翠翠无明天 @[email protected]

https://portswigger.net/research/stealing-passwords-from-infosec-mastodon-without-bypassing-csp

mastodon 似乎是自定义表情可以被进行注入攻击，然后引入外部表单从而窃取使用者密码……

安全版本 4.0.2 或者 3.5.5 或者 3.4.10 已发布

*补充说明：较容易受影响的是 mastodon 下的 glitch 分支，原生 mastodon 不容易受到影响。

同时想要收集账户密码，是要通过浏览器的自动填充表单而进行的。所以如果所在实例中有一个帖文出现了可点击元素，之后要求「记住」此密码，那么就有可能有人利用了此漏洞。

建议一：尽量让所用浏览器是最新版本，通过严格的 CSP 会将此类漏洞影响降低。
建议二：开启 mastodon 设置→帐号→双重认证，然后选择一款支持 TOTP 的应用开启双因素认证功能。

今天看到马泮艳今天的朋友圈，图二是她后补的图……这黄码真的太好用了，还有汪康夫老爷爷也是遗憾终生。这个国家没救了，早没救了。

今天鲍彤逝世，哀悼。

这里是他的推特：
https://twitter.com/baotong1932

鲍彤是赵紫阳秘书，改革派主力，中学学历。

wiki：https://zh.m.wikipedia.org/zh-hk/%E9%B2%8D%E5%BD%A4

“鮑彤在1989年六四天安門事件中反對當局用武力鎮壓民主運動，支持時任中共中央總書記趙紫陽在民主和法制的軌道上解決問題的思路，但趙紫陽的方針不被當時的實際最高領導人鄧小平接受，最終以武力收場。鮑彤也成為當局當時逮捕的中共最高級別官員。”

鮑彤因為政治問題被判刑及軟禁之遭遇，相較於擔任中共官員時期他對政治改革的穩健態度，經歷磨難後鮑彤的民主人權立場更加鮮明。鮑彤自2001年開始發表大量文章，部分被中國海外媒體轉載。[9]

“ 歷史證明，新民主主義在毛澤東手裏是反蔣介石的口號，是一張空頭支票。現在要求中國共產黨兌現這張空頭支票是合情合理、有根有據的，誰欠債，誰就應該還債。……在毛澤東手裏，社會主義是一把刀子，順之者昌，逆之者亡；不管是黨外的章伯鈞、儲安平，還是黨內的劉少奇、彭德懷、習仲勛。毛澤東在中國，有權肆無忌憚，有權為所欲為。制度如此腐敗，老百姓怎麼活？這種制度，不改行嗎？”
——《鮑彤談政局（一）：我看新民主主義》[10]

“ 我主張和平改良，我反對革命。中國兩千多年以來，沒有一次革命是成功的。毛澤東依靠農民打倒了地主，使國家成為總地主，使國有土地成為搖錢樹；誰有權有勢，誰就來支配土地、發土地財。共產黨的社會主義革命消滅了舊社會的資本家，新社會的權貴又成為新的資本家，革命成功了嗎？沒有。革命讓全民付出代價，結果是以暴易暴，對勞苦大眾有什麼好處？如果可以選擇，我願意選擇和平改良、和平演變。”
——[11]

“ 零八憲章這些主張都是現代文明國家已經實行並且已經起了很好的作用。零八憲章的宗旨是呼籲所有具有使命感的中國公民，不分朝野，不論身份，參與到公民運動中來，實現國人百年的追求與夢想。這無非是中華人民共和國憲法的本義和延伸。我願意明明白白告訴當局，零八憲章沒有罪，它的理念、主張和呼籲都沒有罪。我們的國家不是中華帝國、中華官國，也不是中華黨國，它叫中華人民共和國。”
——[12]

