灰色天空风向标

Telegram已向美国执法机构提供用户数据

根据Telegram的新政策，如果被调查的用户被发现违反了平台的服务条款，Telegram将遵守执法机构的请求。Telegram在更新的隐私政策中指出：“如果Telegram收到相关司法当局的有效命令，确认您是涉及违反Telegram服务条款的犯罪活动的嫌疑人，Telegram将对请求进行法律分析，并可能向相关当局披露您的IP地址和电话号码。如果共享了任何数据，Telegram将在季度透明度报告中包含这些情况。”Telegram还宣布，将通过其官方渠道定期发布透明度报告，披露与执法机构共享的数据。


根据Telegram发布最新透明度报告，2024年1月1日至9月30日期间，美国执法机构已被满足请求数量为14，受影响用户数为108。不过，一些数据请求可能发生在Telegram的CEO被捕之前。

Xboard订阅漏洞修复方法，

文件位置：/app/Http/Middleware/Server.php

方法1(推荐更优雅):见图红色部分，添加图片红色部分到代码中。

方法2（不推荐不优雅）：加到中间件内：
加到$request->validate( 前

$token = $request->input('token');
if (empty($token)) {
    throw new ApiException('token is null',403);
}

Xboard面板漏洞，可导致所有用户uuid泄漏，目前已有多家机场被大规模扫描。

起因是Xboard开发者只核验了提交的token是否正确，却没判断是否为空，导致没token的时候反而绕过了校验导致订阅可被未授权遍历。此漏洞可导致用户订阅信息泄漏，预计泄漏后将导致市面出现大批免费节点。

另外据传Xboard还存在SQL注入漏洞

订阅漏洞修复方法：https://t.me/buhecha/130

国务院《网络数据安全管理条例》自2025年1月起实行。

相比三年前的征求意见稿：

1.【整条删去“国家建立数据跨境安全网关，阻断境外反动信息”以及禁止为翻墙提供工具服务的规定及其罚则。】

2.对数据处理者受理“个人信息转移请求”的义务，增加“转移个人信息具备技术可行性”限定。

3.删去对数据处理者删除或匿名化个人信息“15个工作日内”的限定。

4.删去“不得将生物特征作为唯一身份认证方式”。
将“即时通信工具不得无理限制用户访问其他平台”，泛化为“大型平台不得无理限制用户访问使用其产生的数据”。

（中国政府网）

Telegram创始人杜罗夫昨天发文表示Telegram将根据有效的法律要求向政府提供用户的IP地址和手机号码。

杜罗夫的被捕促使“电报”改变了其平台规则。昨天他在他自己的Telegram频道上发文称，“电报”修改了服务条款，以防该平台被犯罪分子滥用。

据杜罗夫介绍，通过人工智能和审核团队，“电报”已开始在其搜索结果中隐藏有问题的内容，此举是防止该平台被滥用的措施之一。

目前杜罗夫积极整改“电报”的举措和之前形成鲜明对比，他此前一直无视各国政府的删帖要求，还经常忽略有关提供犯罪嫌疑人信息的请求。

🔎 Search on Telegram is more powerful than in other messaging apps because it allows users to find public channels and bots. Unfortunately, this feature has been abused by people who violated our Terms of Service to sell illegal goods.

💪 Over the last few weeks, a dedicated team of moderators, leveraging AI, has made Telegram Search much safer. All the problematic content we identified in Search is no longer accessible. If you still manage to find something unsafe or illegal in Telegram Search, please report it to us via @SearchReport.

🚫 To further deter criminals from abusing Telegram Search, we have updated our Terms of Service and Privacy Policy, ensuring they are consistent across the world. We’ve made it clear that the IP addresses and phone numbers of those who violate our rules can be disclosed to relevant authorities in response to valid legal requests.

☝️ These measures should discourage criminals. Telegram Search is meant for finding friends and discovering news, not for promoting illegal goods. We won't let bad actors jeopardize the integrity of our platform for almost a billion users.

