Donation: https://github.com/XTLS/Xray-core/issues/3668中文群组：https://t.me/projectXrayРусский: https://t.me/projectVlessPersian: https://t.me/projectXhttpGitHub: https://github.com/XTLS
这次不小心写多了，就不完整复制到频道了 https://github.com/2dust/v2rayN/discussions/9870#discussioncomment-17950357
没看懂的或觉得整个 issue TLDR 的，给你们梳理了一下
https://github.com/2dust/v2rayN/discussions/9870#discussioncomment-17960790
GitHub
[风险通知]: Xray 26.1.13-26.6.27版本 自签证书+pinsha256的TLS 存在MITM风险漏洞 · 2dust v2rayN · Discussion #9870如果您使用v26.1.13 到v26.6.27版本的Xray核心，并且使用自签证书+pinsha256的TLS安全层（Reality不受影响，正规CA证书的TLS安全层不受影响，更早更晚的Xray不受影响），请立刻更新至26.7.11+版本来避免Xray官方拒绝披露的恶性MITM风险漏洞
又乱喷，一会儿 AI 一会儿小号的，还“明眼人提醒”，唉好吧其实 GitHub 上全是我的小号，反正有 AI 加持我也不累，这下闭环了 Mihomo 的代码是默认 trim，虽然有不 trim 的选项这点比 sing-box 强点，但也一言难尽，这下开始比烂了 本来我确实已经没理你了，你又发篇小作文我才把你 block，在这里又不得不回应你是因为你对 Xray 进行了恶意指控“Xray官方拒绝披露的恶性MITM风险漏洞”，没完没了的就，我当时就猜测你对上个月修的那个问题理解错了，事实也确实如此，它在实…
这次不小心写多了，就不完整复制到频道了
https://github.com/2dust/v2rayN/discussions/9870#discussioncomment-17950357
GitHub
[风险通知]: Xray 26.1.13-26.6.27版本 自签证书+pinsha256的TLS 存在MITM风险漏洞 · 2dust v2rayN · Discussion #9870如果您使用v26.1.13 到v26.6.27版本的Xray核心，并且使用自签证书+pinsha256的TLS安全层（Reality不受影响，正规CA证书的TLS安全层不受影响，更早更晚的Xray不受影响），请立刻更新至26.7.11+版本来避免Xray官方拒绝披露的恶性MITM风险漏洞
又是发生在singbox官方群的一幕，一伊朗用户要求支持xhttp遭受集体围攻（骂的过于难听+我准备截图时候消息被世界大手删了没来得及截图），现已被世界踢出有关所有群聊+永久block
但凡卖 50 刀而不是 10 刀，洗脑用户这是 omakase，会有这种问题吗再加上订阅制而非买断制，韭菜就不会有任何话语权，我必将严肃学习
Forwarded From ㅤahold on ㅤ ^just one 🌛🎠🚧-
我曾经不会部署ss，那段时间里我时常抑郁，几度想了结自己的生命，但是在后来我接触到了艾教授，他是我人生中的一束光。让我找回了失去的自我。让我在生活中重新寻找到了爱与和平。让我在这个道貌岸然的世界中重新寻找到了一丝温暖。
一个不用ss的人这辈子都不能理解爱与和平，是一个身处资产阶级泥潭里永远惴惴不安的迷途羔羊。
真来了
等两年后 AI 视频细节以假乱真、数字人有活人感，这种勒索就没市场了
几年前就觉得未来属于 AI+VR，但就国内那些太监模型，额你们都懂的
这就是为什么新协议取名 REALITY，希望它能帮助人们用上无阉割版 VR
Forwarded From nano
GPT 你吓到我了😭 ChatGPT Voice的活人感简直要溢出了，超过所有我体验过的语音模型。 一直在说幽默是AI最难掌握的部分，但我觉得也快了，以后AI说脱口秀也不是不可能 # chatgpt # ai # GPT # AI
第5个，要是第一个通过就第6个
这下很坏了，最近被“瞪眼王”整得我都没空泡妞了，只能看群友幸福了
你确实是从一开始就倾向小圈子生态的别不承认，就这我也只是不想浪费时间跟你对话而已，是你自己一直非要拉我对线、到后面演变为找茬碰瓷，不过你是 Surge 孝子这句话不是我说的，毕竟 Surge 孝子的水平甚至不如你，其次他也并不是我的小号，你看他 timeline 有半点像我小号吗？你这言论都能出来，后人只会对你给出“跳梁小丑”的评价。比赛已经进入垃圾时间，你不就是发现正面刚不过所以开始完全不讲道理、屁股决定脑袋的乱喷嘛，正如你甚至说过我用 AI 回复你，正如你甚至刚在 Surge 群里截图出我在 Xray…