“ 不管是誰，不談一國兩制則已；要談，必須以《中英聯合聲明》為唯一的法律根據，因為這是香港回歸的基礎、是中英兩國昭告世人並且必須信守不渝的準則。根據這一聲明，香港外交和國防以外官員的普選統統屬於港人治港範疇，理應由港人自主決定。中央如果反悔了，就應該正大光明地宣佈撕毀條約、另起爐灶，但必須明明白白曉諭天下，不應該偷偷摸摸變戲法。”
——鮑彤《一國兩制的法定義和白皮書的篡改義》[13]

“ 中共《黨章》說，有個東西叫「鄧小平理論」。出於政治需要，把黨魁冊封為「理論大師」是共產黨的一種遊戲，但事實上不存在「鄧小平理論」，正如人間沒有「秦始皇理論」一樣。秦始皇建立中央集權並不依靠理論，鄧小平也用不着。他憑藉毛澤東為共產黨打造的權力，開創了一條「鄧小平道路」，使中國進入了腐敗的深淵。不同的是，焚書坑儒很少有人歌頌，「鄧小平道路」卻香火不絕，被膜拜者們一路點讚至於今。”
——鮑彤《鄧小平道路與中國的腐敗》[14]

在tg看到有人在组织博物馆中的和平抗议：
「我们打算12号周六上午十点在大英博物馆女史箴图展厅搞一个protest」
「已经问过大英博物馆的工作人员，和平抗议是被允许的」
https://t.me/aTeaHouse/625651?topic=616794

-----
补个后续：图2、3、4，及回复

#长毛象安利交换大会
好像Fedi这边没人发，那我发一下我一直在月捐的绿色蔷薇女工社企：

绿色蔷薇女工社会企业由一批大龄、失业以及带孩子的女工组成，希望通过社会企业让边缘女工重新投入社会，同时也能体现自我价值。绿色蔷薇社企的产品都由女工们自主设计制作，由女工中心和生产者共同管理，实践互助合作的经营模式。利润所得除了支付生产者合理报酬，也支持绿色蔷薇中心的公益工作。社企里的产品都来自回收旧物，无论是牛仔裤厂样板房的边角料，舞台卸下的幕布，工厂里的咖啡袋和废弃塑料，还是老旧的衣服，社企女工都能废弃物再造，创造新生。

最近她们在深圳线下开快闪店，介绍女工们手工制作的包包：
https://mp.weixin.qq.com/s/yMMjfOq9-MWBI7eqpA4Raw
她们做的产品质量是真的好，我之前买过一个废旧大码牛仔裤制成的牛仔包，容量超大质量好设计也很棒，定价相对合理还环保。就，如果象友们有购买便宜包包的意向，可以看看这个女工社企。
此外她们还有卖T恤/渔夫帽和米袋子文件夹这些，除了微信小程序店铺以外也有淘宝店。如果是捐助她们的话，捐助款项会用来给女工们改善生活条件，学习技能等等。希望大家可以看一看。

