别辩经了，所以 NFT，你们懂的

REALITY NFT：https://opensea.io/item/ethereum/0x5ee362866001613093361eb8569d59c4141b76d1/2

VLESS NFT：https://opensea.io/collection/vless

Project X NFT：https://opensea.io/item/ethereum/0x5ee362866001613093361eb8569d59c4141b76d1/1

讲真我真的觉得天天搞这些没什么意思，写些先进的协议吧有人受益又不会给我捐一分钱，所以中国电信今天打钱了吗

有时候真的觉得我不应该关心那么多事，中转机场喜欢用偷个密码就能全解密的 SS 就让他们用嘛，反正那些一点协议原理都不懂的边缘开发者就觉得 SS 最好，所谓的主流协议是吧，那么主流为什么不能直接过墙呢？不会就靠出得早加上中转不过墙来苟活吧？笑死个人了

什么时候翻墙娱乐圈这么堕落了？评价一个协议好不好不看直连只看中转，中转不是随便一个协议就行吗？非 CN 就没有这些破事

中国自有国情在，腐败的官员太多了，抗通报都出来了，所以我就说非 CN 就没有这些破事嘛，VLESS 作为全世界范围内的主流是有目共睹的

最搞笑的是因为这特殊的国情还有一点协议原理都不懂的边缘开发者觉得 SS 最好，其它的都是冷门协议，算了这只是 CN 的事情，无关紧要

我说的是谁呢自己心里清楚，我建议你有空多研究些协议原理，多看看世界，别一天天的没写过协议就在那里装作自己很懂，贻笑大方真的

有某些边缘开发者觉得既然中转机场全是 SS，SS就是最好的、最主流的

菜就多练，我相信翻墙娱乐圈的历史上能给你们留个非常搞笑的位置

？

https://github.com/XTLS/BBS/issues/3

只是搬运链接 欢迎大家参与讨论

XHTTP，赢！

发言风格就是这么个风格，我是觉得这样挺好玩的，不然太无聊了

回归正题，为什么 XHTTP 总是能赢，因为它可以过几乎所有 CDN 也可以直连，且提供了不同的 ALPN / mode 等多种选择，总有能通的，如果给 Nginx QUIC 改个暴力发包那就更刺激了，伊朗那十几天的情况就证明了 XHTTP 的价值所在，说到伊朗，之前不是说还有“魔法”吗，似乎以前解释过，再解释下，比如说可以把代理请求转为文件上传到 OneDrive，境外访问，以此做一个翻墙隧道，事实上不止 CDN、网盘，任何有境内外同步的服务都可以被“滥用”，尤其是国内公司、跨国公司的服务，因为它们一般都能从境外访问到，所以总会有办法翻出去的，若真到了那天还有人觉得是“滥用”那活该你被墙，就一直待在墙内挺好的，别出来以你那肤浅的认知污染中文圈的语料了

但是有一说一如果 Clash 系的上了 XHTTP 那机场就会磨刀霍霍，除了 CF 外的哪家 CDN 经得起这么薅，不要竭泽而渔，XHTTP 作为当前的“最后手段”是应当有所保留的，至于对抗 CDN 的检测什么的也能写，只是当前没必要这么做，先自己改改源码编译出来自己用用就行了

又想起了有些人觉得很多软件还不支持 XHTTP 所以它“垃圾”，然而支不支持什么协议并不光是技术问题，反而恰恰是非技术因素占主导，脑子是个好东西可惜有些人没有，只看表面而不深入思考的人还是太多了

实时访问的话和蜜罐有啥区别，无解的，但是像这种中转机器被带走的情况，拿到了密钥，如果是 SS 则可以解密以前的所有流量（除非经常换密码），如果是 VLESS Encryption 则无法解密（有前向安全）

起猛了，发现 Xray-core 的 stars 即将超越 v2fly-core，所以是谁还没点

依稀记得 Xray-core 刚出时 v2fly-core 已经 8k stars 了，应该还有很长一段时间很多人傻傻分不清两个 core 用着 REALITY 把 star 点给 v2fly，因为有很多人在 v2fly issues 发 Xray，就刚刚还看到有个新的 issue

https://github.com/XTLS/Xray-core/stargazers

实锤了 GFW 早就拥有“shadowsocks 流量解析还原模块”

https://github.com/XTLS/BBS/issues/5

该模块根据已知的密钥对 Shadowsocks 流量数据包中的负载进行解密还原，还原出原始的数据 payload
解密还原出的原始数据流可以输出到文件或网络中，以便进行后续的数据分析和监测工作

（来自"中国科学院信息工程研究所"）

喜欢用 SS、VMess 这种 PSK 对称加密的福报了属于是 https://github.com/XTLS/BBS/issues/2
毕竟偷到你客户端配置就能全解密，至于如何偷，参考 https://github.com/XTLS/Xray-core/pull/5067

评论区我提到了 VLESS Encryption，它被偷到客户端配置无法被解密，被偷到服务端私钥也解密不了以前的流量，只能对以后的流量 MITM，REALITY/TLS 也是，参考最后一个链接，忘放对比图好像加不上了

