Jackey's 感悟

Do Research

Monthly Archives: 八月 2008

>胡伟武说学问

>胡伟武告诫青年学生要善于学习,掌握知识之上 的学问。他说:“学问是一种综合素质,是人生修养的一种境界,是淡薄名利,是人情练达;是碰到挫折时的百折不挠,是正面攻不上时善于迂回包抄的机智;是一 诺千金的诚实守信,是具体问题具体分析的随机应变;是能够在复杂的情况下一下子就抓住问题的关键,找到事物的内在联系的眼光;是一种体验,是理解后的体 验,实践后的体验,体验后的提高。”

即将与青春挥手告别的胡伟武,结合自己的成 长经历,与科大年轻学子分享了他的“青年感怀”:一是要有全局优化的人生设计,要志存高远,并从小事做起,不要为眼前利益遮蔽了双眼,不要为那些似是而非 的机会所诱惑。现在我国发展形势很好,为年轻人提供了广阔的人生舞台;二是要艰苦奋斗,耐得住寂寞,挡得住诱惑,“我做得比较好,是因为我比别人付出了更 多的努力”;三是要勤于学习、善于学习,从书本中学习,从实践中学习,学习知识,学习方法,学习哲学,把握事物的简单性,并在学习中提高修养。他最后还以 默写出的校歌勉励同学们勤奋学习,“把红旗高举起来,插上科学的高峰。”

>开源是否应该由政府推动

>

开源是否应该由政府推动
来源: Linux论坛  日期: 2008.08.25 20:24 (共有12条评论) 我要评论
在提到开源之前,我想先说说OOXML,Wimax,Wifi这类的东西。这几个名词我想很多稍稍了解一点IT的人都耳熟能详,和其相对的几个国产的标准:UOF,TD-SCDMA,WAPI。

所有这些最终能成为国际标准的标准,都有政府的干预在其中。也许很多人都觉得政府不应该干预产业标准,应该让企业自身竞争去推进,每当我国政府对国有标准的支持都成为他们指责的口实,不仅洋人这样,总有一部分国人也觉得这样要求自己的政府是合理的。

上面提到的几个标准,不知那些国人是否能看到美国是怎样强力干预的,或者在他们眼中,就是觉得他们的干预就是合理的。WAPI,也许都快被人遗忘了,国有 的无线接入标准,几年前,国家准备强力在国内推行的时候,也许考虑到举办奥运要有好的国际环境等等因素,我们不得不妥协于别人的要挟,无限期的推迟实施的 时间;Wimax也是这样,美国政府的操控而赶上3G的末班车;OOXML,微软公司够强大,但也没有能力左右ISO成员国的意志,我不知道背后有多少他 们政府的威逼利诱使很多的小国最后改变初衷使其在后轮投票中通过。

所有这些都涉及到国家利益,都能看到政府在其中干预,我想这也无可厚非,美国可以这样,我们同样可以,太长时间了,别人可以做的事,却要求不许我们做,竟然被很多人看成是合理,包括有些奴才。

WAPI和WIFI,他们俩谁更好也许每个人看法不一样,而且很多国内的企业,特别是一些垄断企业早就不是以谁好来评断,在他们眼里,早就因为洋人和国人 造的有了分别,即使是一些企业,地方政府的采购,招标都指明要洋货,好与坏,在很多人眼里就已经有了评断的标准。我们自己的民族企业就是在这样的环境中发 展,不只别人,我们自己都偏见的情况下,逆境中生存,不断地壮大,不断地有一个又一个高科技产业,华为,中兴,神舟,海信等等。。。

即使是别人的标准,产业链的延伸,我们自己的企业也都可以做了,现在再也不是我们采购只能用洋人的东西了。再提到我们自己创造的标准,也不是很多人指责的 那样狭隘的民族主义,标准创造者也不能利用人民的这种心理去鼓动,我们大多数也慢慢的变得更理性,不再接受这些蛊惑,提出来只是希望我们不再是唯洋人的就 好,能够更加理性的看待国有的标准,去分析,能以真正的好坏的原则去实施,在同等条件下,能够优先选择我们自己的标准。

关于这几个标准,根据我所了解的说说自己的看法。
OOXML,微软搞出来的,微软office的强大,现在的所有字处理软件还比不上,他把原来doc的二进制文件翻译成文本的OOXML文件,自然好,不 过涉及到的功能太多,虽然开放了一些规则,可是还有很多自己的特性没开放。虽然现在成了标准,但别人不能处理,实际上就形成了垄断,不知道是否有相关的法 律去管这样的事。我们的UOF,以及国际的ODF,虽然没有OOXML包容的特性那么广泛,但是可以根据流行的一些字处理软件的处理能力慢慢的不断扩充, 标准开放后,后继的演进就不该是一家公司主导了,虽然他们的意见比较重要,还是应该以整个产业链的发展为主导,这就成了个悖论,从无到有总要从一个人或一 个公司搞出来,搞出来后大家都用得很好的话,就不能归他管了,从USB的发展也许能感觉到,虽然由intel弄出来,不过现在usb3.0,intel还 想由自己定的话,AMD,NV就不干了,这本就说明如果要开放成大家都要靠拢的标准,发明者本身就负有社会责任,不能再靠自己的意愿左右。