1. 必备工具。一是假健康码： https://alive.bar/@boop/109265900174401155 非常好用并且高度依赖，可以直接访问作者demo（需要翻墙），也可把源码包下载自己部署，就一静态网页，我是服务器启用Nginx服务然后直接上传到文件夹就可以直接通过IP访问，但需要保证自己的VPS随时可访问（万一在路上突然被墙会增加精神压力），朋友使用Netlify部署也很方便。用Safari把网页保存到桌面，准备好保持在后台，惊险情况下很可靠。二是一个能帮忙提供网络服务和探路的朋友，本地或者无需隔离的外市，最要紧帮忙查看住处门口的检查程度并帮忙check in 登记，网络服务可以是借一张安全的手机卡或者就在需要的时候帮忙开热点。三是防窥膜，如果你和我一样恐惧操作假码时的动作被发现，用这个可以安心很多，掌握主动权，想给TA看时再把屏幕转过去，半明半暗的屏幕也更好浑水摸鱼。
2. 公共交通已经基本完蛋，安全出行最好是自行车和私家车，自己开车要防站在车窗边盯着查码的，打车远途贵，自行车活动范围小。网约巴士应该是现在走远途最隐秘的选择，公众号预定，市区CBD地铁站口上下车，无安检无身份证，有核酸要求，场所码人工可混。
3. 深圳到处都是场所码。场所名大多在纸上有，在网页内输入就可以完成，问题主要是需要提前输入以及电子哨兵的问题。便利店和吃饭小店的码可以无视，餐厅会看一眼（有一次一紧张点到取消直接顶着四通桥的名字就进去了orz），俱乐部（娱乐场所）也是看一眼，我们的酒店门口有电子哨兵但不用，只人工看（也不知道为啥但是这一点很幸运），商场有电子哨兵，扫场所码后必须给它查验。
4. 混电子哨兵的要点是，检查人员只负责监督你给它查验了码，而真正「查验到没有」是灵活的，商场人流量大需要做生意所以没道理把人堵住非要核验成功和人脸识别。我们试着找了一个检查比较宽松的口，码给人看，转过头故意不对准电子哨兵的扫码口，一晃而过也成功进了。
5. 最傻逼是城中村，整个社区围起，用的电子哨兵+闸机，还会分村内登记白名单人员和访客，卡口无解，我们找到的突破方法是在行车出入口附近等着升降杆抬起时跟着车溜进去…（。
6. 还有打车，深圳出租车都有场所码，扫完还可能要被司机拍照上传，不过估计只是报告已执行，并没有人查验真假。第一次坐的时候把我吓到了，因为我老花眼根本看不清楚码上写的车牌号，完全没法输入名字，还好朋友看清弄好了，只需要一个人出示就行。以后上车前要先看好车牌号提前输入准备。
7. 本次行程我一个码都没扫，从出广州前拔卡关定位到进入广州后重新插卡，基本全靠酒店俱乐部的Wi-Fi和朋友的热点联网，来回两程大巴的码一靠司机没细看二靠诚挚地跟司机说我没流量没网扫不出来你看我这健康码你看时间是真的还可以划拉只是我出门前先用Wi-Fi开好你看我核酸还是24小时（。
8. 深圳下高速没有设卡核酸，之前去珠海中山是有的，但因为公路情况复杂实际上假装停到路边核酸点然后直接开走冲卡也并没有人会追（陆路的好处+1
9. 广东的数据信息滥用似乎比别的地方严重，基本上都是手机连接基站信号留下的信息上报公安然后分发下放到街道联系。所以拔卡的原理是当一个低科技高生活的反赛博幽灵，断了网站在俱乐部黑暗小厅舞池里，听着音乐，闻着电子烟和少许烟味可能还有叶子味混杂的空气，看着昏暗红光和干冰雾气里喝大了磕嗨了狂暴乱舞的人群，有一种穿越回千禧年代的感觉。下了大巴找到指定地点吹着寒风等朋友接的时候也有，就差一张纸质地图了。拔掉卡，断掉网络，摆脱追踪，克服手机焦虑，回归生活，推荐试试。
10. 每次冲卡/偷溜检查关卡的时候我也总会有一种恐惧，哪怕我一直以来也都活得像个通缉犯，但还是会下意识地有一种来自多年教育和社会恐吓下对「万一被发现了怎么办」的恐惧，但实际上能怎样呢，不戴口罩也好，拿着假码修炼晃动的速度和角度也好，偷溜狂奔冲卡闯关也罢，他们有足够的资源和精力追捕每个偷溜而过的人吗，这些关卡在他们自己心里可能也就是无数关卡中的一小个所以笃定没事，可我只是想去一个去年来的时候还畅通无阻从路口走进去只需要二十米可到的好吃的小食店啊。

笑死我好有道理

和组里的以色列大哥聊天（被amazon搬运来的），问他为什么移民，答曰特拉维夫动不动就有爆炸，他和老婆是在防爆演练中长大的，突然觉得不应该让孩子在这样的环境里长大。

