221被浏览4697分享邀请回答61 条评论分享收藏感谢收起网络与信息安全
　　　 网络与信息安全
您的位置&&&&网络与信息安全&&漏洞预警&&正文
关于OpenSSL修复多个安全漏洞的情况公告
[上传者：Super | 日期： 00:00:00]
&安全公告编号:CNTA-
宁夏回族自治区通信管理局在 SegmentFault，解决技术问题
每个月，我们帮助 1000 万的开发者解决各种各样的技术问题。并助力他们在技术能力、职业生涯、影响力上获得提升。
一线的工程师、著名开源项目的作者们，都在这里：
获取验证码
已有账号？
标签：至少1个，最多5个
OpenSSL 于昨晚全线发布新版本，修复了 8 个不同级别的安全漏洞。这次升级并不包括安全级别为 critical 或者 high-risk 的漏洞，但攻击者能利用这些漏洞造成服务器内存泄露，达到 DoS 的目的。GitCafe 提醒各位注意更新升级。
以下是一些可用的更新：
OpenSSL 1.0.1k for 1.0.1 users
OpenSSL 1.0.0p for 1.0.0 users
OpenSSL 0.9.8zd for 0.9.8 users
我们建议用户和管理员去查看 OpenSSL 的安全咨询 () 来获取更多信息并且升级必要的补丁。
这次的安全升级是比较正常的，和之前的 HeartBleed 有所区别，现在 OpenSSL 有安全研究人员去找 bug，并且有人去修复它们，形成了安全责任闭环，这对 OpenSSl 来说是好事。但因为 OpenSSL 应用广泛，所以在这里提醒管理员们还是要注意。
OpenSSL Security Advisory [08 Jan 2015]
DTLS segmentation fault in dtls1_get_record (CVE-)
严重程度： 中等
一个被精心构造的 DTLS 传输消息可能会在 OpenSSL 导致一个空指针的间接引用从而引起段错误。 这也会导致 DoS 攻击。
这个漏洞波及当前所有的 OpenSSL 版本: 1.0.1, 1.0.0 和 0.9.8.
OpenSSL 1.0.1 DTLS 用户应该升级到 1.0.1k.
OpenSSL 1.0.0 DTLS 用户应该升级到 1.0.0p.
OpenSSL 0.9.8 DTLS 用户应该升级到 0.9.8zd.
该漏洞在 2014 年 10 月 22 日由 Cisco Systems 公司的 Markus Stenberg 提交给 OpenSSL。漏洞由 OpenSSL 核心团队的 Stephen Henson 修复。
DTLS memory leak in dtls1_buffer_record (CVE-)
严重程度：中等
dtls1_buffer_record 函数中会在某些情况下引发内存泄露。通常这会发生在一个攻击者用相同的数字序列连续重复的发送 DTLS 记录。攻击者会通过 DoS 攻击导致内存耗尽从而利用这个漏洞。
这个漏洞影响的 OpenSSL 版本有：1.0.1 和 1.0.0
OpenSSL 1.0.1 DTLS 用户应该升级到 1.0.1k.
OpenSSL 1.0.0 DTLS 用户应该升级到 1.0.0p.
该漏洞由 Chris Mueller 在 2015 年 1 月 7 日提交给 OpenSSL，并且他提供了一个原始的补丁。之后由 OpenSSL 开发团队的 Matt Caswell 进行更深入分析，并且开发了最终的补丁。
no-ssl3 configuration sets method to NULL (CVE-)
严重程度：低
当 OpenSSL 打开 no-ssl3 选项并且收到一个 SSL v3 ClientHello 握手包请求时，ssl 方法会被置为 NULL 并将导致之后一个空指针的间接引用。
这个漏洞影响的 OpenSSL 版本有：1.0.1 ，1.0.0 和 0.9.8
OpenSSL 1.0.1 用户应该升级到 1.0.1k.
OpenSSL 1.0.0 用户应该升级到 1.0.0p.
OpenSSL 0.9.8 用户应该升级到 0.9.8zd.
该漏洞由 Frank Schmirler 在 2014 年 10 月 17 日提交给 OpenSSL。最终由 Kurt Roeckx 修复。
ECDHE silently downgrades to ECDH [Client] (CVE-)
严重程度：低
一个 OpenSSL 客户端会收到用 ephemeral ECDH 协议加密的握手包请求。当服务器密钥交换信息被忽略时将使用 ECDSA 认证。 事实上这将降低密钥 "交换算法-签名算法-对称加密算法-摘要算法" 的保密性。
这个漏洞影响当前所有版本的 OpenSSL:1.0.1,1.0.0 和 0.9.8
OpenSSL 1.0.1 用户应该升级到 1.0.1k.
OpenSSL 1.0.0 用户应该升级到 1.0.0p.
OpenSSL 0.9.8 用户应该升级到 0.9.8zd.
该漏洞由 PROSECCO 团队的 Karthikeyan Bhargavan 2014 年 10 月 22 日提交给 OpenSSL。最终 OpenSSL 核心团队的 Stephen Henson 修复了这个漏洞。
RSA silently downgrades to EXPORT_RSA [Client] (CVE-)
严重程度：低
一个 OpenSSL 客户端会在 non-export RSA 密钥交换的情况下收到使用了临时 RSA 的密钥。服务器会产生弱的临时密码并且降低会话的安全性。
这个漏洞影响当前所有版本的 OpenSSL:1.0.1,1.0.0 和 0.9.8
OpenSSL 1.0.1 用户应该升级到 1.0.1k.
OpenSSL 1.0.0 用户应该升级到 1.0.0p.
OpenSSL 0.9.8 用户应该升级到 0.9.8zd.
该漏洞由 PROSECCO 团队的 Karthikeyan Bhargavan 于 2014 年 10 月 22 日提交给 OpenSSL。最终 OpenSSL 核心团队的 Stephen Henson 修复了这个漏洞。
DH client certificates accepted without verification [Server] (CVE-)
严重程度：低
OpenSSL 服务器会不使用认证信息去接受一个客户端发起的 DN 认证授权。事实上这将允许客户端不使用私钥去获得认真。 这只会影响那些信任了发起带有 DH 密钥授权请求的服务器：这是非常少并且不被鼓励的。
这个漏洞影响的 OpenSSL 版本:1.0.1 和 1.0.0
OpenSSL 1.0.1 用户应该升级到 1.0.1k.
OpenSSL 1.0.0 用户应该升级到 1.0.0p.
该漏洞由 PROSECCO 团队的 Karthikeyan Bhargavan 在 2014 年 10 月 22 日提交给 OpenSSL。并由 OpenSSL 核心团队的 Stephen Henson 修复。
Certificate fingerprints can be modified (CVE-)
严重程度：低
OpenSSL 会接收几个 non-DER-variations 签名算法和编码。 OpenSSL 也没有强制匹配部分签名和未签名证书之间的算法。 通过修改签名算法或者签名的编码将有可能改变证书的指纹信息。
这不会允许攻击者伪造证书，也不会影响 OpenSSL 中任何其他方式的证书认证。该漏洞也不影响普通的证书撤销机制。只有应用依靠特殊的指纹信息（比如 certificate blacklists）可能会被影响到。
这个漏洞影响当前所有版本的 OpenSSL:1.0.1,1.0.0 和 0.9.8
OpenSSL 1.0.1 用户应该升级到 1.0.1k.