TD-SCDMA,我们自己的3G标准,和WCDMA,CDMA2000相比无所谓优劣,同等条件下自然要优先,特别是国际中的劣势,政府干预的发展很有必要。我们的联系殊途同归,几个标准形成竞争能更好的促进技术发展,对我们自己的企业和产业链都有好处。

WAPI,我们自己的无线局域网标准。无线网络的出现让我们更加方便的接入互联网,特别是对于移动,或者布线不方便的情况。WIFI虽然让我们可以更加方 便,但安全缺陷限制了应用的延伸。WAPI很好的解决了这个问题,普通的应用可以类似WIFI,很多需要网络安全的应用也都可以,高级应用的收费也比较容 易,这种高级应用WIFI想做而技术做不到的标准,真奇怪就这样慢慢的成了边缘。不过我想授权的范围更广一些,不只我们自己的国家,对于其他国家的公司也 有个没有损失国家安全的授权机制,我想对国际的网络部署,需要安全的高端应用都有好处,而且不至于被人排挤成不了国际标准。不知道如果不布置后端服务器的 验证的话,能不能做到像WIFI那样方便的接入,普通应用像WIFI那样方便的话,我想开发商部署网络的时候,考虑到涉及安全的高端应用,自然会选择 WAPI,不过现在既然有别的干预,我们的政府强力的干预非常合理。我们被人要挟,左右我们决策的时候已经过去了。

提到开源,让我们看一看我们IT产业的现状。
奥运会的成功举办,奖牌的历史性突破,国人振奋,也许远来的客人也不再随他们媒体的左右,改变了对中国的看法。我们沉浸在举国欢腾,振奋于国家恢宏的历史和当代的繁荣,可是我们面对自己落后的地方,依然要清醒,很多并不像表面看上去那么让人高兴,相反却很让人气馁。

我们虽然有联想,可是依然只是用着别人的芯,虽然享誉全球,可惜没有引领行业的核心技术,仅仅是靠产品赚取利润,和那些让国人花更少的钱享受高科技产品的 公司相比,同样的产品国内外差价那么悬殊,他在国人心目中的高贵,让他赚取高贵的利润,这只是让微软,intel这样的公司得到的更多。是的,国家富裕 了,人民富裕了,我们买得起,这样的利润转移却让洋人真正的受益。

我们虽然有了龙芯,依然处于边缘状态。嵌入系统,芯片,FPGA,DSP等等,大多数芯都是别人的,我们在上层做着系统集成,我们开发的很容易,用着很舒服。

软件,我们从来就没有一样能拿得出手的大型软件。操作系统,数据库,媒体处理,科学计算,电路设计仿真,以及游戏等等,我们常用的哪些是国产的?从来没 有。微软,adobe,oracle,matlab,Autocad所有这些我们用到的都是别人的,国产的一些仅仅是边缘,从没有成为我们工作需要的主 流。所有这些不知是否能让人有危机感,所有这些是那么让人气馁,我们自己的软件公司能做到那种程度是多么的艰难,而且这些只是我们可能感觉到的,更有我们 感觉不到的,比如银行,证券,电信等等所有可能涉及到的软件的外包,几乎都是IBM等等这样的大公司所垄断。没有办法,我们的实力不行,很多只好请别人来 做。所有隐含的危机比我们能够感觉到的更加强大,我们用的舒服,慢慢沉入温乡。

当洋人用他们的智力,设计,所有的核心,底层的服务赚取高昂利润的时候,我们还在不断的引入生产。看我们当今的世界,我们是否生产过剩?我们投入的生产 线,维持它的运转不停的生产,过剩的产出,微薄的利润,贴别人的标签,高昂的利润赚国人的钱。发达地区也许注意到环境问题,生产不断的向偏远的,环境优美 的世外桃源转移。我们是否还那么需要引进外资?是否还那么需要以环境为代价引入实体生产?

曾几何时,我们国内的计算机教育,原理性偏多,却没有能够触摸的案例让学生能够深入底层,从源头开始把握学习,很多的课程沦为一些商业软件的操作使用,这 样的教育沦为别人做嫁衣,毕业工作也就做些别人的核心外围的一些应用开发等等,学生在学生时代学不到核心,底层的东西,工作之后就更没有精力去学习这些, 为了生存,仅仅是外围应用的学习,学的很容易,用的也很好,能够得到的收入也很多,真舒服。

我们就这样慢慢的舒服,慢慢的不知不觉地走向被别人控制的危险境地。
不知我们是否能感觉到眼前的悬崖,感觉到望向脚下深渊的惊悚?

