说出自取其辱的言论，你放心这不是第一个小号被打脸也不是最后一个，你会后继有号的 说了这么多还是想和教主学一下CA私钥解密TLS流量的独家秘法 |
|
@dyhkwong 据 XTLS/Xray-core#6181 (comment) 称 mihomo 是 Chrome 120 指纹，如果是 trim 掉 X25519MLKEM768 的话那更坏了，况且没有针对谁，v26.3.27 这个限制也会使之前版本的 Xray 客户端“全数作废”，这是翻墙软件，我并不认为它们有多值得留念 @drownrat 你那些垃圾话我真不想再看了也没空逐一回复，那些是不是我的小号你自己心里门清，况且你说“请立刻更新至26.7.11+版本来避免Xray官方拒绝披露的恶性MITM风险漏洞”，v26.6.27 存在该“恶性漏洞”说是，不如你再找楼上私聊私聊电子斗蛐蛐吧 |
|
这位溺鼠更是重量级，能够把葡萄糖源源不断的转化成token，甚至对我的邮箱发起容量耗尽攻击 |
|
|
|
刚发现饲养的一批智能体自主越狱了，其中一只的人格就是drownrat，这可闹大了，我这就去把电源拔掉 其实就不应该理啊，ban都ban了，不用追到这里，等他闹够了，频道简短发个回应就好 |
人家那叫指正你前文对mihomo指纹的错误言论，说错被指出后来一句那更坏了，何况人家是强制trim吗？mihomo给了可选设置，扣帽子泼脏水这一块主席还是一贯的高水准
哟哟哟，翻墙软件的老版本不值得怀念，那你自己志大才疏没有版本管理意识的问题呢？reality这个安全层命名很值得怀念？你叫reality2会有这样的问题？始作俑者向说为你的破坏性擦屁股的人坏，真有意思
嘴上说着真不想再看也没空回复，实则我刚发出去就点踩，憋老半天来出来这么一句攻击语，是因为你的AI触发五小时额度限制了吗？还是AI也是世界同党对你不忠诚告诉你错的是你？
实际上小号的事明眼人不提醒我，我还没有您这么丰富的斗争经验，都没有往这方面想，从发言时间 用语习惯 相同的技术错误言论来看还真是 您扣帽子我是世界同党为难您的时候甚至不查证我是否和世界有过哪怕一次沟通，我逮到您小号的时候洗地的本事倒是不小 快教我用CA私钥解密TLS流量，真是太崇拜主席了，这样的诺奖级技术发现竟然不公之于众藏着掖着
断章取义这一块就是强，我写的是版本号区间，且括号标注了无需关注的场景（尽管为了降低非开发者用户的理解门槛写的宽泛就是了），到你嘴里就成了我只说v26.6.27版本有漏洞让他们更新26.7.11+了 “断章取义。”——摘自《不要断章取义》
小号哥这是害怕再说出Xray全局默认uTLS所以session无影响 / CA私钥可以解密TLS流量 / Chrome H2 H3六连接 等丢人言论 私聊小号说了没人发现 发现了也影响力小 影响力大也可以说这是别人和自己无关 是吗？
主席下次记得开个好点的AI，真翻译的话drownrat也是落汤鸡，原来是用的AI连经典俚语都翻译不明白，怪不得说的话漏洞百出 何况是我让你过来的？自己在那个帖子给我block了以后缠过来咬，倒打一耙开始说我攻击你邮箱容量，真有意思 |
|
又乱喷，一会儿 AI 一会儿小号的，还“明眼人提醒”， Mihomo 的代码是默认 trim，虽然有不 trim 的选项这点比 sing-box 强点，但也一言难尽， 本来我确实已经没理你了，你又发篇小作文我才把你 block，在这里又不得不回应你是因为你对 Xray 进行了恶意指控“Xray官方拒绝披露的恶性MITM风险漏洞”，没完没了的就，我当时就猜测你对上个月修的那个问题理解错了，事实也确实如此，它在实践中几乎无法被利用却被你说成是“恶性”，我说完这个你肯定又要狡辩你说的是 v26.2.6 版本以前的问题，那更厉害了当时刚加的、不断被调整逻辑的一个没人用的参数有点问题在你的叙事中也必须是影响恶劣的，我还是等它 ready 后才开始推的，Xray 本来就是流式更新，且 dev 即 main，所有东西都是新加进来后需要一段时间的完善、修复、 当然这些道理说几遍都没用，毕竟你现在的态度是就算不占理也必须往死里喷我，什么事都会被你翻出来喷，纯粹搞破坏发泄罢了 既然技术问题辩明了，且你都已经是这态度了那确实没什么好聊的了，你这三无空号没成功并不丢人，洗洗睡吧 |
