«Никогда такого не было, и вот опять» (c).

Пару дней назад hashicorp внезапно ограничил доступ к cloud-версии терраформа для пользователей из РФ - конкретней, с российских IP.
Конкретней - https://portal.cloud.hashicorp.com и https://app.terraform.io возвращают пустые страницы с ошибками.

Дискуссия у них на форуме: https://discuss.hashicorp.com/t/problems-with-access-from-ru-region/35281/2

Причина, судя по всему, в санкциях.
Правда народ пишет, что это у них геобаза кривая, и забанить хотели только Крым

В телегу завезли новую обнову (офф патчноут)

В обнове - кастомные звуки уведомлений, произвольное время мута (вот это приятно), реплаи в форвардах (тоже хорошо)...

И скромно, без акцента - добавили ботам возможность рисовать html-странички прямо в клиенте телеги.
Попробовать эту штуку предлагают в @DurgerKingBot
(Дуров, кстати обещал и клялся, что не будет рекламировать фастфуд, а тут такая неприкрытая реклама).

В комментах к посту с обзором этой фичи в канале нецифровой экономики увидел, что новая фича, по сути, скопирована у китайцев из их вичата.

И с точки зрения безопасности к этой фиче очень много вопросов, кстати - ждем 0day в хроме через телегу...

Вообще, нельзя не заметить, что из телеги уже который год пытаются вылепить продукт куда больший, чем просто мессенджер - то ли новый веб (3.0? 4.0?), то ли ещё что.

Веселая история от гитхаба.

Кто-то достал oauth-токены для гитхаба из двух third-party приложух: heroku и travis-ci, а потом качал приватные репы

https://github.blog/2022-04-15-security-alert-stolen-oauth-user-tokens/

tldr: гитхаб обнаружил, что 12 апреля какие-то чуваки сперли ouath-токены для гитхаба у двух приложух-интеграций, после чего начали выкачивать приватные репо из организаций, видимо, чтобы потом доставать оттуда креды и расширять область атаки - к ним в npm инфру заходили с ревокнутым AWS api ключем

Гитхаб ещё 22 числа раскидал письма тем, по кому прошлись точно, и собственно сейчас начал рассылать письма тем, по кому пройтись могли.

И ещё годных статей на хабре, на этот раз про нетрадиционные способы вытаскивания зашифрованной прошивки из SPI флешки, подключенной на QN9022 (и в целом серии QN902x) из сяомишного чайника.

Фулл: https://habr.com/ru/post/663312/

Небольшая питонячья радость.

Либа asyncer от небезизвестного tiangolo.

Это очень маленькая библиотека на 4 функции, которые чутка упрощают жизнь в async-мире.

Собственно, список фунок:
1. .runnify. По факту, просто asyncio.run, но с корректными типами и возвращаемыми аргументами.
2. .create_task_group / .soonify - на мой взгляд, самое полезное, что есть в либе. Позволяет легко и без бойлерплейтов запускать одновременно пачку тасков на выполнение. Чуть подробней - в доке. Такую же фичу для for-циклов обещают в 3.11 или 3.12 питоне, кажется, но пока живем так.
3. .asyncify / .syncify - обертки для запуска синхронного кода из асинхронного, и наоборот. (нет, syncify это не совсем runnify, есть отличия)

Также все эти функи корректно обрабатывают типы аргументов и возвращаемых значений, так что mypy/pylance/etc будут ругаться на код с этим обертками, если где-то допустить обертку. Ну и подсказки, конечно, тоже подтягиваются.

Случилась у меня ситуация - человек закоммитил в репу, однако перед этим переел грибов не настроил нормально гит/ вскод, и во всём коде в репе LF заменился на CRLF.

А потом человек сделал ещё два коммита, уже по файлам с CRLF'ами.

Ситуацию надо исправлять, соответственно, в итоге хотелось бы иметь все те же коммиты, но без CRLF'нутых файлов.

Каким путем пошел я (абсолютно ебанутый):
1. Берем коммит, делаем на него
git checkout
2. Фиксим crlf в файлах. Я делал так: grep -r -l '\r' . | xargs sed -i '' -e 's|\r$||'
3. Делаем git add && git commit --amend, чтобы получить новый коммит, но уже без дерьма.
4. Записываем хэш получившегося коммита.
5. Повторяем для всех коммитов до последнего.
6. Берем перый коммит, и делаем git cherry-pick всех последующих исправленных коммитов.
8. Перемещаем ветку на новую историю.
9. Форспуш.
10. ?????
11. Профит!

