本文为我写作后，gemini 3 pro重新生成，后简单再编辑。原为内部参考，现在发出来。 因而本文文字上革命性可能是不足的望读者谅解。

前言

唯物辩证法是无产阶级及其政党认识世界、改造世界的根本锋芒，而“具体问题具体分析”则是这一伟大武器活的灵魂。

当前，我们在安全防范领域面临的挑战日益严峻。编写本手册的目的，绝非仅仅罗列几条死板的教条，而是旨在传授一套基于唯物主义立场的技术分析方法。我们要透过复杂的监控表象，把握敌我博弈的本质规律。结论固然重要，但能够根据瞬息万变的斗争环境自主分析、审时度势的方法论，才是每一位同志最可靠的护甲。特别的，此文不涉及具体操作流程，自有专文负责。

警察要做什么：监控逻辑与威胁分级

我们建立安全体系，本质上是为了对抗资产阶级专政机器的监控与镇压。必须明确，信息收集并不完全由国家机器直接完成，资本平台（如 Bilibili、腾讯等）为了商业利润进行的精准画像，同样是监控链条中的一环。

知己知彼，百战不殆。我们将面临的斗争场景分为以下三个由浅入深的阶段：

1. 泛在监控阶段（普通群众）

在此阶段，你并未进入敌人的重点视线，面对的是例行公事式的大数据采集。

• 实名压迫： 国内平台强制绑定的手机号与实名认证（网证网号）。
• 自动审计： 国产输入法例行保留输入内容；程序算法（关键词过滤）对微信、QQ 聊天记录的实时扫描；国产操作系统后台静默上传已安装的应用包名（App List）。
• 性质： 这种监控是广撒网式的，主要依靠算法运行。一旦触发特定阈值，即可能导致防御等级升级。

2. 定向监视阶段（重点对象）

当你引起了敌人的注意，监控将从“算法”转为“人工+算法”。

• 深度渗透： 专人盯防，利用国产系统的底层后门进行定向取证，调取比第一阶段更详尽的个人数据。
• 行政传唤： 随时可能发生的“请喝茶”。我们认为“喝茶”与重点监视同级，因为此时你仍有预警空间和准备时间。

3. 物理收网阶段（抓捕行动）

这是对抗的最极端形式。

• 突击搜查： 执法人员在无预警的情况下登门，进行物理层面的设备扣押与人身限制。

俗话说： 字越少事越大。逻辑上的字数越少，现实中的事情越大。

阶段转换与应对策略

上述三个阶段是动态递进且双向转换的。它可以因你的疏忽而升级，也可以通过有效的策略性伪装实现降级（例如：长期无活跃行为导致监控资源撤回，转为普通监控以节省行政资源）。

• 第一阶段的同志（绝大多数）： 核心任务是**“切断联系”**。防止实名身份与革命行为产生逻辑关联。在操作失误导致风险升级时，必须清楚如何止损，以保护组织完整与个人安全。
• 第二阶段的同志（有“前科”或较活跃者）： 核心任务是**“彻底隔离”**。由于面临专人调取后门的威胁，刷机（更换自由系统）是生存的底线，不再是可选项。一方面，需通过“生活机/工作机”的物理或逻辑隔离，伪装成“改邪归正”的群众以诱导监控降级；另一方面，必须严防事态向第三阶段恶化。
• 第三阶段的同志（前线工作者或重点目标）： 核心任务是**“隐匿与销毁”。你处于风暴中心。一方面，你的实名身份必须完美“白化”，伪装得无懈可击；另一方面，必须建立瞬时销毁机制**，确保在突发抓捕时能立即切断所有线索，以决绝的手段保护组织核心机密与其他同志安全。

信息泄漏与防护

信息类型

实名信息

中修多次强调互联网实名制，一个重要的原因就是这方便监控与抓捕。只要其知道你的真实身份在干革命，那么其可以立马“请”你喝茶甚至进行抓捕，这也会危害组织。实名信息主要包括：你的手机号、名字、身份证号、网证网号等。

