新·世界观察日志

Wallbleed（墙出血）：中国防火长城中的内存数据泄露漏洞

我们发现了一个名为Wallbleed（墙出血）的缓冲区过度读取漏洞，该漏洞存在于中国防火长城（GFW）的DNS注入子系统中。Wallbleed导致某些影响全国范围的审查设备在处理特制的DNS请求时会泄露至多125字节的内存数据。这一漏洞为我们提供了一个难得的机会，以深入了解防火长城最著名的网络攻击手段之一——DNS注入——的内部架构，以及审查者的操作行为。

为了理解Wallbleed的形成原因和影响，我们从2021年10月开始进行了为期两年的持续性、全网范围的测量。我们（1）逆向工程了DNS注入器的解析逻辑，（2）评估了哪些信息被泄露以及中国国内和海外的互联网用户受到何种影响，并且（3）实时监测审查者的修补行为。我们识别出可能来自审查系统内部的流量，分析了审查系统的内存管理和负载均衡机制，并观察到注入节点的进程级变化。为了协助分析，我们还利用了一个新的旁路信道来区分注入器的不同进程。我们的监测显示审查者在2023年11月对Wallbleed进行了一次不正确的修补，并在2024年3月完成了彻底修复。

在对响应样本进行初步手动分析后，我们使用正则表达式搜索常见或敏感字符串。为了降低分析可识别个人信息的风险，我们的程序仅输出匹配的数量。如表II所示，我们发现了UPnP、SSDP、HTTP、SMTP、SSH和TLS的实例，以及可能的敏感信息，如HTTP cookies和密码。

尽管可能仍然存在一些错误的地理定位，但很明显，一些中国以外的流量可能已暴露于Wallbleed所代表的隐私风险中。2010年，Sparks等人观察到109个地区存在DNS污染，主要是由于GFW在通往TLD服务器的传输路径上进行的DNS注入。2021年，墨西哥的主机无法访问whatsapp.net ，因为GFW向中国的根DNS服务器查询注入了伪造的响应。

在最后一小时的捕获中，42,084个IP地址引发了Wallbleed v2响应。有趣的是，其中33,779个（80.3%）地址属于AS4538（CERNET，中国教育和科研网中心），以及属于中国移动和中国各大学的49个自治系统的长尾。这一观察支持了CERNET维护国家GFW基础设施子集的假设。CERNET中的DNS注入器与GFW的其他部分具有共同的Wallbleed v2漏洞，表明统一的管理和协调的补丁。同时，其独特的补丁时间表显示了其在操作和维护中的一定独立性。

Wallbleed的命名类似于其他类似的内存泄露漏洞。Heartbleed是OpenSSL中的一个漏洞，允许客户端一次泄露多达64 KB的TLS服务器内存。Cloudbleed是2017年在Cloudflare内容分发网络的边缘服务器上使用的HTML解析器中的一个漏洞。类似地，Ticketbleed记录了F5中间盒中的一个漏洞。

Wallbleed漏洞例证了审查设备对互联网用户造成的危害不仅在于其对言论自由的明显侵犯。如果实现不当，审查设备还会对互联网用户的隐私和保密性构成严重威胁。

https://gfw.report/publications/ndss25/zh/

◤￣￣￣￣￣￣￣￣
𝐖𝐞 𝐰𝐢𝐥𝐥 𝐁𝐞 𝐛𝐚𝐜𝐤！
＿＿＿＿＿＿＿＿◢

ぼっち・ざ・ろっく！
アニメ2期制作決定
https://youtu.be/2z5nOlwq9XU

🎸スタッフ
原作：はまじあき
監督：山本ゆうすけ
脚本：吉田恵里香
キャラクターデザイン：小田景門 けろりら
制作：CloverWorks


◆イラスト
原画：小田景門
仕上げ：横田明日香
美術：守安靖尚
撮影：金森つばさ　
タイポグラフィ：濱 祐斗

小说「涉黄」被跨省抓捕后，一个海棠作者的自白

和人们熟知的晋江、起点等文学网站不同，网络服务器设在台湾的海棠，对于18岁以上成人向的内容不设审查机制。在一些网文作者看来，这是许多人转向海棠写作的重要原因。在海棠的热榜上，成人向、女性向的耽美小说占到绝大多数。

