来源：https://pincong.rocks/article/160

来源：
https://pincong.rocks/article/160

Twitter 官方
https://help.twitter.com/en/support-form

https:/不要直接点链接/www.solidot.org/story

大概原因是 Twitter 的支持表单有 bug，导致用户手机号码的国家代码以及是否被 Twitter 锁定的状态被泄露。
后面还提了有大量来自天朝和沙特的 IP 地址通过 API 查询，而且可能受政府支持。

猜一下可能的泄露步骤：

官方翻墙看推（用 bot 即可），发现有政治敏感推后，
通过支持表单的 API 查看手机号前缀，如果是 +86（中国大陆）就做个标记，过滤掉其他的人（如有用非 +86 手机号绑定 Twitter 还被抓的情况请告知），
推主多半会泄露其他信息（定位、照片等），根据这个抓人。

太2假人
几个可能的渠道
0.用户在twitter上暴露真实身份信息==喝茶
1.手机或者电脑内部有国产软件,twitter的使用情况被直接监控(360,俩个马家,wps等等)==喝茶
2.输入法监控,国内输入法全程监控用户操作,twitter发言内容和输入法云端数据相匹配==喝茶
3.ISP翻墙时DNS泄露，导致用户上twitter行为暴露==喝茶
4.电信运营商监控到来自twitter的短信==喝茶
5.邮箱泄露来自twitter的信息==喝茶
6.VPN是蜜罐或者VPN公司被橄榄，导致VPN使用者上网记录被泄露==喝茶
7.twitter公司内鬼泄露用户手机号（twitter的漏洞视为内鬼所为）==喝茶

应对策略
0.建立全新的网络身份（注意元数据泄露）
1.学会用虚拟机，手机专机专用，或者避免使用手机
2.使用不联网的输入法
3.翻墙请带套 (tor project https://www.torproject.org/download/)
4.twitter其实可以邮箱注册
5.使用国外匿名邮箱
6.翻墙请带套
7.使用twitter时默认其已经被蓝金黄。

另外：已经被喝茶者统统被公安建立的一个专门部门及数据库所监控，国内账号避免发声，且如果无法做到以上几点避免使用twitter，学会技术再翻墙。

多重代理，控制好最后一重代理的出口地址，可以避免twitter让你输入手机号，twitter监控到你登录ip地址全球跳动，必然让你输入手机号，twitter自身是需要这样的策略来反制水军的，但这一策略被赤匪用来抓人。

--------------

【重磅石锤】推特上大量中文用户被查水表的原因正式被找到

https://pincong.rocks/article/13942

此文作为以下两篇内容的补充：
Twitter 上大量中文用户被查水表的原因貌似被找到（其实那篇文章是我写的，当时开了匿名）
最近有很多推特用户被查水表了，国保是如何找到他们的？

原文链接在此：
https:/不要直接点链接/www.zdnet.com/article/twitter-says-an-attacker-used-its-api-to-match-usernames-to-phone-numbers/

https://privacy.twitter.com/en/blog/2020/an-incident-impacting-your-account-identity

重磅石锤！推特有个API，可以通过绑定的手机号查推特帐号，于是有人注册帐号（中国政府可能性极存），通过导入联系人号码的方式查推特帐号，然后抓人，
手机号怎么拿到的：中国政府控制着国内三大运营商，肯定能监听从推特发过来的短信，然后导入联系人查推特帐号就行了。就算是你，知道别人电话号码也可以做到，

如何防止此类攻击：
进入推特设置，“联系人”，把“通过手机号码找到你”和“通过电子邮件找到你”两个勾都去了，就可以不受这种方式攻击，有推特帐号的，请立即去设置，

如何上推特不被中国政府抓：

先把上述的两个勾去了，否则你就算使用虚拟号码，如果你号码暴露了一样抓人
不要使用+86（中国大陆）的手机号码绑定推特，可以在海外购买一次性号码，或者使用虚拟号码绑定推特
不要发国内定位
政治帐号和生活帐号要分开，涉政帐号不要发暴露身份的文字、图片、视频等等

其他网站注意事项：
不少网站都有“通过手机号码找到你”和“通过电子邮件找到你”这两个选项，建议查设置然后关掉。本来在国外，这个功能很方便，可以和自己的联系人互动，但是在中国，这个功能很危险，建议马上关闭，

推特混入了间谍？
之前有个自称国安的人爆料，像这些科技公司，收买线人即可，不需要专门安插间谍，
但是你可以假定，所有的科技公司都是不可信任的，以此标准做好匿名工作，

最后补充一下，中国政府如何利用推特抓人：

钓鱼VPN：看你上了哪些网站，不过很多网站都有HTTPS，所以基本看不到你在具体的网站上干什么，所以基本没什么用，
但是如果你挂VPN上网的话，弹出证书错误之类的对话框，而且不是局限在某个网站，那就要小心了，这VPN就是钓鱼的，HTTPS之类的东西也无法保护你，你挂VPN上的一切网站，干了什么事，都看得到了。

密码找回：选择手机号，以前可以看到国家代码和末尾4位数（然后中国政府查一查有没有符合条件的号码收过推特的短信），现在改成看不到国家代码，末尾只有2位了。
导入联系人：就是这篇文章所提到的方法，这里不再赘述。
发动小粉红和网军举报：这个没法用来直接抓人，但是你的帐号被举报为垃圾帐号，需要手机号码证明清白的时候，如果你使用中国大陆的手机号，就上当了。
自曝个人信息：在涉政帐号里发定位的，一查一个准。如果是图片、视频，有可能下载后查看里面的EXIF数据（推特有可能已经帮你去除了EXIF，但是我不确定），或者根据已知信息排查抓人。
被别人举报：你推特身份关联了现实身份，而且你得罪了别人，就有可能被举报，或者是反贼被小粉红举报。
钓鱼邮件：如果中国政府知道你的邮箱，就可以往邮箱里面发钓鱼链接，骗你输入推特的帐号密码，然后就中招了（卧槽，我币圈人其实也收到过。）
分享用自己国内的帐号生成的链接：自己的网盘、视频链接，因为关联自己的身份，不要用涉政帐号分享。
【更新】用国区Apple ID的苹果设备登录推特：感谢推友【Sapphire 蓝宝石酱】https://pincong.rocks/article/25380

@board