我跟他讲老家的无公示封控，谍战式买菜，大哥疯狂点头，讲他姐姐在以色列怎么买鸡蛋。

又说在以色列很多话不能说，政府不惩罚你，群众会主动惩罚你，如果你说“我觉得巴勒斯坦人和我们是一样的人”，大家就会把你当叛徒……

明年想要为项目申请一些资金，于是咨询了一位之前申请funding成功同业长辈。

他说，你就放心大胆地申请。我说，看网站上要满足全部要求并不是太容易，我得提前准备起来。他突然叹了一口气说，他之前看了一个研究，面对面试啊、经费申请啊之类的事，女性会要求自己100%达标后才敢投申请，而男性通常只要40%达标就投了。他说根据一般男人的标准，我简直是over qualified。

虽然我自认为是个女权主义者很多年了，已经放下很多对自己的要求了，但我今天听了还是大为震撼。

妹妹你大胆地往前走。往前走，莫回啊头！

我总能看到女性讨论女性立场的对错。女性总体上来说确实是一个自省的性别，无论是出于历史因素还是生物因素，这我不懂。但我每次看到这样的，女性该不该卷入精英体系夺取话语权，该不该反叛，该不该传统，结婚还是反婚，生还是不生，离还是不离，该卷，该躺，该捂，该裸，该六点回家，该三点上街，还是该干嘛，我就会想，该啊。都该，我们该干一切。没人能告诉我们能干什么不能干什么。女的应该可以说话，呐喊，沟通，观察，辩驳，咒骂，姿态，抗争，生活，权衡，咒骂，记录，放弃，思考，毁坏，抗争，改变，不变，呐喊，静默，爱，恨，活着，活着，活着，存在，最大化地存在。

【关于新西兰留学的一些碎碎念】

鉴于现阶段大家都急于润，而不再像之前一样考虑镀金后回国，我想来推荐一下新西兰的Te Pūkenga（New Zealand Institute of Skills and Technology： https://www.xn--tepkenga-szb.ac.nz/ ). 这个就是传统意义上的技术学校，在全国共有16所，提供从本科到研究生各个阶段的课程。

【适合人群】
考虑马上走，家里经济条件一般，不太介意专业和学历，考虑未来在新西兰定居生活。

【为啥推荐】
1. 很多人考虑新西兰留学都会先看八大公立大学，但从留学角度来说，一方面这些学校国际排名除了奥大的综合和梅西的农业，剩下的都非常一般。另一方面大学很多都没有关于职业培训和规划方面的内容。基本情况是好申请的专业并不好就业，好就业的专业并不好申请。学费也不便宜，一年四万多纽币的话，不如考虑去隔壁的澳洲和加拿大有申请居留的pathway，找到工作后留下来的机会相对较大。

2. 说到就业，我上面提到的职业技术学校，申请难度相对较低，学费也低，大概就是公立大学的一半，一年两万多的样子。很多学校招生办里都会有专门负责中国留学生的老师，容易沟通，以及连课程安排都会帮你定制好。学校的专业非常多元，从美容美发服务餐饮，到护工老师农业园艺，再到建筑设计心理咨询，各行各业安排的专业都有，基本上都是新西兰紧缺行业，毕业就能上岗的类型。学校教授的课程是以就业为导向的，很多课程都会跟实习单位联办，这样课程结束后就会很容易留在实习单位。

3. 跟许多国家不同的是，教育在新西兰是产业，很多老师的工资都靠着学生交的学费来发。新冠border关闭以来，流失了很多留学生，学校赤字情况加重。于是现阶段学校为了吸引生源，申请难度应该比之前要容易。新学期是明年三月，现在申请应该可以赶上末班车。

反正申请也不要钱，为啥不跟校方沟通一下试试看呢？

@runrunrun

如果周梓樂還活著，今年應該畢業了，港科大工學院的學士畢業袍領口鑲著橙色的邊。
圖一是當年今日設在校園內的紀念區，科大學生會的同學穿著背面印有「希望在於人民，改變始於抗爭」的T恤。圖三是第二年的尚德村停車場，再後來，悼念有罪。