开源让我们有一个逆转这样境遇的契机,Linux,BSD,所有的开源工程,让学生有真实的可触摸的案例能够真正的学习底层,了解操作系统,大型软件;一 些设计结构开放的嵌入CPU芯片也能让学生去了解底层的芯片设计。可是遍寻大学里面的课程,即使是计算机系,关于linux的课程设置都几乎没有,所有这 些,学生的接触仅仅是靠自己的业余爱好,更何况对核心代码的学习,更寥寥无几。像西欧那样的小国,一个学校里寥寥的一群人,就能发布出几乎全球流行的 Linux发行版本,像我们泱泱中华这样的大国却做不到。我们是否缺人才?从来不缺,仅仅是我们需要有一股力量去推行Linux的流行。我们的政府如果在 大学课程里开设Linux课,不需要那么深入,仅仅是安装使用等等,我们也不会落到微软统治的地步。一些开源工程,如果结合学生的毕业设计,能让学生真正 的学到编程。这些都只是需要国家施小小的一点力。

象胡伟武这样的人物,我们的英雄,本科的毕业设计,用一些晶体管这样的东西搭配出一套最简单的8086,有一个要开发国产CPU的机会,龙芯就横空出世。我们的教育如果能够推动学生去学习这样的底层,从源头抓起,不知会培养出多少胡伟武这样的人物。

  发表评论 查看评论(共有12条评论)

>美国骇客年会 Black Hat 2008 观察:第一天

>

美国骇客年会 Black Hat 2008 观察:第一天

2008.08.25 来自:armorize  Wayne 共有评论(13)条 发表评论 <!– [收藏到我的网摘] –> 收藏

编者按:全球瞩目的信息安全会议Black Hat USA 2008上周在美国拉斯维加斯开幕,众多的安全厂商和独立安全研究人员都在会上发表了自己最新的研究成果。作为亲身经历的Wayne,将自己的所见、所闻、所想与大家分享。

会场就在我住的旅馆的对面,但是还是很早起床,因为每天都很忙,除了听一些 talk 还有很多人要碰。今天天气很好,有太阳时才发现我房间看出去的view还不错:

到了会场,今年一样布置得很漂亮:

注册之后,我先去找负责媒体的 Dirk 跟 Nico。不是要拿免费的 pass,我已经付全额了,但是我要拍照,需要先跟他们 check 过,确定今年大会的规则。尤其是之后的 DEFCON,需要更加小心。结果很顺利,规则都没变,大会还给了我一个 press 的名牌,让我可以大方的拍照……great!感谢你们,Dirk and Nico!

Black Hat 今年第12年,人非常的多,而且听众的技术都有一定的水準,年龄层与产业皆涵盖得很广,今年一共有8个track一起举行,分别是:Root Kits、0-day、App Sec(应用程式安全)、Bots & Malware(恶意程式)、Deep Knowledge、The Network (网路安全)、Over the Air(无线网路安全)以及 Reverse Engineering (逆向工程)。

一去就忙着跟一大堆人打招唿,看来所有认识的厂商都到了,明年阿码也应该要展,但是我们一年真的展太多了。还好我早到,跟所有人打完招唿就差点错过了开场跟 keynote。

大会照往例,由大会主席 Jeff 开场。看起来还是这么年轻,而且开场简洁,很好!

第一天的 keynote 由 London School of Economics (LSE)的 Ian Angel教授开场,题目是“Complexity in Computer Security–A Risky Business”,没有特别讲什么新的,但是把当前资安的挑战用很好笑的方式讲得很清楚:

他的看法是,目前资安没有解决方案, 只有事件发生的可能与造成的影响(there are no solutions, only contingencies),所以我们就应该:尽人事听天命,然后保持愉快的心情(Start the day with a smile and get it over with)。您觉得呢?

这里是他在现场接受采访的视频下载地址:http://www.youtube.com/watch?v=x5dXfi4xIhY&eurl=http://armorize-cht.blogspot.com/2008/08/black-hat-2008.html

听完 keynote 我们前往 Jared DeMott的逆向工程 talk,题目是:“AppSec A-Z”。Jared 是“Fuzzing for Software Security Testing and Quality Assurance”一书的作者之一,并创办了 VDA Labs。Jared 写了几个免费的工具,包含 Win32 DLL injection 用的 pyfault,以及叁个 fuzzing 用的工具 EFS/GPF、cmdline、以及ikefuzz。Jared 也是2007年l@stplace二次拿下 DEFCON CTF 冠军时的一员。

我是觉得,虽然题目是逆向工程,其实整个演讲就是之前五月他讲的「Onion, not parfait: Today’s security check-up and malware for the rest of us」的衍伸,这些新的逆向技巧主要针对目前 Web 上的各种恶意程式之分析所用。看来 Web 成为散播 malware 主要管道后,由于这些 malware 加壳的方式都很特别,逼出了很多这样的研究。

介绍的 技巧先不说,因为我要写这么多天的观察,没办法谈细节,但是我觉得 Jared 一开始的介绍很有系统性,把恶意程式的分析分成动态与静态两种,然后循序渐进分门别类的介绍。我觉得这是讲师该有的责任-如何讲一场让大家都听得懂得演 讲,而不是自己讲爽的就好,而别人只感觉「似乎很屌」但是实际上却听不懂。就技术而言,这次听来听去我都觉得这些讲师用的技巧没有Birdman 在 HackAlert 中用的技巧好,Birdman 的技巧都是快、準、狠,简单又一针见血,可能是长期被对岸训练出来的缘故吧!