被抓捕后，这些年轻的作者需要退掉几万或者几十万的收入，面临一倍罚金，都留下了案底。她们四处借钱筹款，积极争取缓刑，有些也获得了许多读者、作者和其他网友的捐款。

这样的写作游走在灰色地带，作者们对此认罪认罚。不乏其他的声音，“现在网上的声音比较两极化，一方面是卫道士口诛笔伐，一方面是普通读者遗憾惋惜，反倒是被抓进去的作者，好像没人说什么。不是不想说，真的是不知道该怎么说。”一位海棠作者这样感慨。

那天早上6点，我是被一阵特别猛的敲门声叫醒的。还以为是快递，外面也不吱声。开门之后，一起住的姐姐还把他们凶了一顿。他们把身份亮出来，说是安徽那边的警察，问我的名字，还问是不是在海棠文学城上写文，然后查手机，登陆海棠的账号，确认身份。我当时很懵，不知道该说什么。脑子里第一反应，是不是因为我的哪个小说被什么小孩在手机上看到，然后家人去举报了。

跟网站相关的东西，我的手机、电脑当场被直接扣掉了，如果海棠上的收款方式是银行卡，也会被扣。然后被带到了附近的派出所问话，整整一天，从早上10点一直到晚上接近12点才结束。核对生平、小说、收入，我写的有点多，几十本，就翻来覆去问那些小说，他们说你可真能写，我当时想我就不能少写点吗？

中间还要退赃，我获利有十几万，当场一定要把这部分钱退回来（才能取保候审）。我毕业没有多久，有点积蓄生病花掉了，微信里只有两万块。爸爸也过来了在外面筹钱，我在里面刷信用卡，到处打电话借。

当时确实处于非常缺钱的状态，出来凌晨就向网站发邮件求助，取保候审、退赃、扣押的资料都发过去了，问我们这些作者怎么办？你们总得拿出一部分钱让作者渡过难关，因为我们的收入是五五分，网站说他们经销商都失联了，也没办法处理。

后来我才知道，那天全国很多大头的作者都在被抓，应该有十几个。我虽然粉丝数量稍微靠前，但收入层面，在网站上体量不算大的。

注：当年七月底又开始第二批抓捕。被捕的有体量小的作者，也有头部作者。有作者对媒体讲述，六月第一批作者被捕前后，听到风声或是收到其他作者提醒，及时注销了账号，没有卷入案件中。

能取保候审的都取保了，（没有退完钱）不能取保的当天就被带走了。被抓和不被抓的都不可置信，大家心里默认这是一个小众灰色空间，不涉及出版，这么大批量的（被抓）让人觉得有些不可思议。

听到量刑建议，（退完钱还要交）一倍罚金，又是整个人疯掉，留案底都接受，就想尽量减少一些经济压力，没想到这么高。后来人就有点麻木了。最后去检察院之前心情就比较平静了，可能这也是人性，一开始以为只有几个作者被抓的时候，觉得真的完了，后来知道有几十个，又觉得我这个体量估计不会太糟糕。

之前我也在别的网站写，各个平台或者编辑的内容都比较收紧。我的文大部分尺度没有那么大，有时候人物剧情发展，需要情节来推进一下，稍微亲密一点网站就给卡了。在海棠上能稍微拉灯一下。

这是一个“邪恶、混乱且包容”的地方。有警察点进去就觉得“肮脏下作”的，确实也有写得好、被普世大众能接受的一些。一开始我有一篇小说火了，在海棠的读者比较多，题材也有固定的受众，就在这里写得比较多。

那之前我几乎不认识什么海棠的作者。我不靠这个谋生，大部分书都是免费的。（这件事之后）认识了一些，也会聊最近案子的动态，还有杂七杂八的生活，发求助的有微博就帮忙转一转。我才知道其他很多都是全职作者，靠这个（收入）生活。大家有一种“淡淡的死感”，境遇相同，情况又不同。不知道怎么帮，看着也很无力。我有时候想宁愿大家不要认识就好了，不发生这件事。