注意实名性是具有“传染性”的：

• 你用手机号注册了 QQ，QQ 就是实名的。
• QQ 和 QQ 邮箱相连，QQ 邮箱也是实名的。
• 你用 QQ 邮箱注册了推特（X），那么你的 X 账号也是实名的。
• 你在 X 账号上列出了你的 XMPP 地址 A，那么 A 也是实名的。
• 你在群里说“我还有一个小号 B”，那么 B 也实名了。
• 你的小号 B 和小号 C 使用了相同且特别的头像，那么 C 也是实名的。

IP 地址与基站定位

IP 地址是一种地址，类似于快递单上的发件/收件地址。

1. 追踪原理： 在 IPv4 环境下，虽然存在 NAT（多个设备共用一个公网 IP），但运营商会保留详细的日志。通过“公网 IP + 端口号 + 时间戳”，中修可以精确锁定到哪台宽带调制解调器^[1]或哪个移动基站下的哪部手机。
2. IPv6 的威胁： 在 IPv6 环境下，地址数量极大，每个设备都可以拥有一个独立的全球唯一 IP。这意味着“快递单”不需要重新贴了，你的设备指纹直接暴露在公网上，追踪精度从“一栋楼”精确到了“某部设备”。
3. 基站定位（Cell Tower）： 手机只要插了 SIM 卡或开启了蜂窝网络，就会持续与附近的基站通信。通过多个基站的三角定位，警察可以精确锁定你的物理位置。如果你的生活机和革命机总是出现在同一个基站的覆盖范围内，且活动时间高度重合，那么在数据分析中，这两个身份就会被关联。
4. 结论与现状： 只要你直连国内网络访问敏感资源，你的物理位置就是透明的。但事实是目前中修极少仅因流量分析就上门，目前的抓捕记录大多源于国产系统包名检测（扫描你装了什么 App）以及海外平台实名注册（如用国内号注册推特）。但为了长远安全，直连敏感资源仍应避免。

元数据（Metadata）

元数据是“关于数据的数据”。发送文件或链接前，必须意识到其中隐藏的身份线索。我们简单列举几类元数据。

1. 文件元数据：

• 图片： 包含 EXIF 信息（拍摄时的 GPS 经纬度、手机型号、拍摄时间）。
• 文档： Word 或 PDF 会记录修改者的电脑用户名、软件序列号、最后编辑时间。

2. 链接追踪（查询参数）： 许多长链接在 ? 后面跟着一大串字符（如 ?share_id=123...&user_id=456...）。这些是动态生成的追踪 ID。

• 本质： 只要有人点击了这个带参数的链接，后台就能回溯出：是哪个实名用户在什么时间分享了这个内容。
• 对策： 分享链接前，必须删除 ? 及其后面的所有内容，无论是使用插件还是手动。

3. 时间，昵称 一条消息的内容本身是数据，其发送时间，发送者昵称便可以认为是元数据，这是相对的。时间也可以泄漏信息，通过多平台的时间线关联分析，可以定位到个人。

短链接映射

短链接（如 t.co、b23.tv、dwz.cn）比带参数的长链接更危险，因为它具有不可清洗性。

1. 原理： 短链接的本质是在平台数据库中建立了一个 “短 ID -> 原始长链接 + 分享者身份” 的一对一映射。
2. 风险： 你无法像长链接那样手动删掉追踪参数。当你点击短链接时，请求必须先经过平台服务器解析，此时平台会瞬间记录你的 IP、浏览器指纹，并将其与最初生成该链接的实名账号强行关联。
3. 结论： 在革命工作中，严禁直接分享国产平台生成的短链接。必须先将其还原为长链接，剥离参数后再传播。 根据上面的原理，短链接之所以危险是因为其短id映射了大量内容。如果是b23.tv/Bvxxxx就不会泄漏分享者信息，因为Bv号对于分享者而言并不特殊。