前几天我还说某些认为 SS 中转机场最好的边缘开发者，什么协议原理都不懂就天天在那里瞎评价，你不懂你就不要天天误导他人

💬 New comment on BBS#5 一些实锤证据，GFW会如何中间人攻击悄悄解密你的流量
by @RPRX

> > @sudo335 “然后无意之中发现不同用户之间的密码都是一样的”的话，你甚至可以用你的 SS 密码去解密、劫持别人的流量
>
> 刚问朋友借了个花云看了下，还在用SS AEAD，密码是Sj10bnYDe7w6V29E，可以上Github搜一下，所有用户密码全都一样，仅用host区分用户，这么多年了都没改：https://github.com/search?q=Sj10bnYDe7w6V29E&type=code
>
> 其他几家不知道有没有改。
>
> “用obfs混淆host区分用户”的机场建议谨慎使用吧。

？啥玩意儿，真所有用户密码全都一样，还有人放 GitHub 上？**属于是 GFW 连密码都不用偷了，直接拿来解密所有流量就行了**

怪不得有些专线机场屹立不倒、抗通报呢，原来是直接投靠 GFW 当蜜罐了，**我就想问问那些“高端专线机场用户”此时此刻是啥感受**

但凡用个 VLESS Encryption，有用户把客户端配置扔网上 GFW 也无法解密啊，偷到服务端私钥也只能 MITM 以后的流量，高下立判

也不指望这些个“抗通报”的专线机场换 VLESS Encryption 了，还谨慎使用这些机场？不用怀疑就是蜜罐，人家不投诚 GFW 还能开吗

Reply to this message to post a comment on GitHub.

💬 New comment on BBS#5 一些实锤证据，GFW会如何中间人攻击悄悄解密你的流量
by @RPRX

这就是我经常说的，为什么要从设计上就把不安全的因素消除、不给 end user 选择的余地，因为猪队友实在太多了

你说如果写个 SS 这种 PSK 对称加密，有的机场竟然所有用户用同一个密码，还有人给放到 GitHub 上，你蚌埠蚌

某些面板开发者就是不禁掉公网明文 HTTP，一堆教程和小白直接 http://ip ，把私钥都泄露给 GFW，你蚌埠蚌

~~属于是一神带 N 坑，带不动根本带不动~~

至于推广 VLESS Encryption https://github.com/XTLS/BBS/issues/2#issuecomment-3475770127 ，先在下个版本给 SS、VMess 的配置输出个 warning 再提醒注意下中转机场吧，~~就像那些传输层一样，但这次是可被解密的问题，更严重~~，正好下个版本出 pre-connect 了，VLESS Encryption 比起 SS 还能少一个 RTT

Reply to this message to post a comment on GitHub.

人家当然天天关注 GitHub，而我更关注今天有人买 NFT 了没，一天天的给你们写各种先进的协议，各种安全呼吁，劳苦功高，你们用爽了，回头一看 NFT 没几个人买，怪不得有的人投诚 GFW

SURGE PRO 群的讨论氛围很逆天，给大家观摩学习下：

观点一：搞半天我还真以为直接把 SS 解密了呢

那不然呢？共用的 SS 密码泄露了，任何抓到你流量的人都能解密

观点二：GFW 不会去解密/没有算力去解密 SS

中科院 N 年前就研究了“shadowsocks 流量解析还原模块”是干嘛？就解密个 SS 还算力上了？GFW 连你用的机场都比不过？

观点三：就算解密了也不会怎么样

人家都写了“解密还原出的原始数据流可以输出到文件或网络中，以便进行后续的数据分析和监测工作”，举个例子，就算不进一步 MITM，已经确定了你这些流量就是 TG，结合你活跃时间就可以匹配到你的账号，要是哪天说了啥人家不喜欢的，就等着享受福报吧

不知道是平时被你圈管理员 PUA 多了还是正在用着共用密码的 SS 专线上 TG，这些言论与前年说 TLS in TLS、去年说公网明文 HTTP 面板时那些天真到反智的反驳言论如出一辙，根本就没有任何进步，但你们都这么维护 GFW 的监控手段了，可能是安全的，不然谁来替它混淆视听？

（有待证实的说法：哪家 SS 不是共用密码？）

有人证实下？如果是真的，这边建议好用爱用多用，狠狠享受福报

每一代人有每一代人自己的老王vpn

一天没看群，咋出了这么大的乐子，脑子是个好东西，可惜 Sukka 没有

他自己举的例子就是闭源的 VPN 服务出了问题，现在却呼吁大家不要对闭源机场充满敌意，而应该怀疑人人都能审计代码的开源项目作者，这么脑瘫的逻辑是人能想得出来的吗

拿花云来举例，共用的 SS 密码都跑 GitHub 上了，属于是所有用户的流量人人可解密，有 SS 非前向安全的问题也有机场自身的问题，都已经这样了还在替他们说话，非蠢即坏

https://xn--r1a.website/projectXray/4506618
https://xn--r1a.website/projectXray/4506656