听到一半自己看完投影片的 PDF 档,觉得差不多了,闪人,看看还有谁可以听的,同时间的还有 Billy Rios 跟 Nitesh Dhanjani(作者:Network Security Tools (O’Reilly)、HackNotes :Linux and Unix Security (McGraw-Hill))的演讲,但是他们的演讲我最近在其他的会中都听过了,所以跳过,来看看 NMAP 的 Fyodor Vaskovich 好了!

Fyodor 的讲场挤到连站的位子都没有。Fyodor 这次讲的是 internet scanning,也就是大规模透过 internet 的网路层扫瞄。我记得 web 的威胁还没有起来时,讲到 internet security 或 web security,一定会提到 NMAP,NMAP 似乎也是每个骇客(还有网管)必学的第一套工具,也是电影裡的常客。我想很多人选这场也是为了亲自见 Fyodor 一面吧?

Fyodor 开场时说的话让我印象深刻:“Internet scanning 非常难,还有许多的挑战,但我想这也许是好的,至少这让我站在台上给演讲,不然我得去学那个叫什么 “XSS” 的鬼东东了!”

Fyodor 说这次 Internet scanning 的计划,最困扰他的是,常常 ISP 会把他的家的网路停掉:

ISP:“先生,我们把你的网路停掉了,因为根据你的流量分析,你中了木马,你的木马正在做很多不法的事情,你已经成为僵尸网路(botnet)的一员了!”

Fyodor:“把我的我网路还给我,那些流量都是我刻意产生的,我有目的的……”

ISP:“可是这些流量是违法的!”

Fyodor:“我是 NMAP 的作者,我在研究并发展更强大的版本……”

ISP:“喔,你就是 “那个” Fyodor?请受小弟一拜…NMAP 会有新版?太帅了,您辛苦了!”

根据这次 Fyodor 大规模扫瞄计画的结果,port 80 仍然是最常见的开放 port,其他依序是:80 (http), 25 (smtp), 22 (ssh), 443 (https), 21 (ftp), 113 (auth), 23 (telnet), 53 (domain), 554 (rtsp), 3389 (ms-term-server)。

Fyodor 讲了很多加速 NMAP 的技巧以,例如 stateful firewalls 适合用 SYN 来 scan,而 stateless firewalls 适合用 ACK 来 scan等等,也介绍了 NMAP 的新功能,例如可以设定最大与最小流量,scripting engine,还有会画 network map 的新图形介面 Zenmap,以及可以比对两次扫瞄差别的 Ndiff 等。

Fyodor 的投影片可以到这裡下载:http://insecure.org/presentations/BHDC08/

接下来决定去 Dan kaminsky的演讲“Black Ops 2008 — Its The End Of The Cache As We Know It”,因为这次他公开的 DNS 弱点太红了,预计会大爆满。

这个 DNS cache poisoning 的弱点 Dan 在七月初就已经公开:

资安之眼, US CERT TA08-190B / VU#800113, CVE-2008-1447

其实自从 Dan 七月初公开此 DNS 弱点到现在,一方面由于资讯不足(一方面要留到 Black Hat 才公布,一方面也让厂商有足够时间初修补程式),造成很多声音说此漏洞早就有很多研究员发现了,但是另一方面,却也很快被其他人猜出整个漏洞的细节,而后 很快地就有人写出了攻击程式(例如:MILW0RM:6122、MILW0RM:6123、MILW0RM:6130)。Dan 则在七月24日 Black Hat 的会前会上公布了漏洞的细节。在这裡註册后可以看到当时的录影。

来到 Dan 的演讲,果然感受到美国这些大型会议的特色:好的讲师,大家挤到连站的位子都没有;坏的讲师,一开讲五分鐘之后,你会发现大家一窝峰往外衝,底下右边是某讲师的演讲,左边是 Dan 的:

先不论这个演讲能听到些什么(细节之前都公布了),但是 Dan 的确是一个很好的演讲者,他的演讲生动有趣,我是从头笑到尾。很多人说都没听到新的东西,也很多人说,Dan 不需要解释这么多 DNS 漏洞的影响,因为 man-in-the-middle 后什么安全当然都别谈了,但是我是觉得,讲这些就忘了:好笑,有趣,一直是这个会议的精神之一。不论 Dan 发现的漏洞是否其实简单,其实很多人有提到过了,他的演讲非常生动,绝对让大家对此漏洞以及整个 DNS 架构的不安全性印象深刻,以及他一个人真的推动了所有厂商对此漏洞的重视并出修补程式,这些我觉得都是我很欣赏他的原因。

看看右图,Dan 讲得手足舞蹈的,左图,Dan 的演讲真是老少咸宜,大家都来看他的风采 🙂

这个漏洞的特色之一,是影响了大多数的厂商。Dan 公布后,主要的 DNS 上修补程式的速度多快呢?可以按这裡下载 avi 档:http://www.doxdns1.com/yellow-7days-with-percentage.avi,这裡有对于此 DNS 漏洞的详细图解。