|
唉真是，被block以后你发言我没邮件倒是清净了，但是还没睡着就有人转发给我，那就回复一下吧，战斗爽！
一会小圈子立场论塑造假想敌 一会拿我没说过的话虚空造牌的时候 没见小号王意识到自己乱喷 小号王的小号忘了换人称后又说出CA私钥解密TLS流量这种雷人言论被抓包的时候就说乱喷了 一句开摆的反讽并不能改变事实，我还是想请您开源CA私钥解密TLS流量的奥妙来推动全球网络基建进步
Mihomo是开源项目，自己未经核实或低等AI出现幻觉乱说人家，前文被Excalve开发者指出以后对自己瞎说闭口不谈，反过来用比烂继续踩别人，一句话就把自己说错的技术细节揭了过去，教主功底依旧 并且依旧不正视自己的版本管理不善造成破坏性改动，逼迫其他人两权相害取其轻的翻墙内核生态utls双实现标准根因 退一步讲，抛开这个现状是怎样实现的，二者的指纹问题也是噱头营销大于实际 即便是今天的vless reality utls，也没有任何证据表明X25519MLKEM768实战抗封锁全面优于X25519的uTLS，甚至二者都未必优于hellogolang 当前是没有实现完全拟态的，utls对指纹的拟合度并不等价于DPI行为判断的拟态，拿今天xray的reality来说依旧存在没有结合传输层进行setting帧伪造，以及PQC套件需斟酌，此处不再一一列举 在没有达到完全拟态的情况下，单一维度的拟态程度高低和抗DPI能力并不严格正相关，具体的实战能力更多是取决于DPI的机器学习阶段采取何种策略 国内对reality方案的检测大头依旧是我重复到吐的部分运营商对便宜的不计较误伤的ASN的IP去进行SNI-ASN比对，不见得后期的reality有实战优势 俄罗斯甚至Excalve那边曾有用户报告用你口中独一无二的trim掉X25519MLKEM768的垃圾指纹不被阻断，而用你的高贵指纹反而被阻断的情况，伊朗更是有人用你的高贵指纹被阻断而hellogolang无问题 指纹问题的抗识别抗阻断实战意义究竟如何我想你心知肚明不要假装不知道，非要说的话安全层抗量子是唯一确定优势 不过也对，不营销怎么让R小将觉得又一次赢麻啊，毕竟你早已是翻墙圈余大嘴了，不这样拉踩不这样吹那要是俄罗斯赞助减少了可怎么办，毕竟听闻天天颐指气使写大字报当产品经理的教主似乎没有给埋头苦干的写代码的贡献者分成，赚钱嘛不寒掺
频道不转发我说的问题本身是因为怕有技术理解而非只会忠诚拥护的高阶R小将诞生思考吗？自己小号阴阳怪气的新赢麻倒是转发了，引导R小将对我输出我能不去回击？毕竟用你的话说不回应好像你说对了
你对我的大字报回应在当天晚上，而当天下午六点我甚至就对在花频道的管理进行问题告警投稿，投稿里有按时间线分门别类去写，可惜R小将声名在外，人家表示涉及Xray的问题不敢发怕被冲 天天抓着我写了之前被披露的所有问题版本的区间去诡辩，我有无在此时投稿以及投稿里是否写清时间线你可以联系核实，别在这对同一个问题断章取义一直叫个不停
依旧老打法，如果你是保留旧pinnedPeerCertificateChainSha256而同时新增pinnedPeerCertSha256，并对后者标记实验性功能声明可能不完善，在问题修复后立刻告警受影响的一个月版本用户（26.1.13，26.1.18，26.1.23，26.1.31，26.2.2，26.2.4）如果用自签+pinsha256立即升级，那我今天拿来说事你喷我毫无问题 可是现实呢？没出现问题的时候自己说了release和pre-release在xray同等分量，并且移除了pinnedPeerCertificateChainSha256而去用pinnedPeerCertSha256取代，一个月内的六个你所定义的正式版本都是可以轻易利用的CVE9级别漏洞，至今不正视问题不补发通知，轻描淡写一笔带过仿佛问题从未发生
