Интересная ко-история к квадратичному парсеру. С простым выводом - каждый может ошибиться.

(Obviously, the moral of the story is to not use sscanf to repeatedly parse single tokens off the front of a string; I'm sure you'll do fine if you can just avoid that)

https://www.mattkeeter.com/blog/2021-03-01-happen/

400 коментов на ХН (триггеред!) https://news.ycombinator.com/item?id=26337046

Даж какой-то фикс в FreeBSD https://reviews.freebsd.org/D29007

У меня тут сильно пригорело с UX go.googlesource.com и редиректов с pkg.go.dev на стдлиб, что я прам наругался матом в лс хорошему человеку (даже в твитор поныл).

Но как заметил хороший человек, лучше было бы сделать ишью, чтобы это пофиксили, хоть я и не сильно надеюсь.

Вдруг интересно, вот моя боль https://github.com/golang/go/issues/44832 (апвот приветствуется)

(самое смешное было смотреть код декодера base64 и получать этот же код в base64, с юмором у Вселенной все ок)

Ахахахха(

Я теперь понимаю, почему он друг Jonathan Blow, отличный бугурт, прям идеально перед понедельником (хотя видосу почти год)

https://www.youtube.com/watch?v=GC-0tCy4P1U

Ого, книга по ffmpeg. Даже не бесплатная. Но ффмпег тот еще комбайн, 80 глав звучит как то, что надо,

https://ffmpegfromzerotohero.com/

Если бы мне давали 1 доллар за каждый найденный захардкоженный пароль/токен/чтоугоднооколосесурити то я бы зарабатывал по 5 баксов в месяц (прям как сейчас)

Не уверен, на сколько это законно, а скорее незаконно, но запустить grep по приватным репам Github/Gitlab кому-то из сотрудников думаю всегда хотелось бы.

А ведь это сколько потенциальных дыр....Мне посчастливилось встретить в 2/3 финпроектах такие штуки. Жаль за такое не дают круглое bug bounty :(

HODL https://www.technologyelevation.com/2021/03/bill-gates-says-that-bitcoin-is-bad-for.html

Какую красивую альтернативу привезли https://cs.opensource.google/go/go/+/master:src/encoding/base64/base64.go

Можно ходить по коду как по бульвару. Супер.

До чего тупые вещи творят люди. Не побоюсь сказать, что Г экосистема одна из самых всратых среди фаанг.

https://arstechnica.com/?p=1747061

визг. понравилась еще последняя ссылка на пост Мерлина

Я еще от новых достижений в джанге не отошел, как тут такое...

```

def foo(bar=[]):
  bar.append(1)
  return bar

print(foo()) # [1]
print(foo()) # [1, 1]
print(foo()) # [1, 1, 1]

```

И эти люди запрещают ковыряться мне в носу писать на типизированном js!

Еще вспомнилось

Ааааа, вот почему Гитхаб всех вылогинил вчера.

On the evening of March 8, we invalidated all authenticated sessions on GitHub.com created prior to 12:03 UTC on March 8 out of an abundance of caution to protect users from an extremely rare, but potentially serious, security vulnerability affecting a very small number of GitHub.com sessions.

On March 2, GitHub received an external report of anomalous behavior for their authenticated GitHub.com user session. Upon receiving the report, GitHub Security and Engineering immediately began investigating to understand the root cause, impact, and prevalence of this issue on GitHub.com. We took initial corrective action to patch the vulnerability on March 5 and continued our analysis throughout the weekend.

https://github.blog/2021-03-08-github-security-update-a-bug-related-to-handling-of-authenticated-sessions/

Интересно было бы увидеть скрины метрик связанными с релогинами. Наверное красивый пик там будет.

Ладно. Все же @experimentalchill прав и надо сказать: пост не про дырки в С (хотя и не без этого).

The curl changelog counts a total of 6,682 bug-fixes at the time of this writing. It makes the share of all vulnerabilities to be 1.46% of all known curl bugs fixed through curl’s entire life-time, starting in March 1998.

Looking at recent curl development: the last three years. Since January 1st 2018, we’ve fixed 2,311 bugs and reported 26 vulnerabilities. Out of those 26 vulnerabilities, 18 (69%) were due to C mistakes. 18 out of 2,311 is 0.78% of the bug-fixes.

Этот аргумент тоже стоит учитывать.

Тут недалеко в коментах напомнили https://drewdevault.com/2019/03/25/Rust-is-not-a-good-C-replacement.html

Жаль, что я тогда статью не оценил (хз почему), а ведь в ней хорошие и очевидные многим вещи.

C: 0.73 new features per year, measured by the number of bullet points in the C11 article on Wikipedia which summarizes the changes from C99, adjusted to account for the fact that C18 introduced no new features.

Go: 2 new features per year, measured by the number of new features listed on the Wikipedia summary of new Go versions.

C++: 11.3 new features per year, measured by the number of bullet points in the C++17 article which summarizes the changes from C++14.

Rust: 15 new features per year, measured by the number of headers in the release notes of major Rust versions over the past year, minus things like linters.

Ну и отдельно для наброса "The kitchen sink approach doesn’t work. Rust will eventually fail to the “jack of all trades, master of none” problem that C++ has." (https://en.wikipedia.org/wiki/Jack_of_all_trades,_master_of_none)

Ей, онлайн студенты, какие курсы проходили, проходите и будете проходить? поделитесь ссылками или названиями.

Давайте любые курсы, хоть хард скилы, хоть софт, хоть шитье графена на кухне.

Я Coursera 7 лет что ли не трогал, уже не помню, как это заставлять себя домашку делать 👀

Обновите свой git, пжалста

https://www.openwall.com/lists/oss-security/2021/03/09/3

#git #exploit

У меня новая метрика быдлокода.

Если вы делаете Fold All в файле (это когда все фции сворачиваются в пару строк, спасибо IDE), но вы при этом не видите всего файла (то есть есть скролл-бар), то...добро пожаловать в болото.

Да-да, сейчас начнут умничать, что 1 фция на 300 строк свернется в 2-3 и все будет "ок". Можете предложить вариант своей метрики, мат-умники.

тип пример, смотрите на } и строку выше, точнее разницу чисел.