OpenSSL 1.0.0 用户应该升级到 1.0.0p.
OpenSSL 0.9.8 用户应该升级到 0.9.8zd.
该漏洞的一种类型是由来自 Codenomicon CROSS program 的 Antti Karjalainen 和 Tuomo Untinen 在 2014 年 11 月 1 日报告给 OpenSSL。 另一种类型在 2014 年 12 月 12 日被 Google 的 Konrad Kraszewski 报告。OpenSSL 核心团队的 Stephen Henson 进行了进一步的分析并且最终修复。
Bignum squaring may produce incorrect results (CVE-)
严重程度：低
在一些平台上（包括 x86_64 ）进行大数据的平方运算可能会产生错误的结果。 这个问题会随机发生但是概率很小，并且因为实际的发生和影响非常难确定从而不可被利用。 以下是一些已经被确定的情况：
BN_sqr 产生一个错误的结果概率十分小：1/2^64 的概率发生在 32 位平台上 (MIPS)，1/2^128 的概率发生在 64 位平台上。
在大多数平台，RSA 使用了一个不同的编码路径并且 RSA 的操作不会被影响。对于其他少数平台（例如 OpenSSL 没有被完全支持的）， 预防措施可以防止被攻击。
静态 ECDN 理论上是被影响了：有可能构造一个虚假的 elliptic curve points。 然而目前没有已知的可以在低位上构造的计算能力，所以实际上静态 ECDH 私钥是安全的。
其它已知理论上会被影响的有模幂运算，素数测试，DSA，RSA binding，JPAKE 和 SRP。 没有明显的利用该 bug 进行攻击已知的案例。因为攻击者也无法控制漏洞触发。
这个漏洞影响当前所有版本的 OpenSSL:1.0.1,1.0.0 和 0.9.8
OpenSSL 1.0.1 用户应该升级到 1.0.1k.
OpenSSL 1.0.0 用户应该升级到 1.0.0p.
OpenSSL 0.9.8 用户应该升级到 0.9.8zd.a
该漏洞由 Pieter Wuille (Blockstream) 在 2014 年 11 月 2 日提交给 OpenSSL 并提供了原始补丁。 深入的分析和修复由 OpenSSL 开发团队和 Google 的 Adam Langley 共同完成。最终修复由 OpenSSL 开发团队的 Andy Polyakov 完成。
我们之前提到的每一个关于 OpenSSL 版本 1.0.0 和 0.9.8 的申明和 Release 版本将会在 2015 年 12 月 31 日停止更新，之后不再提供安全补丁。希望这些版本的用户可以升级。
Bug 攻击：
更多的安全声明：
0 收藏&&|&&2
你可能感兴趣的文章
4 收藏，9.7k
分享到微博？
我要该，理由是：OpenSSL漏洞爆发后4 years ago541收藏分享举报文章被以下专栏收录天下熙熙皆为利来，天下攘攘皆为利往。推荐阅读{&debug&:false,&apiRoot&:&&,&paySDK&:&https:\u002F\\u002Fapi\u002Fjs&,&wechatConfigAPI&:&\u002Fapi\u002Fwechat\u002Fjssdkconfig&,&name&:&production&,&instance&:&column&,&tokens&:{&X-XSRF-TOKEN&:null,&X-UDID&:null,&Authorization&:&oauth c3cef7c66aa9e6a1e3160e20&}}{&database&:{&Post&:{&&:{&isPending&:false,&contributes&:[{&sourceColumn&:{&lastUpdated&:,&description&:&天下熙熙皆为利来，天下攘攘皆为利往。&,&permission&:&COLUMN_PUBLIC&,&memberId&:1415805,&contributePermission&:&COLUMN_PUBLIC&,&translatedCommentPermission&:&all&,&canManage&:true,&intro&:&天下熙熙皆为利来，天下攘攘皆为利往。&,&urlToken&:&Evi1m0&,&id&:1333,&imagePath&:&v2-be94e8ac5ff8d57cbe83da.jpg&,&slug&:&Evi1m0&,&applyReason&:&&,&name&:&evi1m0&,&title&:&evi1m0&,&url&:&https:\u002F\\u002FEvi1m0&,&commentPermission&:&COLUMN_ALL_CAN_COMMENT&,&canPost&:true,&created&:,&state&:&COLUMN_NORMAL&,&followers&:4949,&avatar&:{&id&:&v2-be94e8ac5ff8d57cbe83da&,&template&:&https:\u002F\\u002F{id}_{size}.jpg&},&activateAuthorRequested&:false,&following&:false,&imageUrl&:&https:\u002F\\u002Fv2-be94e8ac5ff8d57cbe83da_l.jpg&,&articlesCount&:47},&state&:&accepted&,&targetPost&:{&titleImage&:&https:\u002F\\u002F93d4f99567faaf5f4a2809_r.jpg&,&lastUpdated&:,&imagePath&:&93d4f99567faaf5f4a2809&,&permission&:&ARTICLE_PUBLIC&,&topics&:[],&summary&:&\u003Cstrong\u003E日，XP宣布正式停止服务的日子，也是Openssl爆出大漏洞的日子。\u003C\u002Fstrong\u003E 整个下午我们都处于应急状态中，精神紧绷，这个漏洞影响30-50%比例使用https的网站，其中包括大家经常访问的：支付宝、微信、淘宝、网银、社交、门户等知名网站。只要访问https的网…&,&copyPermission&:&ARTICLE_COPYABLE&,&translatedCommentPermission&:&all&,&likes&:0,&origAuthorId&:1415805,&publishedTime&:&T23:23:09+08:00&,&sourceUrl&:&&,&urlToken&:,&id&:69607,&withContent&:false,&slug&:,&bigTitleImage&:false,&title&:&OpenSSL漏洞爆发后&,&url&:&\u002Fp\u002F&,&commentPermission&:&ARTICLE_ALL_CAN_COMMENT&,&snapshotUrl&:&&,&created&:,&comments&:0,&columnId&:1333,&content&:&&,&parentId&:0,&state&:&ARTICLE_PUBLISHED&,&imageUrl&:&https:\u002F\\u002F93d4f99567faaf5f4a2809_r.jpg&,&author&:{&bio&:&http:\u002F\u002Frm-rf.gg&,&isFollowing&:false,&hash&:&c331d0fac2d788f80b1eb8ddc330173e&,&uid&:20,&isOrg&:false,&slug&:&Evi1m0&,&isFollowed&:false,&description&:&根据相关法律法规和政策，部分结果不予显示。&,&name&:&evi1m0&,&profileUrl&:&https:\u002F\\u002Fpeople\u002FEvi1m0&,&avatar&:{&id&:&c4d84e8b1abbcb&,&template&:&https:\u002F\\u002F50\u002F{id}_{size}.jpg&},&isOrgWhiteList&:false,&isBanned&:false},&memberId&:1415805,&excerptTitle&:&&,&voteType&:&ARTICLE_VOTE_CLEAR&},&id&:241991}],&title&:&OpenSSL漏洞爆发后&,&author&:&Evi1m0&,&content&:&\u003Cp\u003E\u003Cstrong\u003E日，XP宣布正式停止服务的日子，也是Openssl爆出大漏洞的日子。\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E整个下午我们都处于应急状态中，精神紧绷，这个漏洞影响30-50%比例使用https的网站，其中包括大家经常访问的：支付宝、微信、淘宝、网银、社交、门户等知名网站。\u003C\u002Fp\u003E\u003Cp\u003E只要访问https的网站便有可能存在被嗅探数据的风险，下午5点左右\u003Cstrong\u003EZoomEye\u003C\u002Fstrong\u003E完成了这个数据扫描：全国443端口：1601250，有33303个受本次OpenSSL漏洞影响！不知道放眼世界，有多少使用https的受到威胁。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cbr\u003E\u003Cp\u003E\u003Cstrong\u003EOpenSSL是什么？\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cp\u003E他为网络通信提供安全及数据完整性的一种安全协议，囊括了主要的密码算法、常用的密钥和证书封装管理功能以及SSL协议，并提供了丰富的应用程序供测试或其它目的使用。