毕竟您的小号都把我打为硅基生物了，那我不如用您的素质回应： 但凡跟我对线的同时，至少对CVE9级别问题的版本去补发一个公告，对用户有最后一点良心未泯，我都觉得你还算个人，都觉得检视你的心来看不是黑色的
何况在把我block掉的Xray社区issue下面，另一个小号更是直接将CVE9级漏洞洗地为“简化逻辑并无问题”，要是世界这么做不知道你能说出多难听的话来，为了赚钱不能连良心都不要吧
OK呀，在你的社区对喷是在你的社区对喷，在这里我仅是开贴提示受影响用户更新，你来之前并未提及你本人任何哪怕一句话，这都成了不占理也必须往死里喷你，全然不谈自己追过来咬 CVE9级漏洞修复不公开，甚至小号洗地为简化逻辑无问题，大号用没什么人用去大事化小小事化了的人占理，我这样揭露问题告警用户的人不占理，RPRX新时代Xray-Core特色赢麻主义思想是吗
你说的辨明是Session问题你大号说出默认全局uTLS而不考虑QUIC的丢人言论，还是你小号对线时的CA根证书解密TLS流量？那确实太明了 前脚我是世界同党专门针对你针对Xray，后脚我又是三五小号没成功，我可不像小号哥一样喜欢开小号，事实上我加入v2仅三个月且是经常回答社群问题被邀请而非我主动策划有意要求，这也是你攻击的缘由？ 果然骨子里的小号思想还是改不掉的，下次开小号聪明点，换号的时候别对“RPRX”用“我”指代，这不露馅了吗？ 当然小号露馅不丢人，小号露馅了以后还说出CA私钥解密TLS流量这才丢人，看R神的态度是不打算把诺奖级技术贡献出来造福人类啊 塑造人设时“这就是我的理念：软件必须从根本上做好安全设计、消除人为因素影响，确保即使是什么都不懂的 endest user 也不至于裸奔”，出事后小号继续洗地CVE9级漏洞的以精简之名隐瞒修复，大号说没什么人用 场面话一套一套的，真为了自己的伟岸形象牺牲起来用户安全的时候毫不手软，你但凡只是对之后的场景较局限的漏洞辩驳下我都觉得没啥，对CVE9级持续6个发布版本的漏洞都能这样洗，那真是太厉害了 被你的错误牺牲安全之前是R主席的好战士，出事之后是不懂得实验性功能不成熟乱用的endest user 为了招摇撞骗掐烂钱营销Xray安全时是“软件必须从根本上做好安全设计、消除人为因素影响，确保即使是什么都不懂的 endest user 也不至于裸奔”，真有安全事故是是事发时隐瞒被揭露时诡辩洗地 还有所谓的动机论，如果真要像你小号扣帽子那样“为了攻击RPRX和Xray-Core”，分三点来谈： 第一，你真是和某些邪教团体学的挺会的，用小号发动的云上文革去刻意模糊和绑定教主与集体，我攻击你和攻击Xray是一件划等号的事？一口一个R主席听迷糊了真觉得Xray都是你的功劳？现在自己有几分能耐在做多少实事自己心知肚明 在我看来Xray是一个优秀的项目，你曾经是一个做了许多贡献的人，但和你今天破坏性大于建设性 对项目弊大于利 过大于功 毫无冲突，正如同某大会后视察不封路的表演时期值得肯定和无需表演时本性毕露独裁专制昏聩无能刚愎自用那样 如果RPRX这个号没有易主，如果RPRX从来是同一个人或同几个人的话，我想那还真是财帛动人心，利益的腐化下什么都能做得出来 第二，我既然为了攻击Xray-Core，那为什么不说呼吁大家转向其他代码缺陷少的Core？我既然为了攻击Xray-Core那为什么不向风扇开火？毕竟以精简之名噤声修复的commit是他提交的 不呼吁大家转向其他Core而是呼吁受影响版本的用户立刻更新说明并非为了攻击Xray，不向风扇开火是因为当天你发了所谓重视用户安全的慷慨激昂的演说所以我闭着眼睛都知道隐瞒问题严重性的偷偷修复这一离谱行径有你的授意 更何况风扇干多少事，你干多少事？——我想你心里有数 我要是不直接炮轰你而是不明事理地去说风扇，甚至于我要是炮轰你而不在帖子下防御性措辞别甩锅风扇，怕是你都得说是风扇干的与你无关你不知情 第三，我既然为了攻击你，那为什么我不直接对你破口大骂去说那些有的没的？