我了解的作者中，我都算生活丰富的了，有些真的因为没有工作，没有别的技能，人际关系几乎没有，比较和社会脱节，或者身体状况无力支撑上学，只是靠写文维持生计。很多在农村，有人和妈妈相依为命，有抑郁症，退赃退不出来；有的虽然写得有点久，生病治疗、花销，钱都用掉了。

庭审当天，我一个人去的，没有让家里人一起，律师请到检察院阶段就结束了，太贵了，能省一点是一点。

案件陈述的时候，收入是多少，哪几本是淫秽收费的，哪几本是免费的，哪些是被排除在外的，全部会念出来。我很难描述当下的感觉，但自己写下的，这个结果就自己承受。法庭上说到没有受影响的未成年人时，我也松了一口气。

从法庭出来，就想着快点结束回家，因为那边的酒店也挺贵的。真的没有（长舒一口气的感觉）。后续动辄几年，包括欠债也好，服刑也好，在社区矫正所学习也好，这个事情都没有完全结束。

后面网站把文章放出来也不关我们的事，因为已经处罚过一次了，但我还是注销了账号。有一些原稿我自己也没有。其实我很想把之前的那些东西，修改（删掉不合法规的部分）出来，然后放在哪个地方，让它们有一点存在的痕迹。但我不知道怎么改了。

https://mp.weixin.qq.com/s/yW2QDqR0HAuI9nCXgLzmFQ

提高农民基础养老金到800元的8个理由

以下就是我的第一个利国利民的建议的修正版：提高农民基础养老金到800元/月。下面简单阐述我的8个理由，跟以前一样，都是大白话常识，没有一点点晦涩深刻的内容。

目前农村60岁以上老人基础养老金平均下来不到200元/月。我大四川，人口大省，也是农业/农民工大省，目前基础养老金163元/月，这是2024年7月调高之后的数据。而企业职工平均养老金3000元出头，机关事业单位职工养老金平均6000多元，也就是说，一个机关事业单位职工一个月的养老金相当于一个四川农民三年的养老金。

我之前还写过一篇文章，数据显示，城乡老人的收入差距在3-5倍，其中城市老人社保收入占比74%-79%，农村老人社保收入占比13%-22%。一个简单的算式：城乡老人社保收入占比的差距是多少倍？人很容易习以为常，但如果你能保持一定的陌生感，看到一个社会动辄十几倍几十倍的差距，你是啥感觉？

有些人会说，农民没有缴纳养老保险，每个月有一两百块养老金已经不错了。这当然是错的，大错特错。

1998年之前，大多数企业职工没有交社保，但工龄直接被视同缴费年限。2014年之前，机关事业单位工作人员也没有交社保，工龄同样被视同缴费年限。请问：农民为什么就不能一视同仁？如果说工厂机关等城里的工作才算工龄，那你告诉我：下乡知青都能算工龄，农民为什么不算？

我知道还会有人有意见：毕竟1998年和2014年之后，企业职工和机关事业单位工作人员有交，而农民没有交。行，那我们就从1998年开始算起，假设农民18岁才开始下地干活，今年60岁的农民有16年工龄，70岁的农民有26年工龄，如果视同缴费年限，每个月应该拿多少养老金？800块多吗？

实际上，农民是最早为全社会缴纳社保的群体，这里说的是公粮，包括“三提五统”等。但凡你在农村缴过公粮，就知道是怎么回事，怎么敢拿“农民没有缴社保”来说事？

朋友们，农业税是典型的不公平税赋，你现在交个人所得税，还有个起征点，农业税是没有的。农业税没有起征点和免征额，不管产量多少，自用还是外销，统统都要全额计征的。而且，“头税轻，二税重，三税是个无底洞”，“头税”是农业税，“二税”是“三提五统”，即村提留三项：公积金、公益金、管理费，乡镇统筹五项：教育费、优抚费、交通费、民兵训练费、计划生育费。“三税”就是各种名目的集资摊派，什么教育、交通、治安、计生、电网、新房、旧房等等，其实就是乱收费。