以下是 Dan 在会议中接受的访问的视频地址:http://www.youtube.com/watch?v=R-SSVxsH7vw&eurl=http://armorize-cht.blogspot.com/2008/08/black-hat-2008.html

听完了 Dan 的,接下来去找 PDP(Petko D. Petkov)(个人网站, 大会介绍),题目是:「Client-side Security」。PDP 讲的就跟我们做得有关了,所以虽然今年他在很多地方讲的我都听过了,但是还是来捧场啦!PDP 本来就很多 fans,去年公开 Gmail 的 CSRF 漏洞并示範给 ZDNet 确认后(资安之眼),其研究更受到大家的注意。

PDP 的这个演讲跟他之前的演讲差不多,讲了很多浏览器的 外挂(plugins)产生的漏洞,其中包含了Adobe PDF(PDP、资安之眼),Apple Quicktime(PDP、资安之眼),SecondLife(PDP),Flash UPnP(PDP-1、PDP-2、资安之眼),Skype(PDP、资安之眼-1、资安之眼-2)等。

最后 PDP 提到了第四代 rootkit 的观念,认为以后 rootkit 会存在于浏览器上。我自己则是认为,浏览器的外挂安全问题,还会存在好一阵子,加上在浏览器上执行的恶意程式,基本上都是以 script 的形式存在,而非执行档,而 script 的变形非常方便以及容易(我之后会介绍一场 DEFCON 有趣的演讲),这样的情况会彻底击败以样本(signatures / patterns)为基础的防御技术,如多数的防毒软体。

PDP 这次演讲的投影片可以在这裡下载:http://lab.gnucitizen.org/presentations/Client-side_Security_-_Slides_-_BH.pdf?attredirects=0

听完 PDP,去看好朋友 RSnake (ha.ckers,sla.ckers,SecTheory,大会介绍)的演讲。

看到 RSnake 让我想到这次 Kuon 没有来有点可惜。他只要有碰到这些讲师都会有问不完的问题……

(上:Kuon 于 OWASP-WASC US 2007)

RSnake 这次花了很多时间讲他跟 Google 之间不是那么顺利的互动。我想,弱点揭露(vulnerability disclosure 一直是资安研究人员最困扰的议题之一,听 RSnake 在台上讲,我想到我自己很多不是很愉快的经验。我们做源码检测,手上有很多美国大厂的 0-day。如果已经是我们的客户,那沟通方式很简单,但是如果还不是我们的客户,有时候就复杂了。通常对方第一个动作就是传一份保密合约(NDA)过来 让我们签,而这些保密合约,我给我们公司律师检阅后,从来没有一次是律师跟我说可以签的。基本上签了之后,我们丧失任何在公开场合讨论此漏洞的权力(即使 在修改了之后),对方也不会有任何承诺何时会修正或公开时会不会提及是我们发现的。每次这种会议不论是台上的讲师或台下的私人聚会,弱点揭露永远是热门的 话题。这次 DEFCON,MIT 学生被法院禁止讲捷运 RFID 卡的破解方式,RSnake 还有很多其他讲师也在演讲中对弱点揭露提出看法,我也有很多自己的经验,所以我会另外写一篇探讨。

基本上,RSnake 发现 gmodules.com 这个网域有 XSS 漏洞,但是 Google 却觉得此非 google.com 网域,即使有 XSS 漏洞,骇客也不会因此而能偷到 google.com 的 cookie,所以没有修復的必要。

呵呵,问题是,XSS 漏洞不只是可以偷 cookie 而已,也可以用来 phishing或挂马。gmodules.com 这个网域有 XSS,如果这不重要的话,那我想 gmail.com 是否一样呢?如果攻击者像是利用 SEO Posioning 那样的利用 GModules.com XSS 来挂马,那么 Google 会怎么看待这样的问题?

这让我想到去 Black Hat / DEFCON 之前,我受邀到国防部为叁军的资安人员讲一场演讲,同时受邀的有叡扬资讯的某先生。这位先生一开场就介绍资安之眼的「TW 网站沦陷资料库」:各位如果有 XSS 的话,会被登入在这个资料库中喔!千万别让自己的网站上了这个资料库… 这位先生,您不知道贵公司也已经上了这个资料库吗?随后这位先生大力建议,网站不要被攻的方法,就是尽量裡头不要摆东西,骇客攻进来发现没有东西可以拿, 也没有资料库,就不会对你的网站有兴趣了…这位先生,您没有听过什么叫 botnet (僵尸网路)吗?骇客攻机器只是为了拿资料,我还第一次听到…那天我在台下真的是听不下去了!

回到主题,RSnake 这个 talk 我很喜欢,因为我最近开发阿码外传,选择用 Blogger,也发现很多这样子的问题。Blogger 之前非 google,上面推荐了摆在很多第叁方的 widget,这些 widget 目前仍大量被使用。Blogger 被 Google 买了之后,大家相信 Google 也因此相信 Blogger,但是这些摆在第叁方的 script 安全吗?