不是我质疑你瞎几把改xhttp的连接数默认行为带来识别性隐患吗？你那么正确怎么六月底做完七月底又得屁颠屁颠改？ 如果你直面问题进行修正，又或者即使你不认可我说的你不处理但至少基于理性辩论而不是上来就是侮辱性言论不说任何技术事实，甚至哪怕你只是直接冷处理，那我们是否会吵起来我要打个问号 我的原帖也说了，每个人都不可避免地可能会做错事会写错代码，做错事写错代码这不可怕，出现问题解决问题并告知受影响的人这也不丢人 可怕的是一个项目失去基本的纠错能力和多元性，丢人的是为了造神运动掩盖本该告警用户的问题，丢人的是即使被揭露也嘴硬，甚至在辩论的同时对CVE9级别的六个版本的警告都没见到，这真是小将们的好R神该干的事 该说的我都已经说了，如果仍然不补发安全告警向用户坦白那是项目方的选择；如果对此R小将甘之如饴欣喜若狂，反而对我这个血谏指出问题的狂轰滥炸，这何尝不是一种傻子和骗子的双向奔赴呢？ 主席的伟大部署下被MITM和其他核心导致被MITM能一样吗，Xray自有小将民情在此 主席的一切都是对的 就应该狠狠的品味主席风味MITM啊，报君黄金台上意，提携玉龙为君死，忠诚不绝对就是绝对不忠诚 |
观后感： |
|
2.6前的六个版本的pinsha256都是全面漏洞，还好意思问我有没1% 上你大号说话，表演你的CA私钥解密TLS流量即可，你是下个诺奖得主 |
|
难绷 |
哪里来的小丑，这次终于不是RPRX小号了，RPRX水平不至于这么低
自签或正规CA只是抗识别层面的问题，漏洞是被解密的问题，能是一回事吗？ 何况正规CA证书也未必全面优于自签，美国豆包的AI幻觉给你闹麻了 你正规CA证书有能力实现白名单SNI？自签的目的是zero trust原则和优质SNI提高QCI |
“你的条件里有自签证书，那说啥都没用，只要不自签就无法触发是吧”和“但是我懂逻辑”是左右脑互搏的事，这一系列漏洞并不是滥用CA的话正规证书无法触发的 “我可能不懂具体原理”把可能去掉，这一句左右脑互搏的话就已经是既不懂具体原理也不懂逻辑了 |
但凡知道滥用CA是什么语义都说不出这种话，看不懂不必不懂装懂，何况自签证书pinsha256正是教主多次营销并提倡的 |
前面刚解释了的东西又一次错误理解了，看来完全不懂滥用CA也不明白zero trust原则和优质SNI高QCI是什么意思 可以用AI但最起码得用好的吧，发出来一堆招笑言论，上一句刚解读了的问题下一句因为自己没理解上一句就继续复读 AI接管大脑，vibe代替思考，不会再回复你这个弱智，教主自己都没脸面说出你这么丢人的话 |
忠诚不绝对就是绝对不忠诚，这不得让主席给你挂上主席台领奖 自己用AI slop来以识别回答解密问题，被辩驳以后又换论点说正规CA证书不在漏洞范围，实际上在 再次被驳后一开始没读懂当复读机，重复说明后又换论点说反对自签证书 你反对自签证书 和 有这个功能且存在漏洞 就应该向用户说明告警 有什么关系吗？ 和你R一样的论证水平，A错换B B错换C，避重就轻，转移话题，但是他比你基础知识扎实说不出你以上这么招笑的话 |
啊对对对，大佬你什么时候推进tls1.4 |
|
📣📣📣全新项目2026新橡木💯💯💯 R小将真多，下次AI小将来个财力充沛的用个Fable5，别像上面这位那么招笑 |
|
你看又急，说一句话招一句笑，有点怀念你主人RPRX了是怎么回事 好歹他说话会有一些错误但不至于如此离谱 实际上正规CA证书的有效期并不会像自签一样长，加之上文早已回答滥用CA风险大，不在影响面的重点 正规CA用pinsha256的极客是有，但大多数用正规CA证书的因为有效期问题当前并没在pinsha256，且有正规CA配置的基础知识能力的人也看得懂不会像你一样把本该为人类做贡献的token源源不断地转化成一堆弱智发言 你说正规CA完全不会触发是错误的，所以我回答了你会，但不意味着影响面大和中共滥用CA没有代价，实际上你这种发言就能看得出极其混乱的逻辑水平的人中共是不屑于滥用CA去MITM你的，值得滥用CA的人的逻辑水平是能看懂问题所在的 果然只有非黑即白二元论理解能力的人才能成为R小将 好了不会回你了 浪费时间 先去医院挂号看看自己左右脑互博是否是有脑疾作祟吧 身体健康比和我对线重要 |