非小号团队被警方带走调查

据圈内披露，非小号团队的多位关键人员已被内蒙古警方带走调查，且已有半年之久。具体原因尚未公开。业内人士推测，可能与平台曾列出过一些有争议的交易所和问题币种有关。作为一个加密货币行情信息平台，曾多次被批评未能有效识别和过滤这些不良交易所和币种。

除了上述原因，市场上还流传着非小号涉及出售争端的传闻。该传闻表示，非小号内部或存在股东之间的利益纷争，这可能导致了相关人员被调查。然而，这一消息尚未得到官方证实，更多细节仍然不为外界所知。

民商事案件中“翻墙证据”的排除与认定

（1）翻墙证据的取证，使用香港SIM卡，配合iPhone，是移动端设备取证优选，还能直接当庭验证展示域外内容以加强法官心证。

（2）翻墙证据固定形式以公证书为佳，相关SIM卡采购来源、使用方式应于步骤中详尽描述，杜绝对方的质证空间。

（3）若考虑到费用、紧急程度的情况，使用时间戳取证，录像中建议使用MD5值、hash值等单向算法进行固定，目的在于提供有力台阶，便于法庭认定。

（4）PC端取证，VPN信道的来源建议提前筛选，如系大厂，已正常接入商业魔法，可使用公证员上门公证的方式固定，事后视情况补充针对网络情况的说明；如系其他主体，优选高校教育宽带作为魔法来源。

（5）如果使用民间魔法获得翻墙证据，质证的理由在上述表格中已基本体现，举证方应提前做好充分的质证应对准备。如有必要，可当庭展示域外内容提供会心一击。

由于 Telegram软件创始人帕维尔•杜罗夫近期于巴黎被捕，俄罗斯军方开始担心，前线军队目前基于Telegram的实时情报共享机制，会遭到破坏。
俄罗斯联邦运输技术发展中心主任阿列克谢•罗戈
津甚至对此表示，逮捕帕维尔•杜罗夫的行为，“相当于逮捕了俄军通讯部长”，“现如今，俄军的情报运输、炮兵调动、直升机视频信息传输等诸多工作，实际上都是经常通过Telegram来进行的。

电报（Telegram）创始人帕维尔·杜罗夫24日在法国被捕。


法国TF1电视台报道称，帕维尔·杜罗夫可能面临恐怖主义、洗钱和贩毒的指控。

他同时具有俄罗斯、法国、阿联酋等多国国籍。有报道称，由于帕维尔·杜罗夫是法国公民，因此不会被交换或引渡至其他国家。

使用 GoEdge 做 CDN 的 请注意：GoEdge “官方”投毒与供应链投毒恐有关

自己部署的CDN会插入一段来自 https://cdn.jsdelivr.vip/jquery.min-3.7.0.js 的代码

解决方案：回退到 v1.3.9

Telegram安卓应用曝出0day漏洞，允许恶意文件伪装成视频进行传播

2024年7月22日，ESET研究人员披露Telegram存在一个名为“EvilVideo”的零日漏洞，该漏洞影响 Telegram v10.14.4 及更早版本。利用这一漏洞，攻击者可以在Telegram频道、聊天和群组中，将恶意 Android APK 伪装成视频文件传播。

该漏洞最初被发现于2024年6月6日，当时ESET研究人员在一个地下论坛上看到了一则关于该漏洞的广告。化名“Ancryno”的卖家以未公开的价格出售该零日漏洞，声称其适用于Telegram版本10.14.4及更早版本。于是ESET追踪到相关频道，获取恶意负载并进行详细分析。

分析结果显示，“EvilVideo”漏洞仅在 Telegram 的 Android 版本中有效，允许攻击者创建特制的 APK 文件，而这些文件在发送给其他用户时会显示为视频格式。在默认设置下，Telegram 应用会自动下载媒体文件，因此频道参与者一打开对话就会在设备上接收到恶意负载。对于已禁用自动下载的用户，单击视频预览也会启动文件下载。而当用户尝试播放假视频时，Telegram 会弹出使用外部播放器提示窗口，这可能导致接收者点击“打开”按钮并执行恶意负载。


Telegram用户如果最近有收到请求使用外部应用播放的视频文件，保险起见最好进行一次杀毒扫描。Telegram视频文件通常会存储在 '/storage/emulated/0/Telegram/Telegram Video/'（内部存储）或 '/storage/<SD Card ID>/Telegram/Telegram Video/'（外部存储）之中。

【漏洞通知】

1panel面板存在SQL注入漏洞可导致远程命令执行，影响较大，尽快自查建议尽快处理。

https://github.com/1Panel-dev/1Panel/security/advisories/GHSA-5grx-v727-qmq6

多家服务器供应商表示，接到运营商通知，到6月底30号，广州移动IDC带宽需禁海外，广州地区针对vpn的打击力度不断增加。