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cbr\u003E\u003Cp\u003E\u003Cstrong\u003EOpenSSL漏洞\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cp\u003EOpenSSL是一种开放源码的SSL实现，用来实现网络通信的高强度加密，现在被广泛地用于各种网络应用程序中。OpenSSL Heartbleed模块存在一个BUG，当攻击者构造一个特殊的数据包，满足用户心跳包中无法提供足够多的数据会导致memcpy把SSLv3记录之后的数据直接输出，该漏洞导致攻击者可以远程读取存在漏洞版本的openssl服务器内存中长大64K的数据。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cbr\u003E\u003Cp\u003E\u003Cstrong\u003E版本与漏洞\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cul\u003E\u003Cli\u003E\u003Cp\u003EOpenSSL 1.0.1 through 1.0.1f (inclusive) are vulnerable\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003Cli\u003E\u003Cp\u003EOpenSSL 1.0.1g is NOT vulnerable\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003Cli\u003E\u003Cp\u003EOpenSSL 1.0.0 branch is NOT vulnerable\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003Cli\u003E\u003Cp\u003EOpenSSL 0.9.8 branch is NOT vulnerable\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003C\u002Ful\u003E\u003Cbr\u003E\u003Cbr\u003E\u003Cp\u003E简单的说，黑客可以对使用https(存在此漏洞)的网站发起攻击，每次读取服务器内存中64K数据，不断的迭代获取，内存中可能会含有程序源码、用户http原始请求、用户cookie甚至明文帐号密码等。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cbr\u003E\u003Cp\u003E\u003Cstrong\u003E漏洞爆发后\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cp\u003E甲方公司运维、安全开始紧急预警修复升级，乙方公司忙着帮互联网去测试有多少网站受影响以及推出检测脚本，网民们却不知情。只能傻傻的看着微博满屏的OpenSSL暴漏洞了！ 黑客们开始搞起来吧！但这确实是一个不眠之夜，太多的网站受到影响，很多用户不知情仍然在访问着老虎嘴中的站点。\u003C\u002Fp\u003E\u003Cp\u003E懂技术的人开始研究这个漏洞并编写起自己的检测脚本以及嗅探程序，不懂的小黑客们也照猫画虎的玩起这个漏洞，归根结底受害的还是蒙在鼓里的人们。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cbr\u003E\u003Cp\u003E\u003Cstrong\u003E这个漏洞影响究竟有多大？\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cp\u003E收到这个漏洞后我们最先测试了\u003Ca href=\&http:\u002F\\u002F?target=https%3A\u002F\\u002F\& class=\& external\& target=\&_blank\& rel=\&nofollow noreferrer\&\u003E\u003Cspan class=\&invisible\&\u003Ehttps:\u002F\u002Fwww.\u003C\u002Fspan\u003E\u003Cspan class=\&visible\&\\u002F\u003C\u002Fspan\u003E\u003Cspan class=\&invisible\&\u003E\u003C\u002Fspan\u003E\u003Ci class=\&icon-external\&\u003E\u003C\u002Fi\u003E\u003C\u002Fa\u003E 确认存在此漏洞，发起检测。\u003C\u002Fp\u003E\u003Cp\u003E之后我们又发现\u003Cstrong\u003E雅虎门户主页、微信公众号、微信网页版、YY语言、淘宝、网银、陌陌、社交、门户网站\u003C\u002Fstrong\u003E存在此漏洞。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cnoscript\u003E\u003Cimg src=\&https:\u002F\\u002Fdfce8e82bdb7_b.jpg\& data-rawwidth=\&900\& data-rawheight=\&858\& class=\&origin_image zh-lightbox-thumb\& width=\&900\& data-original=\&https:\u002F\\u002Fdfce8e82bdb7_r.jpg\&\u003E\u003C\u002Fnoscript\u003E\u003Cimg src=\&data:image\u002Fsvg+utf8,&svg%20xmlns='http:\u002F\u002Fwww.w3.org\u002FFsvg'%20width='900'%20height='858'&&\u002Fsvg&\& data-rawwidth=\&900\& data-rawheight=\&858\& class=\&origin_image zh-lightbox-thumb lazy\& width=\&900\& data-original=\&https:\u002F\\u002Fdfce8e82bdb7_r.jpg\& data-actualsrc=\&https:\u002F\\u002Fdfce8e82bdb7_b.jpg\&\u003E\u003Cbr\u003E\u003Cp\u003E上面是嗅探到陌陌的部分数据，整个数据包里面包含详细经纬度、陌陌UID、版本、手机型号等详细信息。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cnoscript\u003E\u003Cimg src=\&https:\u002F\\u002Fedcf2d594da93a1d47c4cedc8df4eec6_b.jpg\& data-rawwidth=\&900\& data-rawheight=\&230\& class=\&origin_image zh-lightbox-thumb\& width=\&900\& data-original=\&https:\u002F\\u002Fedcf2d594da93a1d47c4cedc8df4eec6_r.jpg\&\u003E\u003C\u002Fnoscript\u003E\u003Cimg src=\&data:image\u002Fsvg+utf8,&svg%20xmlns='http:\u002F\u002Fwww.w3.org\u002FFsvg'%20width='900'%20height='230'&&\u002Fsvg&\& data-rawwidth=\&900\& data-rawheight=\&230\& class=\&origin_image zh-lightbox-thumb lazy\& width=\&900\& data-original=\&https:\u002F\\u002Fedcf2d594da93a1d47c4cedc8df4eec6_r.jpg\& data-actualsrc=\&https:\u002F\\u002Fedcf2d594da93a1d47c4cedc8df4eec6_b.jpg\&\u003E\u003Cnoscript\u003E\u003Cimg src=\&https:\u002F\\u002Fefef026a710_b.jpg\& data-rawwidth=\&672\& data-rawheight=\&566\& class=\&origin_image zh-lightbox-thumb\& width=\&672\& data-original=\&https:\u002F\\u002Fefef026a710_r.jpg\&\u003E\u003C\u002Fnoscript\u003E\u003Cimg src=\&data:image\u002Fsvg+utf8,&svg%20xmlns='http:\u002F\u002Fwww.w3.org\u002FFsvg'%20width='672'%20height='566'&&\u002Fsvg&\& data-rawwidth=\&672\& data-rawheight=\&566\& class=\&origin_image zh-lightbox-thumb lazy\& width=\&672\& data-original=\&https:\u002F\\u002Fefef026a710_r.jpg\& data-actualsrc=\&https:\u002F\\u002Fefef026a710_b.jpg\&\u003E\u003Cbr\u003E\u003Cp\u003E同样，在另外一个社交网站中我获取到了用户登录的帐号以及密码甚至是安全问题与答案，这里的密码使用的明文传输，以至于通过这样的漏洞攻击我成功的登录了上百个账户，当然我什么都没做，出于测试而已。