Вообще, вместо cherry-pick, вероятно, достаточно было бы обычного ребейза, но не уверен.
Также, возможно, можно собрать какую-то хитрую команду для гита (жду предложений в комменты :D), которая бы проходилась по коммитам и сама их исправляла, но способ выше был более прямолинейный и простой.

upd: в комментах подсказывают, что таки можно сделать нормально, через git filter-branch: https://stackoverflow.com/a/2466992

И не забываем выдать человеку пиздюлей правильные настройки ide/git'a, чтобы такого больше не случалось.

Набрел на невероятно годную статью про прокрастинацию, "горе от ума", и, внезапно, полезность MVP - в целом о том, как перестать думать и начать делать.

Статья не самая свежая, но написана хорошо и читается легко. (а ещё там есть смешные мемы!)

Категорически рекомендуется к прочтению.

Никогда не используйте личку в телеге, как склад логов.

Оказалось, что в телеге есть внутренний счетчик на сообщения, при переполнении которого из всех личных чатов пропадет случайный отрезок времени.

Workaround - складывать всё важное в отдельные каналы/супергруппы.
А очень важное - вообще не хранить только в телеге, а бэкапить ещё куда-нибудь.

Чуть подробней, как это работает:
На все личные беседы (человек-человек, человек-бот, + сохраненки тоже считаются) и обычные группы (таких уже почти нет, обычно группа очень быстро апгрейдится до супергруппы) внутри телеги есть единый счетчик входящих и исходящих сообщений.
После того, как счетчик заходит за 1-3 миллиона сообщений (у разных людей по-разному) - телега перестает отдавать сообщения за произвольный промежуток времени.

Для каждой супергруппы и канала этот счетчик отдельный, поэтому для них проблема не так критична.

Проверить, "сколько сообщений уже наспамлено", можно через @ArynIDBot или @accountcountbot, отправив через inline сообщение в сохраненки.

Реф баги в багтрекере телеги, там ещё немного подробней про проблему на английском: https://bugs.telegram.org/c/19148.

Алсо, ещё в комментах у Ly (от самого Ly, в общем-то, с ссылкой на девтим телеги) вычитал, что
1) удаление сейчас не помогает. Там именно по айдишникам удаляет.
насколько понимаю, просто удалить мусорные сообщения, если их уже много, не поможет.
2) это, внезапно, тянется ещё с ВК.
(какая связь телеги и вк с точки зрения кода не представляю, и думать об этом страшновато)

Страх и ненависть к шарообразному виду сообщений в дестопной телеге

Где-то три-четыре дня назад в бету десктопной телеги (tdesktop, оффклиент под десктоп, на qt) прилетел апдейт...
Который сделал из немного скругленных углов у сообщений - просто один полукруг.

То есть, раньше у баббла сообщения было два немного скругленных угла, а теперь там огромная дуга (см прикрепленную картинку).

В общем, выглядит отвратительно, и более того, эту фичу просто невозможно отключить.
Причем!! на мобилках ровно такую же фичу можно настраивать ползунком так, чтобы блевать не хотелось.

Вполне ожидаемо от таких изменений офигел не я один, и народ пошел на гитхаб в репу телеги с резонным вопрос "ЧЗХ?": раз, два, три, четыре...
Причём людей, которые защищали бы новое скругление - там не отметилось)

Самое смешное, что в 2016 уже делали такие же круглые сообщения, и это, внезапно, тоже никому не понравилось (ишшю из 2016 состоит из двух этапов: 1. обновиться; 2. страдать)
Если покопаться в старом треде, то можно найти очень интересные вещи: например, скрипт для GDB, используемый для фикса готовых сборок телеги в рантайме.
В общем тред интересный, советую глянуть :)

А потом в тред пришел john-preston - основной мейнтейнер десктопной телеги, и выяснилось, что такой редизайн бабблов - это официальные тележные гайдлайны.
Более того - выяснилось, что слайдера для "круглости" в мобилках быть не должно, и его добавили скорее вопреки.

И в конце-концов пришел какой-то гений (DragoonAethis) и сделал PR с добавлением "экспериментальной фичи", возвращающей всё взад.

В общем, Дуров: верни квадратные сообщения!!!1

ВК официально ахуели.

С недавних пор мне вместо СМС-ок начали приходить сообщения в вк.

ОКАЗЫВАЕТСЯ, это новая фича!
Если у компании есть твой номер, они могут попробовать отправить уведомление не смской, а сообщением в вк на этот номер.

