Notices by yule / imori (pelcman@v1x3n.net)

? AEの練習で作ったmp4とかちょいちょい投げていいですか…？

? ん？もしかして連合TLって管理人がインスタンスをリストの概念で追加して表示してるんじゃなくて、そこにいるインスタンスのユーザがフォローしてるアカウントが表示されてるのか？

? えあいさんのプロフィール飛んだらクソデカい東横INN表示されて声でた

? そういえばMastodonって連合TLに流すインスタンスをアカウント別に追加したりできないんですか　eizodon.jpのTLを見たいんですけど…

policy.xml でちゃんと使用メモリとか制御してればさっさとエラーとして殺してくれるんだけど、いかんせんデフォルトがガバすぎるし、 policy.xml の管理とか人類だれもやりたがらない。

現実的に、現状のAWSのサービスで突発的なサービスに対応出来る仕組み無い(アプリが関わると余計に)。

アプリなしで良いならCF→S3経由で最強に出来るが、こんなペラいアーキテクチャで要件が満たされるサービスなんてないので、結局ボトルネックになるウェブサーバーをどっかに置かないと無理だし、それの突発的なスケールアウトはマジで無理。

金があるなら最初から大量にサーバ並べればいいけど金気にしてるとCPU使用率とかなんかで順次サーバを自動投入になるので、大体突発的なリクエストには耐えきれない。

----
下のURLにあるlottapixel.jpgがそれ
https://hackerone.com/reports/390

?
画像の変換周りを担当している ImageMagick君というのがいる。(ヤベー数のフォーマットに対応している上に無限に脆弱性がある)

この convert コマンドは基本的に Exif の width と height を見て、変換後の画像ファイルに必要なリソースを確保する(それも実際の画像サイズを無視して)。

だから、画像サイズがなんだろうが、Exif で嘘のクソデカサイズを教えてあげれば、それに応じたリソース割当が行われる。

これを制御できるのはImageMagickの設定ファイルの policy.xml だけど、これをちゃんとチューニングしてるところはあまりない。

本当は画像変換用のサーバを立てるべきなんだけど、大体雑に構築されたインフラはWebサーバの中でImageMagickを実行しているから、ImageMagickを抱えたWebサーバに対してクソデカExifの画像を叩き込むと、大体リソース枯渇して死ぬ。

? ややこしいからGmailだけでよくない？これ以上めんどくさくしないで…

? googleアカウントのメインと支給されたやつ以外全部消してアドレスをProtonMailに移行したいな　身元割られたくないし

? Mastdonって画像処理にImageMagick使ってるのか？

?と?でトゥート分けられるじゃん！

test