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E用户修改密码、发送消息、登录等请求以及很多操作全部在数据包中暴露出来，这里我就不列举更多受影响的网站了。其实这个漏洞据说早在2012年就被挖掘出来，直到昨天CVE纳入编号CVE-，8号才正式爆发。使用HTTPS的网站大多是因为数据需加密防止嗅探等攻击的发生，漏洞爆发后彻底将这层大门打破，于是很多网站处于被监听的状态中。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cbr\u003E\u003Cp\u003E此漏洞POC早已有人公布，所以导致WooYun漏洞平台上很多白帽子开始对大范围网站进行了测试刷分，场面颇为壮观：\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cnoscript\u003E\u003Cimg src=\&https:\u002F\\u002F71d49df055ca4d6f91bb7e_b.jpg\& data-rawwidth=\&900\& data-rawheight=\&252\& class=\&origin_image zh-lightbox-thumb\& width=\&900\& data-original=\&https:\u002F\\u002F71d49df055ca4d6f91bb7e_r.jpg\&\u003E\u003C\u002Fnoscript\u003E\u003Cimg src=\&data:image\u002Fsvg+utf8,&svg%20xmlns='http:\u002F\u002Fwww.w3.org\u002FFsvg'%20width='900'%20height='252'&&\u002Fsvg&\& data-rawwidth=\&900\& data-rawheight=\&252\& class=\&origin_image zh-lightbox-thumb lazy\& width=\&900\& data-original=\&https:\u002F\\u002F71d49df055ca4d6f91bb7e_r.jpg\& data-actualsrc=\&https:\u002F\\u002F71d49df055ca4d6f91bb7e_b.jpg\&\u003E\u003Cbr\u003E\u003Cp\u003E因此漏洞非用户安全所致，只要网站使用了存在漏洞的OpenSSL版本，用户登录该网站时就可能被黑客实时监控到登录账号和密码，此漏洞应由服务商尽快提供OpenSSL的升级。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E可喜的是诸如腾讯、网易、淘宝这些大的厂商对安全问题的应急相应速度很快，很多存在OpenSSL问题的网站已经修复，剩下一些相信也会通过白帽子们的努力很快修复。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cbr\u003E\u003Cp\u003E\u003Cstrong\u003E截止23：00，L对我说：不少大型网站的数据还在不断嗅探录入。\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cp\u003E\u003Cstrong\u003E----------------\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E\u003Cstrong\u003EEvi1m0@知道创宇\u003C\u002Fstrong\u003E\u003Cbr\u003E\u003C\u002Fp\u003E\u003Cp\u003E每条回复必看，文章将全部更新至博客：\u003Cstrong\u003E\u003Ca href=\&http:\u002F\\u002F?target=http%3A\u002F\u002Fevilsay.cc\& class=\& external\& target=\&_blank\& rel=\&nofollow noreferrer\&\u003E\u003Cspan class=\&invisible\&\u003Ehttp:\u002F\u002F\u003C\u002Fspan\u003E\u003Cspan class=\&visible\&\u003Eevilsay.cc\u003C\u002Fspan\u003E\u003Cspan class=\&invisible\&\u003E\u003C\u002Fspan\u003E\u003Ci class=\&icon-external\&\u003E\u003C\u002Fi\u003E\u003C\u002Fa\u003E\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cp\u003E感谢关注，喜欢本文就点击分享一下，微信公众号：Evil-say\u003C\u002Fp\u003E&,&updated&:new Date(&T15:23:09.000Z&),&canComment&:false,&commentPermission&:&anyone&,&commentCount&:51,&collapsedCount&:0,&likeCount&:541,&state&:&published&,&isLiked&:false,&slug&:&&,&isTitleImageFullScreen&:false,&rating&:&none&,&titleImage&:&https:\u002F\\u002F93d4f99567faaf5f4a2809_r.jpg&,&links&:{&comments&:&\u002Fapi\u002Fposts\u002F2Fcomments&},&reviewers&:[],&topics&:[],&adminClosedComment&:false,&titleImageSize&:{&width&:784,&height&:442},&href&:&\u002Fapi\u002Fposts\u002F&,&excerptTitle&:&&,&column&:{&slug&:&Evi1m0&,&name&:&evi1m0&},&tipjarState&:&inactivated&,&annotationAction&:[],&sourceUrl&:&&,&pageCommentsCount&:51,&hasPublishingDraft&:false,&snapshotUrl&:&&,&publishedTime&:&T23:23:09+08:00&,&url&:&\u002Fp\u002F&,&lastestLikers&:[{&bio&:null,&isFollowing&:false,&hash&:&e437bd9f&,&uid&:091100,&isOrg&:false,&slug&:&sky-34-65&,&isFollowed&:false,&description&:&&,&name&:&Sky&,&profileUrl&:&https:\u002F\\u002Fpeople\u002Fsky-34-65&,&avatar&:{&id&:&da8e974dc&,&template&:&https:\u002F\\u002F{id}_{size}.jpg&},&isOrgWhiteList&:false,&isBanned&:false},{&bio&:&公号「这是一个小号」小黄文，写实文，个人玩股日记&,&isFollowing&:false,&hash&:&70c69eea789f&,&uid&:32,&isOrg&:false,&slug&:&qing-nian-xie-mou&,&isFollowed&:false,&description&:&&,&name&:&这是一个小号&,&profileUrl&:&https:\u002F\\u002Fpeople\u002Fqing-nian-xie-mou&,&avatar&:{&id&:&77fc6ff12a1e9f9c836c9&,&template&:&https:\u002F\\u002F50\u002F{id}_{size}.jpg&},&isOrgWhiteList&:false,&isBanned&:false},{&bio&:&感觉无论做什么，我总是停不下来。&,&isFollowing&:false,&hash&:&ba4bf20fdccac90b410dd90279aeecc6&,&uid&:248500,&isOrg&:false,&slug&:&wang-biao-45-18&,&isFollowed&:false,&description&:&我醉欲眠卿且去,明朝有意抱琴来&,&name&:&王彪&,&profileUrl&:&https:\u002F\\u002Fpeople\u002Fwang-biao-45-18&,&avatar&:{&id&:&v2-0ad3bce7dccfa632d393ae&,&template&:&https:\u002F\\u002F50\u002F{id}_{size}.jpg&},&isOrgWhiteList&:false,&isBanned&:false},{&bio&:&破乎乙烷&,&isFollowing&:false,&hash&:&d1f4feaa98c67f7c1dabdf46&,&uid&:20,&isOrg&:false,&slug&:&xmcp&,&isFollowed&:false,&description&:&※ 【于日12时（CST）删除全部186个回答】\n※ 【于日9时（CST）删除8个文章，并将19个问题转为匿名】\n※ 【此后的问题、答案将不定期删除或转为匿名】&,&name&:&xmcp&,&profileUrl&:&https:\u002F\\u002Fpeople\u002Fxmcp&,&avatar&:{&id&:&ffd91f0f6&,&template&:&https:\u002F\\u002F50\u002F{id}_{size}.jpg&},&isOrgWhiteList&:false,&isBanned&:false},{&bio&:&生命不息，折腾不止&,&isFollowing&:false,&hash&:&21d7ec7d10ed13cbbcea46&,&uid&:56,&isOrg&:false,&slug&:&chenchiyuan&,&isFollowed&:false,&description&:&我的微信号: shadow_ccy\n加我请注明你是谁，什么途径知道我的。