接下来 RSnake 就介绍了他做的许多可以摆在 gmodules.com 下的恶意的 Google gadget,包含会扫瞄网路的,会偷资料的…等等。这部分技术上没什么难度主要是,但是听起来蛮有趣的 🙂

最后,RSnake 介绍了gmodules.com 的proxy cache 弱点,可以在上面放恶意程式,而这种恶意程式,他取名做 「GMalware」。

最后一场,我跳过了美国机敏单位与骇客大拜拜的「Meet the Feds」,因为反正DEFCON也有,而去了Paul Royal 的演讲:「Alternative Medicine: The Malware Analyst’s Blue Pill」。Paul Royal 是 Georgia Tech Dr. Wenke Lee 的学生,主攻 binary 分析,目前是 Damballa 的首席研究员。

Paul Royal 在他演讲的简介裡,把现在恶意程式设计与侦测的挑战讲得很清楚:对于动态侦测,恶意程式有各种方法侦测 sandbox,对于静态侦测,恶意程式有各种不同加壳技术,所以恶意程式设计与侦测,就是一场永无止境的赛跑。Paul 介绍如何利用中央处理器对虚拟化(virtualization)的硬体支援(例如 Intel 的 VT),以建构出一个 KVM 式的 sandbox,使得恶意程式无法侦测出,其已经被置入 sandbox 执行,并正在被分析。Royal 有当场解释 source code,并秀出此研究的雏形(prototype):Azure,与之前其他研究的雏形:Renovo 和 Saffron。

Paul 用了 15 套加壳程式来比较这叁个技术的差别:Armadillo, Aspack, Asprotect, FSG, MEW, Molebox, Morphine, Obsidium, PECompact, Themida, Themida VM, UPX, UPX S, WinUPack, Yoda’s Prot,其中 Azure 侦测到所有的恶意程式,而 Renovo 只侦测到 13 隻,Saffron 只侦测到 10 隻。我想叫 Birdman 跑一下我们的 Archon Analyzer (HackAlert的引擎)比比看……顺便跑一下趋势跟赛门好了。

最后,我发现今年 Black Hat 也有绵羊墙了!绵羊墙(wall of sheep)(CNET 报导:中文、英文)一直是 DEFCON 有趣的特色之一,而今年也来到了 Black Hat。绵羊墙团队约有十位核心成员,他们全天候监控大会的网路封包,抓到与会者的机密资料,如帐号密码或信用卡号码等,就贴到绵羊墙上去恭喜他。


(我来不及问绵羊墙可不可以照,上面这张不是我照的,是 wired 的 blog 上的)

绵羊墙团队不使用任何解密工具,所以墙上的绵羊都是自己使用了明码的通讯(没有加密的 FTP、POP、SMTP…)而光荣上榜的。CNET 这次有访问绵羊墙的团队:

有趣的是,今年在 Black Hat 有叁位法国的记者(我有媒体牌所以我在媒体室有碰到他们),没有先告知大会工作人员,就自行 sniff 媒体室裡的有线网路封包,抓到其他媒体记者的帐号密码后,通知绵羊墙的工作人员,将这些「媒体绵羊」希望加入榜单。老兄… 你没听说 Black Hat 这些工作人员的风格吗?这是他们的会,怎么会让你们来撒野?

主要是,美国联邦法律规定,被监听者需要知道自己被监听,而 Black Hat 大家都知道无线网路是被监听,被扫瞄,充满 0day 攻击的。可是记者室裡的网路,大会是宣称安全的,因为许多记者不是技术出身,不能要求他们懂得如何设定安全的连线(这样喔?)…

整个报导在这裡(照片也是这裡来的)。最后这叁位记者被大会驱逐,并且也被禁止参加 DEFCON 以及未来所有的 Black Hat / DEFCON。

tgdaily 的记者 Humphrey Cheung 有趁乱拍下了这叁位记者当时秀的画面,除了 eWeek 之外,CNET 也在榜上

(这张是 Humphrey 照的,故事在这裡,另外 CNET 也有两篇报导:CNET 报导-1、CNET 报导-2)

对了,这裡有被偷帐号密码的 eWeek 记者 Brian Prince 的自白:eWeek 在 Black Hat 如何被骇的(How eWEEK Got Hacked at Black Hat)。

疑似也被偷了帐号的 CNET 记者 Elinor Mills 女士也写了一篇可爱的自白:“与我同桌的记者锁定要骇我(Targeted for hacking by reporters at my table)”。报导中她说:“我报导了各资安会议十四年了,觉得很幸运一直没有被骇,一直到这星期四…事情是这样的……”McAfee 的资深 VP 对我说:在这行够久的人,一定都在某个时间有被骇过。这让我好过一些,但是我无法抹去被侵犯(violate)的感觉,就好像一阵风把我的裙子吹了起来, 让我的内在暴露给一群陌生人看到一样,也许这是在这行必须接受的风险,但是从现在开始我都会穿保险裤的(overalls)。」

我对这件事有很深的看法,我会再写 blog。基本上,就像锁匠一样,骇客最重要的是纪律。我们会开锁,不代表我们可以去吓别人;骇客的功夫我都很尊敬,但是行为不约束的我只有不屑。这些改天再写吧!