信息如何起作用

通常来说，信息的目的是用于筛选。很显然中修不能将13亿人民一齐抓捕，其必须将你的革命行为和你的真实身份关联才能对你进行逮捕等。从量变的视角来看，每个信息都可以排除一定数量的人。哪怕是实名信息，也可以认为是排除了除了对应实名身份之外及其家人（因为有的时候儿子可以用父亲的号）外的所有人。比如说你说自己在上学，那么就限定在正在上学年龄段且未辍学休学的人。

再比如说之前提到的特殊元数据，时间。在微信发送“谢谢”的人很多，但是在某一天的某一分钟发送“谢谢”的人就很少了，警察可以通过这种方式来定位个人，所以我们不允许在公开群发送微信截图。另外，如果不是“谢谢”，而是更长的话，可能说过的人本身就不多。

社会工程学

社会工程学说的很高大上，其中就是利用信息排除情况定位个人。我们说，实名信息排除的量太大了，量变引起了质变，一旦泄漏实名信息，那么就很容易抓捕。实名信息泄漏是一次就引起质变，有的时候量也可以叠加，南京人有很多，高中生也有很多，南京高中生就一下子少了。男生更少了，高一男生更少了，用微信不用qq的高一男生又更少了，再次之上物理分数比数学高的又少了。

身份隔离与维持

我们必须学会维持一个相对正常的“生活身份”。在国产系统、实名 App 面前，我们要表现得像个关注美食、游戏或官媒新闻的“顺民”。这层“白化”身份是用来抵挡大数据第一层自动筛查的。你的实名手机里不应出现任何非法 App。革命身份必须被严格限制在加固后的空间中，绝不与实名网交叉。

信息混淆

应对社会工程学，一方面是要坚决避免泄漏公开实名信息，另一方面则是要避免通过多次泄漏的信息重重筛选。我们有的时候为了增加可信度等等会不可避免说一些真的信息，一次两次风险不大，为了防止水滴石穿，难以分辨假消息就可以起很大作用。

比如说还是以学生的例子，假如你不是南京的，是隔壁无锡的，那警察怎么在南京的学生里调取数据都找不到你。而且，警察无从知道，到底你的城市是假的，还是你的年级是假的。你也可以在不同时间不同地点抛出多个城市，那很难知道哪个是真的，或者有没有真的。

故而我们提倡大家偶尔说一些看上去很真的假消息，即信息混淆。所谓看上去真，就是好像你真的需要这么说，而不显刻意。让警察的筛查成本由于呈几何倍数增长而变得不可接受。

信息传递

很显然，并不是你发了某些信息你就会被捕。不是所有消息都能传到警察那里。

各种平台

不是所有平台都会把信息给中修，更别说配合调查了。经济基础决定上层建筑，一个商业平台越是依赖中国政府的同意来赚钱，就越会向中国政府低头。

• 中资商业平台（QQ、微信、B站等）： 这是中修的“后花园”。它们不仅主动进行关键词审计，还根据要求提供全量数据的实时接口。数据是完全透明的。
• 跨国资本（Microsoft、Apple等）： 特别警惕 Microsoft（微软），所有中国大陆 IP 的用户数据，以及全球范围内使用简体/繁体中文（简体和繁体）语言的用户数据，都会存储在中国大陆境内的数据中心。也就是警察如果想要，可以很轻易的调取到数据。（内容另外讨论）
• 内鬼与漏洞： 即便平台声明安全，也要防范人为因素。内鬼可能为了私利出卖后台数据，而软件自身的安全漏洞可能让警察直接植入监控。

对于技术工具的使用，** 我们并不是不使用先进工具**。比如 Gemini (Google) 等就是很好的帮助。只要使用匿名 Google 账号并配合代理（VPN），它们能协助完成诸如本文的编写工作。这篇文章就是借助匿名 Google 账号下的 Gemini 编写的。

特别的，关于Telegram（TG）的真实风险： 很多同志迷信 TG，但这并不值得。TG 注册昂贵、麻烦且极易封号。最重要的是 TG 群组没有端到端加密，服务器端可读取记录。已有证据表明警察会利用爬虫实时保存公开频道内容，且具备快速索引能力。同时杜罗夫（Durov）已在法律压力下屈服，表示会向政府提供 IP 和手机号。因此， 更好的选择是： XMPP (配合 OMEMO 加密) 与 Matrix。它们支持端到端加密，即使服务器被查、内鬼倒戈，警察拿到的也只是乱码。Proton 邮件也是更好的加密选择。

