Rosmontis's Daily🌸


Гео и язык канала: Китай, Китайский
Категория: Блоги


📝 日常分享|趣图趣事
🏮 分享一些网络与生活上的所见所闻所想,也当是记录自己的心路历程吧
🔔 内容比较杂,请谨慎关注
❤️ 友情链接
t.me/Rosmontis_Daily/3693
☎️ PM/联系我 @Rosmontis_bot

Связанные каналы

Гео и язык канала
Китай, Китайский
Категория
Блоги
Статистика
Фильтр публикаций


一 💗 个 ❤️ 人 💗 寂 ❤️ 寞 💗
想 💗 要 ❤️ 少 💗 女 ❤️ 陪 💗

火☆熱☆勁☆慡☆看☆片☆

獨🚫爽🈲一⭕️整❌晚

❤️❤️❤️🔞Mygo🔞❤️❤️❤️

寂寞无趣,激情午夜

亚洲少女,头晕目眩

异域风情,炫目灯光

来福豪斯,激情对唱

👄🈲❤️🈲💛🈲💚🈲💜🈲👄

🔞🥵一切都在卖狗🥵👅

👇👇👇點窩伽入👇👇👇
https://t.me/+oon5dUzLXPswZTE0

889 0 8 22 28

Видео недоступно для предпросмотра
Смотреть в Telegram
📺【6月/剧场版/藤本树/中字首发】蓦然回首 正式PV【MCE汉化组】

好好好!!


私が20才前後の若き時、海外へ行って「思い出は写真なんかじゃなく、自分の記憶に留めておきたい。」と強く思っていて、そんなに写真を撮らなかったんですよ。 40才半ばを過ぎた今、記憶力が大変おぼつかなくなって、「結局残るのは写真だけ。」を座右の銘にして生きている。 参考にしてください。 source


Видео недоступно для предпросмотра
Смотреть в Telegram
小心超人

#日常


幽默untrusted

4.1k 0 22 16 58

结论:疑似攻击者通过利用错误MIME type实现客户端欺骗。

涉及Telegram中的两个API功能——sendVideo和InputFile。

sendVideo中的video字段支持两种输入方式,“InputFile or String”,

- (String)传递一个文件 ID(以字符串形式)来发送存储在 Telegram 服务器上的视频(推荐做法)
- (String/InputFile)传递一个 HTTP URL(以字符串形式)以便 Telegram 从互联网获取视频
- (InputFile)使用 multipart/form-data 上传一个新视频。

问题出在第二种,InputFile - Sending by URL时,目标资源可以拥有一个自定义的MIME标签,以指示其他Telegram客户端应该以什么方式加载这个资源。

而这些不怀好意的.pyzw文件,(可能由于漏洞)在这里都被指定为了video/mp4,导致其他Telegram客户端将以播放器模式展示这个文件。



响应标头:>图1<
请求方json:
{
  "dcId": number,
  "location": {
    "_": "inputDocumentFileLocation",
    "id": "*",
    "access_hash": "*",
    "file_reference": [
      *, *, *, *
    ]
  },
  "size": 42,
  "mimeType": "video/mp4",
  "fileName": "***.pyzw"
}

另外,Telegram Desktop的影片播放方式决定了Telegram Desktop将会把这些较小的视讯资源放置在本地下载目录,然后通过“执行”的方式来加载本地影片至内嵌播放器,这也就是为什么在用户点击这些“假影片”后会自动执行攻击者编写的代码。

9.5k 7 230 20 120

Видео недоступно для предпросмотра
Смотреть в Telegram
⚠️⚠️⚠️⚠️警告⚠️⚠️⚠️⚠️

*Telegram大概于 UTC+8 2024年4月12日18:25,在服务端进行了修复,pyzw文件后会有untrusted的标记。

Telegram Desktop版本远程代码执行漏洞已被确认

危害程度极高,建议用户根据文章建议关闭自动下载功能


情况介绍

4月9日
一条视频宣称Telegram Desktop客户端有漏洞,能轻松实现远程代码执行恶意攻击

当日,Telegram 称无法确认 Desktop 版本远程代码执行漏洞


4月12日
笔者发现,Telegram Desktop Github库下一条PR中提到一个Bug,能通过某种方式发送pyzw格文件,Telegram会将其识别为视频文件,实现伪装视频效果,且客户端默认设置条件下,会自动下载文件,用户看到后常常会下意识点击执行,攻击生效。

前置条件: Telegram Desktop Windows

54.6k 27 724 56 87

【左滑把地铁开到cpsp】

当宅宅这么多年第一次去漫展 很特别的体验 source


试着帮忙修了一下朋友拍的照片

💭: Photographer @neverwin_cc
——————————
📸: Sony α7CM2 / Sony E 28-200mm F2.8-5.6 A071
📝: 142mm, f/5.0, 1/1600s, ISO 200
📅: 2024-04-06 17:03:41