我看会来后大家最好换一下帐号吧…应该说最好换一台电脑吧,用什么扫毒软体确定?阿码的 Archon 吗?不用了啦!应该都中了,直接 format 吧!不过现在很多都会跑到 bios 裡面去,我看换一台比较快啦!

大会结束后我去了一个私底下约的聚会,内容就不能公开啦!只能说现在 rootkit 都已经军规化了,真恐怖!

作者 Wayne 为阿码科技 CEO

<!– 这篇新闻中是否有争论或者观点交锋呢?如果希望读者参与,请点击这里,创建一个观点PK –>

>谷歌股票收益为苹果1/3 难以吸引高级人才

> 【TechWeb消息】北京时间8月25日,据国外媒体报道,美国知名科技博客Daya Baran日前撰文称,Google股票的价值远低于苹果,其员工获得的回报将是苹果员工获得收益的3倍。

  Baran对两家公司5年来的股票走势进行对比,发现Google股价较2004年8月27日上涨355.73%,而苹果则上涨1050.52%。同时,Google8月22日的股价较去年同期下跌5%,而苹果同比大涨36%。


Google(蓝线)与苹果(红线)从2004年8月27日到今年8月22日的股价走势图

  Google股价持续下跌导致该公司难以吸引经验丰富的高级人才。而一向被外界称道的“免费膳食”福利对这些高级人才而言不再具有杀伤力。

  一位Google前员工说,“我很少关心公司是否提供免费食物。只要它能开出令我满意的薪水就好。”他在Google担任产品经理已经15年,此前其年薪为6.5万美元,但是没有Google股票。目前他跳槽至Google的竞争对手,所获薪水也增至11.5万美元。

   相比其他公司,Google确实吸引了更多的求职者。但是他们中大都是寻找市场、销售及其他非核心职位的工作。这些人希望以后成为Google正式员 工,到退休时享受公司良好的福利待遇。当然,他们对公司提供的免费食物感到很满意。Google一位负责招聘的人表示:“我们在招聘工程师方面遇到很多困 难,一方面,竞争对手开出的条件很优厚,另一方面聪明人现在很容易找到工作或创业。”

>【转】开源、商业、经济、垄断、中国的机遇

>

【转自】http://tech.qq.com/a/20080826/000364.htm

恩信科技刘有涛:从事开源ERP是为了打破垄断

http://tech.QQ.com  2008年08月26日17:23   腾讯科技    我要评论(0)

恩信科技创始人刘有涛(腾讯科技配图)

腾讯科技讯 8月26日,奥运结束后的第2天,腾讯科技采访了国内开源ERP的领军人物——恩信科技创始人刘有涛。此前,关于他的背景和传奇经历,业界有很多流传的版本;笔者也在多种场合见到过这位外表敦厚,但语言颇有些犀利的北方汉子,对奥运自有一番独特的看法。

在上地科技园区一间装潢很普通的办公室里,我又一次见到了刘有涛。后者正坐在会议桌的后面,一面与我打招呼,一面还不停地摆弄着面前的演示用的笔记本电脑。为了把采访引入我想要的主题,我连忙说,“刘总,对于开源ERP软件和商务模式,我想有很多记者已经做过详尽的报道,我今天来,主要想听您谈谈您对我们这次成功举办北京奥运的感想。”我的话立即引起了刘有涛的兴趣,于是我们聊了起来。

腾讯科技:刘总,您对北京成功举办奥运会怎么看?

刘:你说,人要是吃穿不愁了,还想要什么?

……

刘:这个是我第一次创业成功后问自己的问题。

腾讯科技:哦,我听说刘总那时候不到30岁,已经身价不菲了?

刘:(惬意地笑)还行吧。当时我做集成,利润还是很可观的。不过我总是觉得没劲。于是我就问 自己这个问题。除了吃饱穿暖,或者开好车,住好房,我还要什么?我的答案是:尊严。这是人必然的精神追求。于是我二次创业选择了自主开发软件。我个人认 为,我们中国这次举办奥运会,圆了百年的奥运梦,不是把它当作商业来搞得,是当作我们中国人改革开放以后的展示窗口来举办的。过去我们被称为“东亚病夫 ”,世界对我们有很多误解。我们今天举办奥运,就是要改变世界对我们的看法,这就是我们这个基本满足了温饱的民族对尊严的追求。我在国外多年,有很深的体 会,我们华人往往比其他旅居国外的人更关注自己的祖国,更希望自己的民族强盛。这种民族的自豪感是在血液里的,是由五千年的文明铸就的,无人比拟。

当然,改变世界对我们的看法不是靠奥运这一次就能完成的,但是成功举办奥运会毕竟是一次有力地证明。让我们又向前迈了一大步。

腾讯科技:那您认为,奥运的精神对您有什么意义?