谢谢！&,&name&:&陈驰远&,&profileUrl&:&https:\u002F\\u002Fpeople\u002Fchenchiyuan&,&avatar&:{&id&:&v2-b8b7a288ea551a93ce26c62e&,&template&:&https:\u002F\\u002F50\u002F{id}_{size}.jpg&},&isOrgWhiteList&:false,&isBanned&:false}],&summary&:&\u003Cimg src=\&http:\u002F\\u002Fdfce8e82bdb7_200x112.jpg\& data-rawwidth=\&900\& data-rawheight=\&858\& class=\&origin_image inline-img zh-lightbox-thumb\& data-original=\&http:\u002F\\u002Fdfce8e82bdb7_r.jpg\&\u003E\u003Cstrong\u003E日，XP宣布正式停止服务的日子，也是Openssl爆出大漏洞的日子。\u003C\u002Fstrong\u003E 整个下午我们都处于应急状态中，精神紧绷，这个漏洞影响30-50%比例使用https的网站，其中包括大家经常访问的：支付宝、微信、淘宝、网银、社交、门户等知名网站。只要访问https的网…&,&reviewingCommentsCount&:0,&meta&:{&previous&:{&isTitleImageFullScreen&:false,&rating&:&none&,&titleImage&:&https:\u002F\\u002F50\u002Fddb5cab75551c4_xl.jpg&,&links&:{&comments&:&\u002Fapi\u002Fposts\u002F2Fcomments&},&topics&:[],&adminClosedComment&:false,&href&:&\u002Fapi\u002Fposts\u002F&,&excerptTitle&:&&,&author&:{&bio&:&http:\u002F\u002Frm-rf.gg&,&isFollowing&:false,&hash&:&c331d0fac2d788f80b1eb8ddc330173e&,&uid&:20,&isOrg&:false,&slug&:&Evi1m0&,&isFollowed&:false,&description&:&根据相关法律法规和政策，部分结果不予显示。&,&name&:&evi1m0&,&profileUrl&:&https:\u002F\\u002Fpeople\u002FEvi1m0&,&avatar&:{&id&:&c4d84e8b1abbcb&,&template&:&https:\u002F\\u002F50\u002F{id}_{size}.jpg&},&isOrgWhiteList&:false,&isBanned&:false},&column&:{&slug&:&Evi1m0&,&name&:&evi1m0&},&content&:&\u003Cp\u003E回家两天总算放松了下，该见的朋友也都见了，刚从外面散步回来偶然翻到去年初写的一篇关于隐私安全的文章，重读一遍发现虽时过一年但仍有必要读下，所以拿给大家啃啃，就是不知道这\u003Cstrong\u003E老干货\u003C\u002Fstrong\u003E到底还\u003Cstrong\u003E香不香？\u003C\u002Fstrong\u003E\u003Cbr\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cblockquote\u003E\u003Cstrong\u003E注：文章篇幅较长，耐心阅读。\u003C\u002Fstrong\u003E\u003C\u002Fblockquote\u003E\u003Cbr\u003E\u003Cp\u003E互联网的万千世界中什么最重要? 个人隐私、安全、秘密最不为过。谈及到隐私和数据安全，可以分为很多很多种，今天我们主要来探索社会工程学的奥秘。我个人是对Web安全和社会工程学有着浓厚兴趣的，后者也是最近一段时间才慢慢升温。\u003Cbr\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cbr\u003E\u003Cul\u003E\u003Cli\u003E\u003Cp\u003E\u003Cstrong\u003E什么是社会工程学?\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003C\u002Ful\u003E\u003Cbr\u003E\u003Cp\u003E社会工程学是一门深奥且复杂的学问，可以写成一篇文章甚至一本书。凯文·米特尼克 《欺骗的艺术》 就是其中一个典例 :) 非常经典，值得品读。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E星尘和我说 ： \u003Cstrong\u003E社工是一门大学问，面很广，很难写。\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E但我觉得可试，目的是为了科普给某些刚接触这个圈子的朋友以及身边的挚友，去给大家讲解隐私安全方面的危害性和保护隐私的重要性，尤其是在今天日益发展的互联网上\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cbr\u003E\u003Cul\u003E\u003Cli\u003E\u003Cp\u003E\u003Cstrong\u003E什么是社会工程学?\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003C\u002Ful\u003E\u003Cbr\u003E\u003Cp\u003E社会工程学也算是中国的本土说法，据说还是Helen开创的名词，真正是称之为社交工程学，也是如今汉译国外黑客社工的常用说法。黑客们口中长谈到的社工便是社会工程学，它是臭名昭着的黑客米特尼克悔改后在《欺骗的艺术》中所提出，但其初始目的是让全球的网民们能够懂得网络安全，提高警惕，防止没必要的个人损失。但在我国黑客集体中还在不断使用其手段欺骗无知网民制造违法行为，社会影响恶劣，一直受到公安机关的严厉打击。一切通过各种渠道散布、传播、教授黑客技术的行为都构成传授犯罪方法罪，如目前出版的《黑客社会工程学攻击2》已被公安机关网安部门所关注，予以打击;\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E他是一种通过基础工具或黑客工具的运用，合法或非法，基于网络或者收集人们在因特网中泄露或做以安全校验的个人资料的手段;他也是一种与普通的欺骗和诈骗不同层次的手法。因为社工需要搜集大量的信息并针对对方的实际情况，进行心理战。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cbr\u003E\u003Cp\u003E\u003Cstrong\u003E社会工程学简单可划分为两种：\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cblockquote\u003E\u003Col\u003E\u003Cli\u003E\u003Cp\u003E基于计算机或网络实施的攻击\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003Cli\u003E\u003Cp\u003E基于实体对象的攻击\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003C\u002Fol\u003E\u003C\u002Fblockquote\u003E\u003Cp\u003E意思已经描述的很清楚，前者利用Internet攻击，往往有些时候需要一定的技术含量，后者直接实地接触活生生的人进行欺骗诱惑等攻击。鉴于文章的全面性，后面都会进行简单叙述案例与防范。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E我们拿社会工程学鼻祖凯文米特尼克的某次社工案例来举个例子：\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E通过获取中间人信息，伪造中间人，成功直入受害者获取个人密码。也许你会觉得很扯淡，对!他确实很扯淡，扯淡到你自己受害后并没有发现隐私等安全问题的发生。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E科普的也差不多了，直接进入主题，让我来看看社会工程学到底有多么的恐怖?\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E在日益发展的今天，我们一起来看看我们的数据隐私究竟有多不安全?\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cbr\u003E\u003Cul\u003E\u003Cli\u003E\u003Cp\u003E\u003Cstrong\u003E被社会工程学攻击的危害?