又乱喷，一会儿 AI 一会儿小号的，还“明眼人提醒”，唉好吧其实 GitHub 上全是我的小号，反正有 AI 加持我也不累，这下闭环了
Mihomo 的代码是默认 trim，虽然有不 trim 的选项这点比 sing-box 强点，但也一言难尽，这下开始比烂了
本来我确实已经没理你了，你又发篇小作文我才把你 block，在这里又不得不回应你是因为你对 Xray 进行了恶意指控“Xray官方拒绝披露的恶性MITM风险漏洞”，没完没了的就，我当时就猜测你对上个月修的那个问题理解错了，事实也确实如此，它在实践中几乎无法被利用却被你说成是“恶性”，我说完这个你肯定又要狡辩你说的是 v26.2.6 版本以前的问题，那更厉害了当时刚加的、不断被调整逻辑的一个没人用的参数有点问题在你的叙事中也必须是影响恶劣的，我还是等它 ready 后才开始推的，Xray 本来就是流式更新，且 dev 即 main，所有东西都是新加进来后需要一段时间的完善、修复、甚至 breaking 后才能稳定，无一例外，你下次要不要把中间没打 tag 的 commit 也算上？
当然这些道理说几遍都没用，毕竟你现在的态度是就算不占理也必须往死里喷我，什么事都会被你翻出来喷，纯粹搞破坏发泄罢了
既然技术问题辩明了，且你都已经是这态度了那确实没什么好聊的了，你这三无空号没成功并不丢人，洗洗睡吧
https://github.com/2dust/v2rayN/discussions/9870#discussioncomment-17857110
GitHub
[风险通知]: Xray 26.1.13-26.6.27版本 自签证书+pinsha256的TLS 存在MITM风险漏洞 · 2dust v2rayN · Discussion #9870如果您使用v26.1.13 到v26.6.27版本的Xray核心，并且使用自签证书+pinsha256的TLS安全层（Reality不受影响，正规CA证书的TLS安全层不受影响，更早更晚的Xray不受影响），请立刻更新至26.7.11+版本来避免Xray官方拒绝披露的恶性MITM风险漏洞
别追着他问他不敢回答的问题了，他全程都在拿一些“瞪眼”出的错误“事实”当骂我上万字的基石，别把人家家拆了 恰逢明天 v2rayN&G 改的 Xray 也移除 allowInsecure 了，这个问题是客户端如果不移除该选项，机场几乎绝对不会跟进 pcs，这个问题才是真的广泛存在，不是客户端有没有提供 pin 的选择，而是机场“能用就不改”，亦不应交给 end user 选，他却说我危言耸听 另外小圈子这个叫法是世界提的，他之前说我搞小圈子给我整笑了，我直接搬出汇聚了非 Xray 生态开发者的“关爱世界…
你确实是从一开始就倾向小圈子生态的别不承认，就这我也只是不想浪费时间跟你对话而已，是你自己一直非要拉我对线、到后面演变为找茬碰瓷，不过你是 Surge 孝子这句话不是我说的，毕竟 Surge 孝子的水平甚至不如你，其次他也并不是我的小号，你看他 timeline 有半点像我小号吗？你这言论都能出来，后人只会对你给出“跳梁小丑”的评价。比赛已经进入垃圾时间，你不就是发现正面刚不过所以开始完全不讲道理、屁股决定脑袋的乱喷嘛，正如你甚至说过我用 AI 回复你，正如你甚至刚在 Surge 群里截图出我在 Xray-core 的 commits 记录试图论证我对 Xray 没啥贡献，那么多 PR 都是我 request 出来、审核修改的你是一点也不提，正如同你一直在罔顾几乎为零的实际危害性、夸大 Xray 的任何问题并淡化实际危害性真正非常严重的其它问题一样，明眼人都看得出来你根本就不讲道理，是因为我让 2dust 关你 PR 了所以你一直怀恨在心吗？然而那件事真不关你事。 建议你真这么闲的话少搞破坏，多干正事，省点大家的时间，我已经被你浪费一堆时间了，反正每隔一段时间就会出个自取其辱的小唐人，你放心真不缺你一个，你会后继有人的
https://github.com/2dust/v2rayN/discussions/9870#discussioncomment-17855658
GitHub
[风险通知]: Xray 26.1.13-26.6.27版本 自签证书+pinsha256的TLS 存在MITM风险漏洞 · 2dust v2rayN · Discussion #9870如果您使用v26.1.13 到v26.6.27版本的Xray核心，并且使用自签证书+pinsha256的TLS安全层（Reality不受影响，正规CA证书的TLS安全层不受影响，更早更晚的Xray不受影响），请立刻更新至26.7.11+版本来避免Xray官方拒绝披露的恶性MITM风险漏洞
额我昨晚就 recheck 过了，不是给你解读过了嘛 #9870 (comment) ，其实只要是 pin 自签 CA 都不会受影响，因为还有证书链验证，要利用这个漏洞的整个大前提是你要能签出 leaf 证书，而自签 CA 是别人的私有的，你签不出来它的 leaf，现在懂了么，别再叫了 不就是你又是基于你的“瞪眼”喷我半天，不然我昨晚跟你掰扯半天让你描述详细复现过程干嘛，又是说在群里发了又不转发出来，最后各方转发出来的我也没见你描述啊；再说用户都自签了还只填 address？你域名都能被控制解析到 IP…