刘:我想,奥运会之所以能兴盛百年,被越来越多的人认可和称赞。主要是奥运开放的思想,和提 供的平等竞争的机会。奥运的魅力就在于敞开心扉,接纳世界各个角落的人们。全世界不同国家、不同种族、不同阶级的每个人都有机会参与;只要你怀有奥林匹克 的梦想,奥运就欢迎你。在奥运面前,每个人的机会是均等的,不分人种,不分国界,分享、交流;永远的内心激励。你想象一下,无数具有运动天赋的年轻人,通 过奥运这个平台,多年磨一剑,一夜成就了梦想。是多么的激动人心。公平竞争让黑马与霸主机会均等;这个与我们的开源事业有些相像。这也是我们开源事业的魅 力,我们作为开源软件的工作者也想借奥运精神鞭策一下我们自己,为中国的开源软件事业发扬奥运精神。

腾讯科技:不知道奥运的比赛刘总观看了多少?你觉得奥运会中最令您感动的是什么?

刘:工作的原因,奥运会我没有机会看得很全,我个人是长跑爱好者,所以我爱看马拉松。我看到 当最后一名马拉松运动员疲惫地跑进场内时,全体观众都为她鼓掌,我很感动。因为马拉松需要很大的耐力,奥运会为最后一名马拉松运动员鼓掌的传统,也充分体 现了奥运提倡的坚持和战胜自我的精神。这里我还要插一句,从我做软件开始,我也深刻体会到坚强的毅力和强健的体魄对于软件工作的意义。前一阵子不是很多报 道,讲我们的科技工作者身体素质不佳,中国要想加入世界科技竞争,科技工作者没有强健的体魄是根本不可能的。我真地希望这次奥运能够促进全民健身,尤其是 科技工作者健身运动,毛泽东曾经有句话‘ 要想文明其精神,必先野蛮其体魄。’ 我们公司就有定期地带有强制性的锻炼,因为我们的工作是常年室内坐着的工作,有些年轻人对软件入了迷,就忽视了锻炼身体,我们都是老总带头,定时强迫起来 运动,来保证身体的健康状态。

腾讯科技:目前,奥运的赛事已经结束了,人常说,再美的表演也有落幕的时刻。您觉得这次奥运对开源ERP的未来会产生影响吗?

刘:(停了一下)要说奥运对我们开源ERP的影响,简单地讲,我希望开源事业未来能像奥运一 样的成功。我们刚才谈了奥运的魅力在于开放平等的精神,但是,要想经久不衰地把这个事业进行下去,也离不开经济的规律。像奥运会实际上也是一个巨大的经济 体,商业在这里扮演了必不可少的角色。它不但没有阻碍,而是更加推动了奥运事业。我们说,开源事业也应该是一个巨大的经济体,只不过这个经济体不那么自 私,它讲究共赢,会带给每个人机会和挑战,大家关心的开源商务模式是多么的重要。

刘:我还要补充一下,大家都知道,奥运毕竟是一个来自西方,历经风雨了百年风雨的盛会,对于我们而言,我们是继承者和后来的参与者;如果我们今天不积极地参与世界的开源软件事业,那么百年后,我们也还只能充当后来者。我想,这是我们任何一个中国人都不愿看到的结果吧。

腾讯科技:刘总,您的意思是说,恩信科技从事开源ERP事业,也正是为了完成您的开源梦想吗?

刘:我在多种场合都曾经说过,恩信科技从事开源ERP的动机是为了打破垄断,为更多的中小企业提供更好的信息化选择,科技强国的梦想是我们每个科技工作者的动力。从世界范围看,开源软件事业都是很有前途的事业,我相信我们的选择没有错。

结束了交谈甚欢的采访,我起身告别,刘有涛还是那句话,“相信只要坚持,我们一定能成功。”

#jx_white A { COLOR: white; TEXT-DECORATION: none; } #jx_white A:hover { COLOR: white; TEXT-DECORATION: underline } #jx_white A:visited { COLOR: white } #jx_black A { COLOR: black; TEXT-DECORATION: none; } #jx_black A:hover { COLOR: #c2130e; TEXT-DECORATION: underline; } #jx_black A:visited { COLOR: black; TEXT-DECORATION: none; } #jx_black A:hover { COLOR: #c2130e; TEXT-DECORATION: underline; } #jx_red A { COLOR: #c2130e; TEXT-DECORATION: none; } #jx_red A:hover { COLOR: #c2130e; TEXT-DECORATION: underline } #jx_red A:visited { COLOR: #c2130e } .hangbiao1 {font-size: 14px; font-weight: bold; color: #FFFFFF; }

>要想文明其精神,必先野蛮其体魄

>毛泽东曾经有句话‘ 要想文明其精神,必先野蛮其体魄。’

坚强的毅力和强健的体魄对于软件工作的意义。前一阵子不是很多报道,讲我们的科技工作者身体素质不佳,中国要想加入世界科技竞争,科技工作者没有强健的体魄是根本不可能的。希望这次奥运能够促进全民健身,尤其是科技工作者健身运动,毛泽东曾经有句话‘ 要想文明其精神,必先野蛮其体魄。’

古希腊里面,很多科学家、艺术家或者说数学家都是运动健儿,也因为其有强壮的身体,才导致了他们在多个层面和方面上开花结果,很多艺术家同时也是数学家!!!!!!!!!!!

身体很重要,要强健的体魄,要强健的思想!!!

要想文明其精神,必先野蛮其体魄!