\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003C\u002Ful\u003E\u003Cbr\u003E\u003Cp\u003E照片泄露、手机号码泄露、密码泄露、甚至你的支付宝等财产口令泄露！通常我们都知道一个情况，一个人的密码不会在各个网站及个人口令中超过五个。\u003C\u002Fp\u003E\u003Cp\u003E超过五个的大脑密码存储量会陷入浑浑噩噩的状态，我深有体会，很早很早以前我在各网站的密码都不同并且难度很复杂。于是导致的结果就是，每次登陆一个网站都要点击忘记密码。。。找回。。。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E谈到社会工程学和用多少个密码有什么关系?\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E\u003Cstrong\u003E关系大了!\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cp\u003E我们依旧来举个例子，你的A网站密码泄露了，后面会讲如何得知你泄露的密码以及如何泄露：\u003C\u002Fp\u003E\u003Cblockquote\u003E\u003Cstrong\u003EA网站\u002FPassWord: ff0000team\u003Cbr\u003E\u003C\u002Fstrong\u003E\u003Cstrong\u003EB网站\u002FPassWord: woaievi1m0\u003C\u002Fstrong\u003E\u003C\u002Fblockquote\u003E\u003Cp\u003E基本上通过得到以上两个网站的密码，完全可以沦陷受害者90%的ID ，为何?因为通常得知某网站或几个网站的不同密码，完全可以推测出其他，或根本就都是一样密码的某网站口令，毛骨悚然有木有，心情纠结有木有?\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E\u003Cstrong\u003E常见的社会工程学攻击手法：\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cblockquote\u003E\u003Col\u003E\u003Cli\u003E\u003Cp\u003E搜索引擎资料收集\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003Cli\u003E\u003Cp\u003E人性弱点攻击\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003Cli\u003E\u003Cp\u003E中间人伪造攻击\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003Cli\u003E\u003Cp\u003E数据库索引攻击\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003C\u002Fol\u003E\u003C\u002Fblockquote\u003E\u003Cp\u003E\u003Cstrong\u003E详细介绍：\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E1)搜索引擎是最普遍最常用的一种资料收集获取方式，通过搜索受害人QQ号码 邮箱等关键字，进行资料的获取，通常使用Google搜索，为何不用百度? 原因你懂得 :) 获取的资料有何用? 你想要的资料也许可以直接搜索到或者进行密码猜解?\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E2)人性弱点的攻击也是常见的一种社工手法，黑客们把这种手法通常用于域名劫持，比如常见的社工IDC客服 证明自己是域名拥有人 然后伪造一张收集到的域名注册人的身份证，进行域名劫持。小伟(社工爱好者)经常用于此手法进行劫持，很荣幸，我也是:)\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E3) 中间人伪造攻击普遍用于重要资料的获取，如：手机号码直接索取，密码的直接索取等。 但前提需要社工师拥有中间人的详细信息进行完美的伪装，从而让受害者信任。前面说过，社会工程学是利用受害者的贪婪、信任等人性弱点进行的攻击手法。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E4) 数据库索引攻击(Data Indexs Attack)是笔者感觉最有杀伤力并一针见血的攻击，甚至不需要收集太多的资料以及前面3种攻击伪造，直入要害!\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cbr\u003E\u003Cp\u003E如道哥黑板报写到的\u003Cstrong\u003E《中国黑客传说：游走在黑暗中的精灵》 \u003C\u002Fstrong\u003E文中写到的：\u003C\u002Fp\u003E\u003Cblockquote\u003E“他最大的成就，是积累了一个去重后有13亿条数据的数据库。每条记录，都包含了用户名、密码、身份证号(社保ID)、手机号、邮箱、登录IP等信息。对于V来说，想知道谁的密码，只需要在库中简单的查询一下，马上就得到了。有时候密码经过了哈希算法的处理，需要经过彩虹表的反查，或者V会拿到一个云计算中心去用分布式计算框架破解。所以V能够直接查到女孩的邮箱密码。”\u003C\u002Fblockquote\u003E\u003Cp\u003E文章中上面这一段无不令人咋舌，13E的数据究竟有多大的杀伤力?\u003Cbr\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E我通常习惯把数据库索引攻击称为\u003Cstrong\u003E大杀器\u003C\u002Fstrong\u003E，因为他足以撑得起这个称号。当然我手里也是有一小点儿裤子 (网站被入侵导致被脱数据库)，曾因某些原因不得不使用一次大杀器，让我亲身体验了数据库索引攻击(DIA)的威力。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E现在回想起仍然能感受到当时的快感、刺激感、惊悚感。短短的几分钟，索引完毕整个Database(数据库所在目录)，受害人在各个网站的密码呈现在淡白的荧光屏上，而且其中不乏有很多网站是明文存储的密码。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E\u003Cstrong\u003E好了，不要在制造恐慌了，那么我们究竟如何防御上面这几种攻击?\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cbr\u003E\u003Cp\u003E1)防御搜索引擎攻击\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E尽量在网上不要使用真实的信息以及公布自己的资料 ， 其实防御这类社工很简单，可以使用逆向社工手法 如现在网上散播出各种自己的虚假信息以及照片，进行资料假造 爬虫爬过后， 各大搜索引擎收录后，以后自己偶尔不小心泄露了某个资料也能逃避某黑的眼球\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E2)防御人性弱点\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E这一点是最难防的，因为代码是死的，但人是活的。 人有七情六欲，没有则无意。\u003C\u002Fp\u003E\u003Cp\u003E个人认为防御这一类攻击首先要对 对方的一些涉及自己隐私的问题进行慎重考虑以及确定，然后做出明确的判断。不要感情用事，这是目前很多青年人易犯的错误。 总认为和他是有感情的，殊不知，社工就是利用了这点。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E3)防御中间人伪造\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E这类攻击很普遍同样很容易被疏忽，为何?因为当社工师使用这种手法计谋的时候，通常已经掌握了中间人的大部分信息，从而能够自信的让你相信社工师就是那个他，那么如何去防御?\u003C\u002Fp\u003E\u003Cp\u003E确认身份是防御这种攻击最直接的办法，如何确认那就要分场景来看了，比如打个电话? 问问他没有某事件的事情看他如何回答?\u003Cbr\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E4)防御DIA攻击\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E写到这里，我的确头疼了。 防御DIA攻击，你不能确保你所登录的网站没有被Hacker脱裤(意指被入侵后拖库)的风险。所以我们做最坏的打算，你所处网站A被脱，裤子到了Evi1m0手里，他现在可以查看一切用户的密码。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cbr\u003E\u003Cp\u003E\u003Cstrong\u003E怎么办?\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E网站通常保存密码由加密和非加密两种方式，谈到后者不的不说： CSDN数据库公布，明文存储!我对CSDN事件也不在这里多说什么，因为实在时隔已久。 且当时也写过小小的点评，那么加密方式存储的密码到了黑客手中就无法查看明文了吗?