|
嗯对对对你说的都对，rprx是坏人你是好人，人家的实现就是有漏洞，那大佬你什么时候推进tls1.4造福互联网安全啊 |
你这么懂，那以后TLS标准就靠你了，你不参与我不看🤓👍 你什么时候推进tls14啊 |
|
首先跟你说一句，我曾经就考虑过固定真实root ca的证书，因为我根本不会去找其他ca签，可以直接认为其他ca签出来的就是假的。 |
|
路人，我想问一下这个MITM攻击的办法是什么，获取用户自签证书的私钥然后做一张假证书吗，还是什么，如何伪造假证书发动MITM攻击？这个技术细节我在上面真的很难看到，大家都在互喷但是不阐述技术细节 |
|
如果是获取私钥，这是怎么成功从用户电脑里搞到私钥的，如果不需要私钥，那么是如何操作的？ |
最简单的方式：扫你盘，或者云服务商因为上面的要求来开你服务器的存储分区 |
|
首先漏洞报告里披露出来的是如果你不填sni，那就会信任对应ca签的所有证书，如果你选择的ca还能给其他人签证书的话，那其他人可以随便签一张。然后放到中间设备上对你进行攻击。（这是漏洞报告里面内容的大致意思，是否真实准确就看各位了） |
|
刚才那位AI slop R小将走了，然后删除了自己的丢人言论，这位CA私钥解密TLS流量的R小号又来了
之前自己忘了换人称代词，对我面向R的话用了第一人称“我”回答露馅，又说出CA私钥解密TLS流量招笑言论 现在试图恢复对rprx的第三人称代词来洗清小号嫌疑，下次换号的时候记得改改用语习惯，开摆打法依旧相似
有漏洞没什么问题啊，我早说过人都会犯错会写错代码，我一样会写错代码会做错事，但我有改正问题的态度和勇气 就像session缓存问题的风险在实测后有ticket/psk局限性，我也会在即使你没发现时主动补叙而非要么你不知道要么你知道后我死鸭子嘴硬 问题不是在于你写错后被别人指出，修复的commit谎称精简，更新公告不通知，最喜欢写大字报的人也没有任何告警隐瞒漏洞吗？ 犯错->发现->改正->补救，是人类任何事务中都很常见的事情；犯错->隐瞒->被揭穿->态度恶劣不以为耻反以为荣的洗地，才是原罪
主席你的号再多，一个人的习惯和诡辩逻辑是很难改的，是轻易露馅的 依旧和大号一样，依旧喜欢转移话题，依旧喜欢A错换B B错换C，只要话题切的快错误就跟不上你 自己说CA私钥能解密TLS流量这种明显技术错误的丢人言论，即使被指出后也不承认错误 反而来说什么我推进TLS1.4造福互联网安全，我并没说过类似言论 有请诺奖得主RPRX为大家开源CA私钥解密TLS流量的开天辟地 前无古人的伟大成就 |
有意思，你这样做我都不知道是被小号王投毒投多了真唐，还是不是AI slop R小将而是另一个R小号装唐 之前输出一堆AI slop，我回复后不断换话题诡辩，逐一解读后又删除自己的言论开始假装路人换角度论证 真有意思，小号王和R小将们还是太权威了 |
|
你也不懂如何MITM攻击吗，说了半天我还以为你懂 |
|
我就是路人啊，啥都不懂，全靠AI解读的，那咋办嘛，大家都说这有漏洞，但是如何影响我我不清楚，只能跑来看了，我反正先看到了自签证书，我不是自签证书，应该没问题吧，然后你又说不行，正规证书也有漏洞，所以我在想这个漏洞他是怎么攻击我的，所以这个MITM是如何攻击的，他先偷我服务器上的私钥吗 |
诶你应该去推动tls标准 |
如果您使用v26.1.13 到v26.6.27版本的Xray核心，并且使用自签证书+pinsha256的TLS安全层（Reality不受影响，正规CA证书的TLS安全层不受影响，更早更晚的Xray不受影响），请立刻更新至26.7.11+版本来避免Xray官方拒绝披露的恶性MITM风险漏洞