Мэйл, конечно, заявляет, мол, ничего никому не доступно, кроме статуса доставки... Но верить мэйлу это не лучшая идея.

Я вижу тут минимум одну крайне очевидную проблему: в отличие от сообщений в вк, смски - светятся в детализации и сохраняются на телефоне локально, а не хранятся как-то в чьем-то облаке.

В случае конфронтации, суд детализацию от оператора принимать научился, а вот скриншот из ВК его скорее всего не убедит (кроме того, эти псевдосмски из вк могут магическим образом пропасть).

А самая мякотка: это нельзя отключить глобально, только от конкретных сообществ-компаний-отправителей.

Карта гитхаба

Наткнулся в одном канале на проект https://anvaka.github.io/map-of-github.

Суть: человек взял гитхаб, спарсил крупные проекты (>10-100 звездочек), спарсил из них людей, кто ставил звездочки, а потом это всё кластеризовал по принципу "много людей ставят звездочки похожим проектам".
Подробнее, как он это делал - в репе проекта.

На первый взгляд кажется, что это просто фановый проект, но из него можно вполне себе извлечь пользу - это инструмент просто поразительной мощности для поиска новых "похожих" репозиториев на гитхабе, который не идет ни в какое сравнение что с просто поиском по гитхабу (поиск реп там довольно ущербный, будем честны), что с поиском гуглом по гитхабу, что с awesome-листами.

Просто как пример: у меня был список звездочек по тематике добавления тайлинга в винду.
Я его собирал пару лет назад простым наивным поиском по ключевым словам/тегам по гитхабу.

Сейчас я взял один из проектов оттуда (nog), нашел его на карте ("материк" wintuxia, полуостров к северо-востоку от powertoys) - и через его связи (и просто проекты рядом) я нашел сначала несколько неизвестных для меня старых проектов (непонятно, как я их мог пропустить при поиске, но факт), а потом по связям попал сначала в проект, делающий из винды вим, затем к читам на overwatch и от них к странному RAT-нику на питоне.

Другой пример: есть проект unfork (сисколл, по принципу действия обратный форку. Штука бесполезная, но прикольная).
На этой карте он расположен на небольшом полуострове, который можно назвать "полуостров ненормального программирования".

Потому что там рядом с ним находятся:
- regex2fat - утилита, чтобы сделать из регулярки - FAT32. Да, это возможно.
- vim_cubed - запуск вима на вращающемся кубе.
- open-and-shut - ввод текста морзянкой, через открытие и закрытие крышки ноутбука.
- how-to-exit-vim - (классика) - сборник способов выйти из вима. Один из них меня просто убил.

И как находить такого рода связи между проектами без такой карты? Невозможно.

Питонячьи радости: pyinstrument.

tldr: лучший существующий CPU-профайлер для питона.

В мире питона с профайлерами всё не очень просто.
Есть суровый дедовский способ профилирования через import time.
Есть встроенный cProfile.
Есть какой-нибудь scalene.
Есть yappi, Austin, py-spy, line_profiler, pprofile - десятки их.

Достаточно приличная табличка-сравнение разных профайлеров есть в репе scalene.

Оставим тему профилирования памяти пока что (там всё ещё хуже), и остановимся на CPU-профайлерах.

Раньше я пользовался line_profiler и немножечко страдал, потому что в процентах 80% моих питоновских проектов есть асинки, а работа асинков достаточно сильно насилует стек, в результате чего результаты профилирования асинхронщины были абсолютно нечитаемы.

Узнал про scalene - но тогда, когда я пытался его применить, он дичайше глючил и не выдавал ничего полезного.
Хотя описание и задумка там хорошая, но что-то не пошло.

И вот pyinstrument. Простой, как топор, и удобный, как дедов гамак.

Надо профилировать скрипт или модуль? Пожалуйста.
Или тесты? Без проблем.
Произвольный кусок кода? Вперед.
Интеграция в Ipython? Да.
Нативный middleware для django? Не знаю, кому он может понадобиться, но есть.
Готовые сниппеты для Flask/FastAPI (безумно удобный)/Falcon? Прямо в доке лежат.

Вывести результат в консоль? Есть.
HTML-ка? Есть. Удобная, кстати!
speedscope.app? В наличии.

Человеческая обработка асинков? Без проблем, всё работает само и из коробки.

В общем, для 95-98% всех задач, где мне надо что-либо профилировать, его хватает с головой.
5% на случаи, когда очень нужно смотреть перф построчно, а не по функциям.