#日常 #摄影


Видео недоступно для предпросмотра
Смотреть в Telegram


《你想表达怎样的剧情》

#日常




Репост из: ᴊᴜsᴛ ᴀ ᴘᴇᴇᴋ
昨天晚上把闲置的SONY W230 CCD相机挂到了海鲜市场,价格是市场价400,这不是一台热门的机器。挂上去开始立刻就很多贩子来问,还有拍下不付钱锁交易的,我也没怎么搭理。

最后一直在好好聊这台相机的买家,听语气都是学生,当时我也不知道是不是装的。其中最先来问的女生很坚定地要买,她说让我等她一下,她去借钱。

我就说借钱买这种老旧产品有点没必要,几百块买回去玩玩味道没问题,但真的举债买就不值得了。她说自己真的很想要一个CCD记录即将到来的高三校园生活,学校不能带手机,她爸妈也不支持她买相机,只能借钱。

聊这些的过程中她已经借到二百多了,我说这样卖给你的话我很有压力。这个时候差不多已经确认对方真的是个高中生了,她让我想起高中时买了卡片机一直拍拍拍的自己,后来相机被偷了,至今没找到小偷。但是它给我留下了几百张校园青春的回忆,算不得摄影作品,照片里面的所有人都还很年轻。

就在她还差115块钱的时候,来了另一个买家,非常懂行,看了成色视频以后还问了闪光灯功能和读卡器的规格,立刻就要下单。聊了一下她对各个品牌的相机效果非常了解,买我这台只是想过渡一下,还截图说了自己想达成的效果和营业思路,完全是个KOL级别的选手。我也跟她说了现在有一个高二的小朋友在凑钱买,我有点犹豫要不要卖,结果对面这位说自己也才高三,我就懵了。

她俩对相机的理解和需求完全不同,当时我已经想把这台CCD送给高二小妹妹了,但是我冷静了一会以后做了个决定,把相机卖给了高三的小博主。

听高三女生的语气,花四百块买相应的效果,需求清晰而轻松。毕竟是旧产品,其中的不便她已经非常了解,交易就只是交易。我还感慨了现在的高中生真的挺厉害,反正我高中不太敢跟陌生的成年人这样交流。

这个结果我也马上通知了高二的小妹妹,她说如果对方能马上付钱的话,不卖给她也没关系,这样也不用等她凑钱。我跟她说借钱买回去旧相机记录生活也许不好用,这样不值得。她回答我CCD真的会让她开心,这无关价值。

这个时候我再次想确认她高中生的身份,她马上拍了身份证的照片过来,说虽然没买到但自己绝对不骗人。于是我就把这个决定的真正原因说出来了,我打算送她一台更好的相机。

她立刻拒绝了,说我作为卖家能等她凑钱已经很感谢了,不能白拿别人的东西,除非我还有其他相机,她可以想办法买。于是我提出帮她物色一台更合适的,她也不想麻烦我,说已经感受到了陌生人的善意就足够了。

之后就没再多说什么,但是我已经直接把周边地区第二天能面交提货的卡片机掘地三尺到凌晨。这个事情我也告诉了我爱人,毕竟我俩也都是各自从高中开始拍东西,然后因为摄影认识到最终结婚的。我们太知道想拍东西的热情是多么值得守护,她非常支持我的决定。

最终选中了图里这台配色特别的柠檬黄SONY TX10,1600万像素,1080p视频。虽然是2011年的相机但今天依然够用,不追求特定CCD的美颜效果而是记录生活的话刚刚好。

今天下午去提了货,入手成交的价格我没有如实告诉这个女生。这个价格已经不重要了,我懂她想通过付出得到心仪物品的心情。于是我跟她说,我和我爱人赞助一半,她只需要付200。

她仍然不想人陌生人为她付出,觉得对不起我们,说我们最多赞助10块钱她就觉得非常好了。最后我们商定她出300块钱,我们出100,她说都不知道怎么报答,我说你只要真的坚持拍照记录生活就可以。

然后又一次发生了反转,她把这件事告诉了自己妈妈以后,妈妈把她借的钱都还回去了,同意了她买相机的想法,又替她出了这笔钱,也没有骂她,只让她买回来就好好用。

后面对方就一直在道谢,我跟她说其实我们要谢谢她,她的执着和原则感动了我们,也给了我们一个机会来帮助她,感觉像是穿越时空回报了高中时开始举起相机的自己,青春不要留遗憾。 source

#故事

3.4k 0 24 7 116

Репост из: 每日沙雕墙
via ๑乛◡乛๑




Репост из: 浮生东京
从东京出发,往返440公里,终于拍到了这颗300年树龄的樱花树的绝美绽放时刻。





Показано 18 последних публикаций.