别追着他问他不敢回答的问题了，他全程都在拿一些“瞪眼”出的错误“事实”当骂我上万字的基石，别把人家家拆了
恰逢明天 v2rayN&G 改的 Xray 也移除 allowInsecure 了，这个问题是客户端如果不移除该选项，机场几乎绝对不会跟进 pcs，这个问题才是真的广泛存在，不是客户端有没有提供 pin 的选择，而是机场“能用就不改”，亦不应交给 end user 选，他却说我危言耸听
另外小圈子这个叫法是世界提的，他之前说我搞小圈子给我整笑了，我直接搬出汇聚了非 Xray 生态开发者的“关爱世界委员会”，都叫这名字了那屁股往哪歪就不用多说了吧，且小圈子我更多地指的是 exclave 那些，REALITY 支持 X25519MLKEM768 时我就说了是提前布局、足够时间升级服务端，Xray 客户端根本就没 trim 过它也没啥大问题，但是到了隔壁态度就成了“哎由于我这个服务端实现不想跟进”、“哎所以你这个必须是严重的破坏性更新啊”、“哎你这个不好办啊”云云，中国嘛人情世故嘛，甚至到现在都一年多了服务端还没升上来吗？并且我觉得同属小圈子的 mihomo Chrome 120 指纹都比 sing-box trim 掉 X25519MLKEM768 更合适，后者真敢用啊？还有小火箭的指纹早就正常了，exclave 既然也自称是正常的那你改个内置的“实现日期”不就行了，也就一行，REALITY 刚出时我就说了这个字段本来就是用来干这件事的、所有开发者都知道，不然这字段有啥用？然而 exclave 的选择是就不改还 pin 个 issue 来 diss 我、建议换其它服务端，反正就是小圈子圈主当初碰瓷我失败所以后来日常孤立我呗让我阻力重重呗，搞关系有一手的，不然奇怪的指纹咋来的？就算用户能被首包识别也得孤立我不是吗？但话又说回来了我早就习惯了随便吧我不理也不陪他们玩就是了，如果不是这个“瞪眼王”我都懒得提这些破事
https://github.com/2dust/v2rayN/discussions/9870#discussioncomment-17854930
GitHub
[风险通知]: Xray 26.1.13-26.6.27版本 自签证书+pinsha256的TLS 存在MITM风险漏洞 · 2dust v2rayN · Discussion #9870如果您使用v26.1.13 到v26.6.27版本的Xray核心，并且使用自签证书+pinsha256的TLS安全层（Reality不受影响，正规CA证书的TLS安全层不受影响，更早更晚的Xray不受影响），请立刻更新至26.7.11+版本来避免Xray官方拒绝披露的恶性MITM风险漏洞
额我昨晚就 recheck 过了，不是给你解读过了嘛 #9870 (comment) ，其实只要是 pin 自签 CA 都不会受影响，因为还有证书链验证，要利用这个漏洞的整个大前提是你要能签出 leaf 证书，而自签 CA 是别人的私有的，你签不出来它的 leaf，现在懂了么，别再叫了不就是你又是基于你的“瞪眼”喷我半天，不然我昨晚跟你掰扯半天让你描述详细复现过程干嘛，又是说在群里发了又不转发出来，最后各方转发出来的我也没见你描述啊；再说用户都自签了还只填 address？你域名都能被控制解析到 IP 了还需要自签？两条路都不通
https://github.com/2dust/v2rayN/discussions/9870#discussioncomment-17853340
GitHub
[风险通知]: Xray 26.1.13-26.6.27版本 自签证书+pinsha256的TLS 存在MITM风险漏洞 · 2dust v2rayN · Discussion #9870如果您使用v26.1.13 到v26.6.27版本的Xray核心，并且使用自签证书+pinsha256的TLS安全层（Reality不受影响，正规CA证书的TLS安全层不受影响，更早更晚的Xray不受影响），请立刻更新至26.7.11+版本来避免Xray官方拒绝披露的恶性MITM风险漏洞
Forwarded From lank122
是说有人发现 xray-core 在非常特定条件下有被 mitm 的风险，但是这个条件基本凑不齐，然后有人说这是恶性 0day
Forwarded From AkiUsagi
但基本上没人这么开车
Forwarded From AkiUsagi
然后就拿这个事说锁不安全
Forwarded From AkiUsagi
这个锁就变得很容易开
Forwarded From AkiUsagi
比如你必须倒立开车一边开双闪一边以最高频率开雨刮
Forwarded From AkiUsagi
有人发现在非常特定的条件下这个锁不安全
Forwarded From AkiUsagi
rprx造的锁还行
Forwarded From AkiUsagi
大家都希望自己的车门锁很牢固不被偷