К вопросу об удобстве: это мне отдал FastAPI. Всё, что я сделал - это впихнул сниппет в инициализацию сервиса и добавил к интересующей меня ручке ?profile=true

Буду сегодня на OFFZONE'е рассказывать про YATB.

Приползайте послушать в CTF.ZONE в пять)

Веселые приключения на рынке хостеров.

Есть такой хостер: VDSina.
Раньше, вроде бы, был приличный хостинг.

Статьи на хабре, красивый сайт, не самые упоротые тарифы.
У меня там висела впнка в нидерланды, например.

Где-то год назад у них произошло помутнение головы, и они решили, что комиссии по 30% на пополнение это нормально.
Допустим, это можно понять - издержки оплаты хостинга за границей. Ладно.

Самое веселое произошло недавно: они в одностороннем порядке решили поменять (повысить тарифы).
Молча Заведя тикет внутри своей системы поддержки - это был единственный способ уведомления.
Ни писем, ни смсок, ничего.

Галочка "Получать уведомления и новости на email" есесна стоит.
Но вот маркетинговый булщит отправлять на мыло они хотят, а о достаточно критичных изменениях как-то сделать рассылку забыли ;)

Причем уведомление пришло постфактум - просто в определенный момент вместо двух рублей за сервер в сутки я стал платить восемь.
Узнал об этом случайно зайдя в контрольную панельку.

В общем, категорически советую, всем, кто у них что-то хостил - пойти и посмотреть, как там дела по тарифам у вас.

Рубрика: «А что там в федиверсе»

Да, у меня есть свой истанс мастодона, и я иногда хожу почитывать туда некоторых людей (а ещё краду мемы)

А в феди какой-то обиженный школьник-скрипткидди (ОЯШ, получается, потому что он из Японии) купил скрипт для спама, в собстна, феди.

(paypal’ом, на своё имя - да, его уже наосинтили)

Скрипт сам по себе простой - он регается на каком-нибудь открытом инстансе мастодона и начинает рассылать с этого инстанса спам во все места, куда дотянется.

И внезапно! оказалось, что никакой защиты от спамеров в этом прекрасном твиттере будущего не существует, потому что… авторам мастодона - одного из самых популярных серверов - насрать.

Им вообще на много что насрать (в том числе на написание безопасного кода, кстати - за последний месяц нашли аж 4 critical дырки).

Там вообще уже довольно давно висят issues по поводу добавления капч и иных прогрессивных методов ограничения регистраций, но пока их оригинальный основной инстанс говном не закидает, они не пошевелятся.

Безусловно, есть альтернативные сервера, например аккомо-плеромы всякие, но их доля в сети достаточно мала по сравнению с мастодоном.

По итогу один школьник успешно терроризирует всю сеть - я стабильно вижу, как все крупные инстансы дружно воют про «что же делать со спамом».

А мне хорошо, я маленький, до меня не доходит ;)

При сборке OpenSSH с двумя свежими версиями liblzma (5.6.0 и 5.6.1) можно получить себе веселый бэкдор в сервак.

Передаю привет роллинг релизам и советую бежать всем админам проверять версии софта

https://opennet.ru/60877/

UPD: пишут, что openssh не везде линукетяся с liblzma.
В общем, смотрите у себя в дистрибутивах.

Проверяем версию liblzma: lzma --version.
Если меньше 5.6.0 - всё +- норм, если больше - обновляйтесь (откатывайтесь)

Проверяем, собран ли sshd с liblzma: ldd $(command -v sshd) | grep lzma
UPDx3: похоже, это не важно.
Автор ресерча пишет, что

Openssh does not directly use liblzma. However debian and several other
distributions patch openssh to support systemd notification, and libsystemd
does depend on lzma.

UPDx4: у меня к сожалению нет пока живой системы, где можно посмотреть на уязвимый сетап.
Похоже, что проверка через ldd всё же имеет смысл)

UPDx2: ещё пишут, что автор бэкдора уже два года пишет патчи для xz, и кроме того, вовлечен в разработку ещё нескольких проектов, в том числе связанных с xz.
Так что веселье только начинается ;)

Очень простой вопрос от санитара для senior-программистов на C:

Что выведет следующая программа?

#include <string.h>;
#include <stdio.h>;
int main() { 
    printf("%d\n", strlen("\x01c")); 
}

cc test.c && ./a.out

(перед голосованием не читайте комменты, а то так не интересно))