先进后掠翼黄狗 @[email protected]

⚠️大家好，我做了一个简单的长毛象身份替换漏洞测试工具👇 ：

请在您的实例搜索框内粘贴 https://mastodonatkpoc.bsql.me/post.jsonld （如果链接显示不全则右键复制链接） 然后回车，如果出现如图所示的信息，那么您的实例已不再安全。这条信息会污染一个空白用户 https://c7.io/@hello 在您的实例的时间轴。

安全的实例会提示没有搜索到任何内容。

虽然说这需要您手动搜索一下这个奇怪链接，但是任何一个用户只要操作一次就会永久污染整个实例。而且这个测试只是使用了这个漏洞最初级的形式，也就是伪造跨站嘟文。更高级的用法包括不限于：更改跨站用户的简介、更改跨站用户的密钥，后者可以使用户真身的消息再也无法被发过来，并且攻击者可以自由注入嘟文而不需要再利用搜索框了。

目前这个漏洞的使用方式已于2月15日全网公开，所以如果您的实例仍然有此漏洞，很有可能已经被假数据污染了。这种时候即便是站长也没有什么办法可以补救，只有更换一个实例了。

我虽然多次提及本漏洞的严重性，甚至私信很多站长提醒，但是仍然有很多实例没有修复这个bug。我希望这个测试能够更有效的展示漏洞的致命性，希望大家重视和传播这个信息。

漏洞详情和已知不安全大站：https://c7.io/@snullp/111927754458108930

ps. 我对某些站长很失望。魔改了长毛象之后公布了程序使得很多别的站点也在使用。但对于这样的安全漏洞这么久过去了仍不修复，这导致别的使用了同样程序的实例一起遭殃。俗话说能力越大责任越大，获得了技术力强的声誉就不能这样忽视用户（包括站点用户和采用程序的站长）对你的信任。

@board

我超 狗在开车！

We are deeply disturbed and saddened by news of the death of Alexei Navalny.

Putin fears nothing more than dissent from his own people.

A grim reminder of what Putin and his regime are all about.

Let's unite in our fight to safeguard the freedom and safety of those who dare to stand up against autocracy.

已实例级封禁。

可能不是强相关，但这个站点短时间喷射大量垃圾嘟文（我这边封了196个用户750多条嘟）的同时我站时间流直接瘫痪了，靠后台重建缓过来的，离谱………

我已经领悟了一篇看起来牛逼的史同文：需不断重复各种时间地点，注意要用正确的年号；不得直呼人名，要用字或官职，调情以字为佳；适当引经据典，和别人的死人推联动；尽量隐晦地提到你觉得读者一定会知道的大事件（例：毕竟他仍记得征和二年的秋有多冷）；适当加入一些边缘人物，如家受的同事的儿子的老婆；性爱需以国家大事为前戏。

Oh no!

For some silly reason you forgot to have a gift for your partner or loved one? Worry not, I got the perfect solution for you... Silly Animal Redraw Valentine Cards! Perfect for your true love

If it wasn't obvious, these are free to use!

#MastoArt #FediArt #PixelArt #ValentinesDay #ValentineCard #Cats #Animals

昨天睡前想到一个近平的梗想发文，可是醒来后忘掉了，Fuck，灵感稍纵即逝，希望近平也可以稍纵即逝

The Mastodon instance “queer.af” has been shut down… by the Taliban. No, not a joke, what country do you think “.af” is? Be careful with your cc TLD's, folks.