你要写疫情，‮不就‬能只写疫情。

你要写​‎吃不起高价菜便将花草下锅的耄耋老人；

你要写为了求一罐奶粉‮而‬不得不持刀而出的父亲；‮

你‬要写垂死幼童永远‮等‬不到的救护车；

你要写‮容妆‬精致的领导和永远念‮不‬通顺的‮新‬闻稿；

你要写大学生害怕的眼泪，和永远盖不完的方舱；

你要写康复的患者回到家里面对消杀后的空房子的歇斯底里；

你要写那些百里徒步回家只为了逃离疫情的可怜人；

你要写一张张保供通行证是如何越卖越贵；

你要写拿不到药的病人只能冒险自己出去买，却被志愿者狠狠摔在地上的夫妻；

你要写被逼到绝境的母亲不忘戴好的口罩；

你要写被焊死的单元门贴的门磁门锁；

你要写物业不让进的救护车写满你的仇恨；

你要写午夜突然消失的学生，要写在宿舍无助的朋友，要写开往西边的火车；

你要写每日单数的确诊，要写突然向上的拐点，要写被抹掉的数据；

你要写天价的蔬菜包，要写每天吃的土豆白菜，

要写不知道何时才能返乡的饼，要写不够喝的水；

你要写逐渐崩溃的同学，要写每天无休止的核酸；

你要写小女孩无助的喊妈妈是不是没有了……

你要写非常多，但你不能写，你只能歌颂志愿者的辛苦，歌颂顾全大局的防疫政策，你只能写爱、写理解、写包容、写未来可期、写这一片片鸟语花香和大好风光。

这就是我们所面对的动态清零。

Source: Weibo

看来友友们不用太担心zlib哦，一个关注盗版的媒体 TorrentFreak 报道并采访到了 zlib 的工作人员：

"由于我们的服务器被其中一个托管供应商封锁，z-library服务目前无法使用。我们正在尽最大努力尽快恢复工作。请接受我们对造成的不便的道歉，并感谢您的耐心！"他们告诉我们。

https://torrentfreak.com/u-s-authorities-seize-z-library-domain-names-221104/

网站首页也显示了「There are some problems with our servers. Service may be temporarily unavailable. We are working on it.」

祝 Z-library 早日王者归来！

一条可能没什么卵用的#生活小技巧：中国海关发的“进出境国际邮件办理海关手续通知单”是到付的，如果海关扣了你海淘的书，不仅拿不到，还得付十块钱获取一张“放弃声明”。

所以，建议海淘单本书或少量书籍的朋友，直接拒收来自中国邮政的到付件（一个“邮政公事”信封）。

反正也拿不到想读的书，就让海关自己付双倍运费吧！！！
以上。

《活着》2020年版

徐富贵的妻子家珍因2020年初的武汉肺炎重病而死
徐富贵的儿子有庆因长期封锁在家中无力偿还贷款跳楼自杀
徐富贵的女儿凤霞因没有24小时核酸不得进医院难产而死
徐富贵的女婿因转移到方舱的大巴车车祸而死
徐富贵的孙子因监护人被拉去隔离独自一人待在家中死去
徐富贵的家因为入室消杀被洗劫一空

几乎所有参与讨论过兰州3岁小孩因防疫过度丧命的朋友微信都多出了不明登录记录，最离谱的朋友多出了3个不明登录设备，每个人发的朋友圈都被删除。
腾讯什么时候和ccp一起去死呢。

z-lib截至9月25日全站备份种子，24T，需要洋葱浏览器：
http://pilimi.org/

z-lib全镜像，可以自己测试：
https://www.ooopn.com/tool/zlibrary/

libgen大概2020年的一个30T的存档：
https://www.maguang.net/archives/6030

（没下过，几乎不用z-lib，偶尔libgen，所以即使问我别的我也不知道……）

RT @[email protected]

一名网友在东京街头贴出的海报。第三张图描述得太准确到位了，墙国就是不准你说话。

🐦🔗: https://twitter.com/jakobsonradical/status/1587999808978968580