整体下来，税费负担在20%-30%之间，这是个什么规模呢？以前总说地主压榨农民，但根据历史学家高王凌的测算，地主占有的农业“剩余”大概在10%-12%之间（因为有相当一部分是自耕农）。换句话说，要说从农民身上汲取剩余的能力，没有任何一个朝代能和这几十年相比。

还没完，还有各种隐形的方式，比如服劳役，修桥修路修水库疏通河道等等，每年要承担15-30个义务工。更厉害的是“剪刀差”（压低农产品收购价，提高工业产品价格），有研究数据显示，光是“剪刀差”，农民每创造100元财富，就要向城市输送25元。

那个时代的农民，把维持最低生产生活之外的一切剩余都上交了，承担的税费劳役之重，除了名称不叫社保，比后面交社保的人交得多多了——说“农民没交社保”，不过是玩文字游戏的无耻之徒罢了。

有人可能还会说，这都是老黄历了，过去的事情就让它过去吧。不然，90年代之后，大量农民进城务工，没有享受到平等福利，反而缴纳社保给城里退休职工养老，包括通过征收农村土地赚取差价等，农民对城市居民的贡献从未断绝。此处不详述，具体可参看格隆的《谁来保障农民的风烛之年》和聂日明的《基本养老服务体系建设须正视基础问题》。

我知道还会有人说：你说得都对，但是国家没钱。我之前已经批驳过这种观点，咱们国家有钱。

目前农村60岁以上老人1.3亿，一年下来养老金支出1.25万亿，看起来是一大笔钱，实际上一点都不多。养老金支出在很多国家都是财政支出最大的一块，中国一年财政支出接近30万亿，一万亿多一点就解决了中国一半老人的养老金支出，完全是花小钱办大事。

单就养老支出而言，可以降低机关事业单位职工的养老金标准，假设降低到4000元/月，一个机关事业单位职工就能省出两个半农民，同时与农民的差距缩小到了5倍，与企业职工缩小到了1.3倍，岂不完美？此外还可以降低老干部的福利待遇，也可以省不少。

你领到的养老金，有一部分是财政补贴，是纳税人的钱。一般说来，出于基本的公平理念，应该是收入低的补贴高，收入高的补贴低甚至不补贴，但实际情况是怎样的呢？机关事业单位月均养老金最高，2021年已达6483.8元，财政补贴2211.3元；企业职工月均养老金3047元，财政补贴482.8元；城乡居民（含农民）月均养老金190.9元，财政补贴163.9元。

机关事业单位退休人员的养老金已经高到了令人发指的地步，替代率（退休后可以领到退休前工资水平）高达80%以上，有些人领到的退休金甚至比在职时的工资更高。这是一个什么水平？除了那些高福利国家，很多发达国家也不过50%-60%，比如美国、日本、德国、法国，韩国也要缴40年才能达到50%。

机关事业单位的人千万不要说这是因为你们缴得多，因为你们的每一分钱都是纳税人给的，缴得多等于你们给自己变相加薪。实际上，你们也确实缴得多，基本养老保险单位16%+个人8%，职业年金单位8%+个人4%，两者合计36%，这同样是一个高得离谱的数字，发达国家一般也不超过20%。

去年9月，中国社会保障学会“社会保险法实施评估”课题组成员发布调研报告，执笔者是学会会长、秘书长、副秘书长一干人等，里面就提到应该降低机关事业单位基本养老保险和职业年金的费率，把替代率调整到50%左右。“这种现象既与中国式现代化追求共同富裕的目标相悖，也与资本主义国家公共养老金制度追求公平的制度实践以及由此形成的客观规律不符，而前苏联的崩溃、智利将公共养老金全面私有化背后都有和公职人员养老金异常丰厚导致广大劳动者不满有关的影子。”