加密内容与 VPN

1. 端到端加密： xmpp有omemo加密，理论上qq群也可以使用oversec等加密。网络连接大部分都使用tls加密。加密的目的就是确保只有发送者和接受者才能获取信息。
2. VPN 的本质——信任转移： VPN 的作用是将你原本暴露给 ISP（运营商：电信、移动等）的信息进行包装。VPN 并不是消灭了信息，而是将原本由 ISP 掌握的信息（你访问了哪些 IP、访问了哪些网站）转移给了 VPN 提供商。 除非是 Tor（洋葱路由） 这种多层跳转技术，否则 VPN 都存在对提供商的信任问题。严禁使用国产“加速器”。
3. 关于 Tor： 虽然 Tor 通过多层跳转解决了单一提供商的信任问题，但逻辑上仍存在三台节点皆为“钓鱼节点”的风险。但在目前的侦查水平下，这属于极低概率事件，不需要过度考虑。

接收者

我们以xmpp为例，xmpp的群聊有两种，公开群（频道）与私密群（群组）。

• 公开群： 内容谁都可以收到。我们要假定警察以一个用户或者服务器的身份实时爬取内容。这里的发言必须默认警察可以看到，提供任何个人线索都要经过信息混淆处理。
• • 私密群： 只有群员可以看到，警察无法直接获得。但我们要考虑群员是否安全。技术上有没有被监控（如是否使用了带后门的国产系统，包名上传暴露了非法软件）？政治上嘴巴大不大，或者在面临压力时会不会投降。

具体问题具体分析

上面各部分的内容并不是完全独立的，而是肉眼可见的相互联系的。

1. 现状优先级： 当前中修的重点是国产系统包名检测和海外平台实名关联（如推特绑国内号）。因此，刷机或使用隔离空间是第一优先级。
2. 链路思维： 评估每一个动作：我有多大概率已被针对？是什么级别？我泄露了什么？这些东西有多大概率会到中修手里？有多大概率会被用来针对抓捕我？我已经泄露了什么？这些东西会被保存了多久？
3. 动态防御： 实名平台严格信息隔离，在出事前实时地发布混淆信息等等。

我们要掌控工具，而不是被工具的“安全口号”所麻痹。安全不是一种静态的状态，而是对每一条流出的信息进行动态审查和逻辑包装的过程。

1、2 类与线上监控实操

我们再次审视并总结中修的线上监控逻辑。对于潜在的革命者，其常规监控手段表现为：

• 输入法监测： 对输入特征的实时检测与云端异步保存。
• 墙内行为画像： 记录你在国内平台的各种行为特征并进行持久化存档。
• 系统包名扫描： 对设备安装应用列表（App List）及特定文件特征的扫描与上报。
• 身份穿透： 拥有对你实名身份进行全维度锁定、关联与深度分析的能力。
• 社媒绝对把控： 对国产社交平台拥有完全的读写、分析及舆论操控能力。

而敌人在技术层面的“能力范围”（即具备实现手段，但需投入相应的时间与行政资源）包括：

• 系统级后门： 对国产商业操作系统（Android 改版及华为 HarmonyOS 等）拥有完全的把控与远程控制权。对于跨国巨头产品，这种把控力与其在华商业利益呈正相关。
• 全量网络审计： 对运营商流量的完全把控，包括大规模数据截留、明文解析以及对加密流量的启发式特征分析。
• 硬件协同： 调动各类公共监控设备及利用关联人（如家人、同事）设备进行侧面侦测的能力。
• 漏洞攻坚： 利用未公开的 0-day 漏洞而非预留后门实施精准渗透的潜在能力。