\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E非也，CMD5等各种解密网站不是吃干饭的，当然如果你密码设置的实在变态的话，也好。这里就要提醒各位朋友，设置密码时一定要设置高强度密码且与个人身份无关最好，黑客进行DTA攻击的时候，是要从数据库进行关键字搜索的，如QQ号码： 7777777，然后获取自己手里拥有数据库的关键字密码，进行攻击方法.1的信息收集，从而登陆各个站点及目的性。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E这里，我建议大家注册1个企鹅的小号以及邮箱，以后注册时信息尽量填写小号，小号并无好友，也就是说当你接受DIA攻击的时候，裤子里面并未存储于你号码的信息，这一点和防止.1攻击手法有点相似，尽最大量少泄露自己信息，让黑阔无路可走。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cbr\u003E\u003Cp\u003E\u003Cstrong\u003E甩尾：简单总结上面几点\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Col\u003E\u003Cli\u003E\u003Cp\u003E注重自己的隐私!\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003Cli\u003E\u003Cp\u003E请勿泄露个人隐私!\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003Cli\u003E\u003Cp\u003E密码请定期更换!\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003Cli\u003E\u003Cp\u003E密码要设置高难度!\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003Cli\u003E\u003Cp\u003E随时提高自己的警惕!\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003Cli\u003E\u003Cp\u003E------More------\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003C\u002Fol\u003E\u003Cbr\u003E\u003Cp\u003E最后，笔者(Evi1m0)荣幸的邀请了几名安全研究者来进行点评及保护隐私安全方面的建议：\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E\u003Cstrong\u003E孤独雪狼(红黑联盟管理员)：\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cp\u003E首先很感谢邪红色信息安全组织的Evi1m0为大家所写的《剖析隐私安全的奥秘》，从文章中可以看出个人信息安全在如今的网络世界里是越来越受到大家的重视。\u003Cbr\u003E\u003C\u002Fp\u003E\u003Cp\u003E针对《剖析隐私安全的奥秘》文中所谈到的保护隐私安全方面，我有以下几点建议：\u003Cbr\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E1.养成良好的上网习惯。凡是来自于网上的东西都要有持谨慎的态度，下载软件等其他应尽量从知名软件开发商的站点下载，打开之前最好用正版最新的杀毒软件进行病毒查杀下。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E2.安装杀毒软件与个人防火墙，打开实时监控，及时升级。对于个人来说，最大的网络安全隐患往往发生在访问网页的时候。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E3.正确使用移动存储设备(如U盘，移动硬盘，MP3等)。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E4.关闭或删除系统中不需要的服务。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E5.进行安全操作时需谨慎。特别注意在使用网银等安全操作时更需要谨慎对待。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E总之，如今中国的网络技术目前正处于蓬勃发展的阶段，新技术层出不穷，其中也不可避免的存在一些漏洞，因此，进行网络安全防范要不断追踪新技术的应用情况，及时升级完善自身的防御措施。对于个人电脑用户来说，\u003C\u002Fp\u003E\u003Cp\u003E提高安全防范意识，养成良好的安全习惯是解决安全问题的根本。\u003Cbr\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cbr\u003E\u003Cp\u003E\u003Cstrong\u003EFooying(知道创宇安全研究成员)：\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E社会工程学是一种\&很好玩\&的技术，在很多技术上攻克不了的入侵，通过社工也许就能取得意想不到的想过，因为环节里存在了人。我把社工总结成一个原因，人性。任何环节，只有有人参加，就能有利用的地方，没有一个人是真的无懈可击的。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E就个人而言，很喜欢Evi1m0的写文章风格，这篇文章也是同样的风格，简单的语言让你了解社工。不是长篇的大道理，而是实实在在的语言，把自己想说的内容说的清楚，文章的一些链接，题外阅读也是精彩的推荐。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E通过搜索引擎搜索相关资料，利用人天然缺少的安全警惕性，随意的将个人资料提交，导致资料得以出现在互联网而被搜索;同时也是对与目标网站的过分相信，其实对于任何网站都应该保持一份警惕。而数据库索引，更能说明对网站警惕性的重要，同时也利用了人的惰性，不同的网站，为了方便，使用相同的帐号和密码;而人性脆弱就更不用说了。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E\u003Cstrong\u003E人性，不能完全的避免，如果能的话，除非非人。\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E但是尽量的避免社工还是可以做到的。针对性的对社工的利用方式进行处理就ok，比如帐号方面，如果不是什么重要帐号，倒是可以无所谓不一样，但是对那种临时登陆就可以临时取个密码，当然最好，每个站都设置不同密码和帐号，怕忘记，可以借助一些密码管理工具;对任何人，任何事，多一些怀疑。多一步确认!\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cbr\u003E\u003Cp\u003E\u003Cstrong\u003ERedrain (网络安全研究者)：\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E写给Evi1m0：社会工程学攻击永远是一个最吸引人的话题，他的神秘性和对所有资源、知识的恰当利用都让所有黑客和安全研究人员神往不已，我一直相信一点，社会工程学攻击这样的社会关联活动是获取目标最真实信息的最牛方法，想想你不费一兵一卒，便对目标了如指掌，任何人或事件对于你来说都是透明的，这是多么想开了上帝模式啊！\u003C\u002Fp\u003E\u003Cp\u003E本屌也对社会工程学攻击神往已久，也做过一些实验性的攻击，Evi1m0将社会工程学的攻击方式都写得很详细，本屌也有一些小技法介绍给大家，也是我常用的。\u003Cbr\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E0x01 十度分隔法\u003C\u002Fp\u003E\u003Cp\u003E这是我从大黑客凯文米特尼克学来的，在社会心理学中，六度分隔的古老游戏是由很多分隔层的，而当黑客进行攻击时，通常会从与目标任务或时间间隔十层(不一定是十层，视情况而定)的关系目标开始渗透，如：我要入侵公司内网，那我会先选择一台连入内网的主机——机主——机主的妻子——其妻子的高中同学，这样的好处是不会让你暴露很强的目的性，有一定的隐蔽作用(做APT是经常使用)\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E0x02 社交信任认证欺骗(社交网络钓鱼)\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E钓鱼大家都很熟悉了，当我的目标是个SNS(社交型网络服务)迷时，我通常会发送伪造邮件(fake email)进行邮件欺骗，将目标劫持到我做的钓鱼页面\u003C\u002Fp\u003E\u003Cp\u003E如：邮件内容大概为本站正在进行维护，请在此输入信息以便升级之用。然后用户点入连接即被劫持到钓鱼页面最后，感谢Evi1m0的文章!\u003Cbr\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cbr\u003E\u003Cp\u003E\u003Cstrong\u003E相守(京东商城信息安全工程师)：\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E社会工程学给人的感觉是一种很神秘的技术，社会工程学看似简单的欺骗而已，却又包含了复杂的心理学因素，其可怕程度要比直接的技术入侵大得多，对于技术入侵我们可以防范，但是心理漏洞谁又能时刻警惕呢?