顺便说一句，企业退休人员就不要站出来反对提高农民基础养老金了，你们也不算高，目前所有的方案都没有说要降低你们的退休金，2014年你们跟体制内比还差不太多，现在只有一半了。我以前也在三线厂上过班，我尊重爱戴的师父和师公都下岗了，我深知其中的痛苦，既然有过相似的经历，请多一点感同身受，莫要把优越感建立在农民身上。

从总体来看，养老金支出在中国财政支出中的占比低于发达国家，还有很大的提升空间，换句话说，完全可以通过减少其他开支来填补这个缺口。钱总是不够花的，但要说优先级，提高农民基础养老金可以排到首位，只要愿意，这点钱完全不是事儿。

这背后的原因很简单：内需不足的根本原因就是民众没钱，民众没钱的原因是在财富分配中的占比太低。而要提高促进消费，最直接有效的方式就是发钱，而在今日中国，最应该发钱的群体当然是农村老人。一开始他们可能会先存起来，等到每个月到期就能领到，有了安全感，慢慢就敢于消费了。

就算是农民没有交社保，但他们的孩子交了，不管是进城务工，还是当了城里人。

不要说“农民归农民，孩子归孩子”，搞清楚一个事实：中国的养老金制度是“现收现付”，用现在工作的人缴纳的养老金支付当期退休人员的养老金。换句话说，外出打工的民工，包括那些落户城市的农民的孩子，他们缴纳的养老金，大部分都用于支付城市退休人员的养老金了。再换一句更通俗的话，就是农民的孩子帮忙养城里人的爸爸妈妈，亲生爸妈反而没人管。请问一念即此，作为农民的孩子，你心里是啥感觉？农民的孩子交了养老保险为什么不能用于自己的父母？自己孩子缴纳的自己不能用？

日本厚生劳动省的公共养老金网页上，至今依然保留着“缴费给家乡的父母、祖父母养老”的宣传。日本80年代也是大量农村年轻劳动力来到城市，农民养老金账户不足，因此日本公共养老金改革为现收现付，不同群体互济，于是有了前面的宣传语。

另外，同样基于“现收现付”，随着老龄化的加剧，现在这些缴纳社保的年轻人，三四十年后还能拿到多少养老金？只要是现收现付，就必然有这个问题：因为现在缴费的人并不知道自己未来能拿到多少，尤其是老龄化加剧的社会。实际上，职工养老保险断缴的人越来越多，已经从2011年的2956万人增长到了2022年的6325万人，遵缴率从85.2%下降到了80.8%。为什么？信心不足，鼓励不够啊。

两者结合，意味着你缴纳的养老金，既不能养父母，也不知道有多少能用于自己身上，对于缴纳社保能有多少积极性？所以，如果能够把农民基础养老金提高到800元/月，对于农民的孩子来说，缴社保就当是给爸妈开了个800元/月的“亲情账户”，多少还能有点安慰不是？

最后一个理由，也是现代国家的常识：不是交了才有，没交也可以有。这部分叫基础养老金，或者叫救济金。

实际上，我知道，对有些人来说，还有一个理由，那就是他们骨子里觉得农民是贱民。这个理由我建议就不要说了，那些人就算做得出来，也不敢说出口的，毕竟这是2025年了。

另外，请不要说不可能、不可行，做人不要这么卑微，自己都觉得不可能，那就真不可能了，如果绝大多数人都觉得理应如此，理所当然，自然就有可能了。

这一代农村老人，国家欠他们最多，刚出生碰上大饥荒，侥幸长大成人，又碰上计划生育，为了养家外出务工遭遇各种制度歧视，如今老了，孩子又不在身边（进城为各位大爷服务去了），还要拖着病躯下地劳作。至今犹记，前些年和爸妈回老家，路边看到一位老人，深深地佝偻着身躯，头都快埋到大腿了，我走过去了，又回头去给了他一百块钱，我妈说：没有人给他钱的，你不知道他有多高兴。

难道，要等到他们都死光了，就不欠了？

https://mp.weixin.qq.com/s/hDWqaxt5BXt27UxsyvfWqg