基于以上形势，我们提出如下分级防御要求：

线上信息隔离通用准则

无论哪一类同志，在线上活动中必须严守以下红线：

• 视觉防线： XMPP 等公开频道严禁使用任何与墙内实名账号相同的昵称、头像。
• 内容防线： 绝对禁止泄露任何实名身份线索。严禁直接发送未经处理的墙内社交平台截图。
• 元数据清洗： 必须开启软件的自动压缩图像功能（用以清除 EXIF 等元数据），或手动进行消磁处理。
• 文本优先： 尽量使用纯文本交流。若文本内容过长，建议使用 Privatebin 或 Send 等具备加密与过期自毁功能的平台传递链接。
• 信任分级： 在私密群组中同样不可掉以轻心。需根据成员表现谨慎判断，做相应的、适度的信息保护放松，而非完全解除武装。

对于 1 类（大众/初级）

移动端防御： 对于小米、OPPO 等国产 Android 设备，应安装 “元萝卜” 并设置自毁密码。必须更换 小企鹅输入法（Fcitx5）。

• 网络配置： 使用迷雾通（Mullvad）、Proton VPN、安全节点（推荐配合Exclave，此时可以打开国内分流）、nthlink 或 Warp 等。开启应用分流：国产软件直连以降低特征干扰，革命相关软件强制走代理。
• 隐蔽策略： 翻墙工具以及原萝卜以及输入法在安装前必须改包名，其他应用安装在元萝卜内部，以规避系统的黑名单扫描。除非有极高的技术把握，否则浏览器统一使用 Fennec。
• 鸿蒙设备： 华为设备由于系统底层权限收得极紧，建议使用“桌易通”执行上述逻辑。

iOS 设备（补全）： iOS 由于其系统的封闭性，虽然难以安装“元萝卜”类工具，但其自带的应用沙盒具有天然的隔离作用。

• 外区ID： 为了安装必要的应用，会需要一个外区 Apple ID，如果没有，可以使用共享的，但是注意共享ID只能登录Apple Store，否则可能被远程琐机。
• 网络配置： 迷雾通在 iOS 上表现稳定，亦可使用 Sing-box 配合自建或可靠节点。Sing-box 相比传统的某火箭更具隐蔽性且协议支持更新。
• 输入法： 严禁使用国产输入法或 iOS 自带输入法的预测功能。建议使用系统自带输入法并关闭“云同步”和“个性化改进”，或在不联网的情况下使用开源输入法。
• XMPP 客户端： iOS 端首选 Monal。它对 OMEMO 加密支持良好，且界面符合现代逻辑，是目前 iOS 端最可靠的通讯工具。
• 策略： 若遇喝茶，由于 iOS 无法快速自毁，应提前开启“多次输错密码抹除数据”功能。遭遇盘问时，声称外区 ID 是为了“下载游戏”或“学习外语”。若能力不足以驾驭 iOS 复杂的外区设置，建议转移至桌面端操作。

桌面端防御（Windows）： 更换 小狼毫（Rime）输入法。利用 Sandboxie-Plus（沙盒）隔离安装所有国产软件，整体思路参考 Android 端，严禁国产软件直接读取到革命软件的储存。

若遇喝茶元萝卜自毁，克隆国产软件声称用于多开，vpn卸载，若遭盘问说是看世界。

对于 2 类（活跃/中级）

涉及革命工作的移动端必须刷入自由系统（如 LineageOS 等）。

• 软件准则： 自由系统内除浏览器访问外，除非你清楚潜在后果，严禁使用任何非开源内容。
• 物理与逻辑隔离： 强烈建议采取“双机隔离”；若条件受限必须一机两用，必须使用**工作资料（Work Profile）**进行底层隔离。
• 流量纯净化： 墙内生活内容坚决不走 VPN。革命用途必须开启 VPN 全局代理，并配置防火墙屏蔽一切绕过代理的连接。

特别的，对于 匿名宣传： 墙内匿名账户的宣传活动必须在独立的工作空间内进行，流量全程走代理。通常建议是为了洗白流量，你会需要第三台手机，走革命机的共享vpn的热点，然后加上该手机的一个海外华人回国vpn以洗白流量。（这主要是因为系统通常不提供链式Tun）

若遇喝茶清空革命相关数据，国产软件工作空间声称用于隐私隔离，外面浏览器可以清空之后放点什么外国普通社交网站。

线下威胁与 3 类（核心/高级）

此阶段必须实行严格的双机物理隔离，革命专用设备需时刻处于“随时销毁”状态。

• 设备选型： 建议购买 Google Pixel 并刷入 GrapheneOS（石墨烯系统）。
• 网络链路： 可使用高匿名自建节点。亦可采取“Tor（洋葱路由）”或多安全梯子链式串联的方案。
• 桌面环境： 革命环境应安装在 U 盘或移动硬盘内的 GNU/Linux 系统中（如 Tails）。设备内置硬盘则安装普通的 Windows 系统并存放常规资料，确保在物理遭遇战中维持“正常群众”表象。

出了事怎么办——不侥幸，不过激

唯物主义者应当直面风险。所谓的“安全”从来不是绝对的静止，而是一种动态的斗争。当危机发生，我们的最高准则是：保护组织机密，最小化个人损失，保留革命火种。

不侥幸：切断关联与身份重启

“不侥幸”是指一旦察觉到实名身份与革命身份可能已经产生了强关联（即暴露），必须立即采取断然措施，决不能抱有“可能警察还没查到我”的幻觉。

• 瞬间切断： 一旦确认暴露，立即退出所有敏感群组，注销或无限期弃用该账号。在物理层面，清理该账号在所有设备上的残留数据。
• 公开身份的重启： 当旧的公开革命身份失效，建立新身份时必须进行**“基因突变”**。
• 逻辑断裂： 新身份绝对严禁提及旧身份的任何信息，严禁使用相似的昵称、头像或关注列表，避免出现相似的语癖。
• 时空隔离： 新身份应在全新的安全链路（新 VPN 节点、新虚拟机、新匿名邮箱）下注册。
• 墙内转移： 若实名身份在墙内被针对（如喝茶、封号），不要试图在墙内“转生”继续抗争，这等同于向网警递交连续的追踪样本。应迅速转入沉默状态，将斗争重心彻底转移至安全的加密空间，等待风波平息。

不过激：保存实力与技术自救

“不过激”是指一切以革命长远利益为重。安全防护是为了革命，而不是为了自我恐吓。

• 资产保全： 很多同志财力有限，设备是重要的生产工具。如果仅仅是因某些轻微关联（如被平台封号）而并未涉及实名调查，直接物理销毁手机或硬盘是极大的浪费，也是一种逃避主义。
• 技术冗余的价值： 我们学习“元萝卜”自毁、Sandboxie 隔离、工作资料分区，目的就是为了在“出事”时，只需轻轻点击销毁按钮或格式化特定分区，就能保住物理设备和生活数据。
• 止损逻辑： 如果警察只是例行询问，并没有掌握核心证据，此时应表现得像个“因为好奇而翻墙”的普通群众，而不是一副视死如归的架势。过度的对抗反应反而会招致敌人的深度挖掘。

邓小平式的“战略隐忍”

值得一提，在面临不可抗力时，我们应当学习某些政治流氓的生存哲学。修正主义者邓小平当年的“永不翻案”承诺，虽然在政治信誉上极度卑劣，但在唯物主义的视角下，这确实成了他保存政治寿命、等待时机东山再起的资本。

• 原则性退却： 在敌强我弱的极端审讯或压迫下，口头的“保证”或表面的“顺从”是一种战略欺敌。
• 核心底线： 这种“隐忍”的前提是绝对不供出组织成员、不交出核心密钥、不破坏既有防线。只要核心秘密不丢失，你个人的政治生命和革命能力就能在黑暗中延续。

搞安全不是为了做烈士，而是为了做能够长期战斗的革命者。只要火种还在，东山再起便不是一句空话。

---

1. 又称光猫，将运营商的光纤信号转换为你家电脑能识别的电信号的设备，是所有上网数据的出口 ↩︎