\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E社工就好比一场没有硝烟的战争，社工的危害远远大于入侵渗透，因为在你不知道的情况下，就中招了，，它利用人的心理弱点、规章与制度的漏洞来攻击，以期获取攻击者所想要的信息。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E至于社会工程学如何防御，楼上几位已经提到相关的防御方法 最主要是一点不要轻易把自己的信息给暴漏在互联网上面。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E------\u003C\u002Fp\u003E\u003Cp\u003E\u003Cstrong\u003EEvi1m0@知道创宇\u003C\u002Fstrong\u003E\u003Cbr\u003E\u003C\u002Fp\u003E\u003Cp\u003E每条回复必看，文章将全部更新至博客：\u003Cstrong\u003E\u003Ca href=\&http:\u002F\\u002F?target=http%3A\u002F\u002Fevilsay.cc\& class=\& wrap external\& target=\&_blank\& rel=\&nofollow noreferrer\&\u003EEvilsay - 安全圈也有文艺范\u003Ci class=\&icon-external\&\u003E\u003C\u002Fi\u003E\u003C\u002Fa\u003E\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cp\u003E感谢关注，喜欢本文就点击分享一下，微信搜索：\u003Cstrong\u003EEvil-say\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E&,&state&:&published&,&sourceUrl&:&&,&pageCommentsCount&:0,&canComment&:false,&snapshotUrl&:&&,&slug&:,&publishedTime&:&T22:08:24+08:00&,&url&:&\u002Fp\u002F&,&title&:&剖析隐私安全的奥秘&,&summary&:&回家两天总算放松了下，该见的朋友也都见了，刚从外面散步回来偶然翻到去年初写的一篇关于隐私安全的文章，重读一遍发现虽时过一年但仍有必要读下，所以拿给大家啃啃，就是不知道这\u003Cstrong\u003E老干货\u003C\u002Fstrong\u003E到底还\u003Cstrong\u003E香不香？\u003C\u002Fstrong\u003E \u003Cstrong\u003E注：文章篇幅较长，耐心阅读。\u003C\u002Fstrong\u003E 互联网的万千世界中什…&,&reviewingCommentsCount&:0,&meta&:{&previous&:null,&next&:null},&commentPermission&:&anyone&,&commentsCount&:12,&likesCount&:57},&next&:{&isTitleImageFullScreen&:false,&rating&:&none&,&titleImage&:&https:\u002F\\u002F50\u002F2d19fc213adec4d33072c34_xl.jpg&,&links&:{&comments&:&\u002Fapi\u002Fposts\u002F2Fcomments&},&topics&:[],&adminClosedComment&:false,&href&:&\u002Fapi\u002Fposts\u002F&,&excerptTitle&:&&,&author&:{&bio&:&http:\u002F\u002Frm-rf.gg&,&isFollowing&:false,&hash&:&c331d0fac2d788f80b1eb8ddc330173e&,&uid&:20,&isOrg&:false,&slug&:&Evi1m0&,&isFollowed&:false,&description&:&根据相关法律法规和政策，部分结果不予显示。&,&name&:&evi1m0&,&profileUrl&:&https:\u002F\\u002Fpeople\u002FEvi1m0&,&avatar&:{&id&:&c4d84e8b1abbcb&,&template&:&https:\u002F\\u002F50\u002F{id}_{size}.jpg&},&isOrgWhiteList&:false,&isBanned&:false},&column&:{&slug&:&Evi1m0&,&name&:&evi1m0&},&content&:&\u003Cp\u003E\u003Cstrong\u003E0day\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E抵达深圳后，刚下飞机便感觉一股闷热袭来，身上瞬间多了层汗水，虽然有所准备但对于在北方呆久的人还是稍微有点儿不适应。我和刷三下踏出机场门口开始前往腾讯大厦，司机说着一口不太标准的普通话和我们侃着MH370的情况，而我坐在车上不停的看着倒退的山景，发现深圳绿化比北京做的好很多，景色悦人，正感慨发现已经到了腾讯大厦。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E此时已经中午，我和刷三下与\u003Cstrong\u003E腾讯安全应急响应中心（TSRC）\u003C\u002Fstrong\u003E的几位朋友见面后直赴餐厅，刚吃完发现tk教主走了进来，整间屋子被tk的气势笼罩着，于是我们几人撤离餐厅，只剩玲子（妹子）一人留在餐厅陪tk吃饭，真是个好主意。\u003C\u002Fp\u003E\u003Cimg src=\&http:\u002F\\u002Fbc4a7d3cffc4d31ff2fe60_b.jpg\& data-rawwidth=\&3264\& data-rawheight=\&2448\& class=\&origin_image zh-lightbox-thumb\& width=\&3264\& data-original=\&http:\u002F\\u002Fbc4a7d3cffc4d31ff2fe60_r.jpg\&\u003E\u003Cp\u003E腾讯大厦和我想象中的没什么区别，有着理所当然的土豪范。我们进入会议厅后发现已有几位业内人士就坐，聊的不亦乐乎。参会人员陆续进场，人数到期后我大概数了一下甲方乙方以及腾讯内部人员竟有40余人，相当隆重。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E这次TSRC邀请了三位业界知名牛人坐席嘉宾：\u003Cstrong\u003Etombkeeper，pp， 冰河\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E15:20会议开始进行，harite主持沙龙让参会人员可提出各问题咨询三位嘉宾开始问答环节，第一个问题便是：OpenSSL这个漏洞为什么是外国人发现的？我们没有发现的能力吗？\u003C\u002Fp\u003E\u003Cimg src=\&http:\u002F\\u002Fd8af0b28b3d86dfd7fa06612_b.jpg\& data-rawwidth=\&856\& data-rawheight=\&892\& class=\&origin_image zh-lightbox-thumb\& width=\&856\& data-original=\&http:\u002F\\u002Fd8af0b28b3d86dfd7fa06612_r.jpg\&\u003E\u003Cp\u003Etk对这个问题进行了详细的解答，大致意思就是：首先拿中国与整个外国来比这个范围还是很大的，除中国之外的所有国家都可称之为外国。\u003C\u002Fp\u003E\u003Cp\u003E其次国内安全研究人员仍然也发现了很多高危漏洞（例如wushi等人），而就此OpenSSL漏洞不可称为国外与国内安全研究水准就有很大的差距，如果真要拿中国与外国来比的话，安全研究水准也还真差不哪去甚至部分还要超出国外。\u003C\u002Fp\u003E\u003Cp\u003Epp对tk的回答表示赞同并简单的追加了几句表示肯定观点，冰河则在一旁很低调的听着，微笑示意。\u003C\u002Fp\u003E\u003Cimg src=\&http:\u002F\\u002Fa39602eae015ac8bd6ac_b.jpg\& data-rawwidth=\&864\& data-rawheight=\&672\& class=\&origin_image zh-lightbox-thumb\& width=\&864\& data-original=\&http:\u002F\\u002Fa39602eae015ac8bd6ac_r.jpg\&\u003E\u003Cp\u003E\u003Cstrong\u003E其他几个问题回答比较漫长，比较有趣的问题：\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cblockquote\u003E\u003Cul\u003E\u003Cli\u003E\u003Cp\u003E白帽子问tombkeeper拿到10w美金什么感觉？ 答：真没什么感觉…自己可以做可以学的东西还非常多…\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003Cli\u003E\u003Cp\u003E问及甲乙方安全实力的对抗，PP ：屁股决定脑袋。而且甲乙方不应是竞争关系，而是合作关系。\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003C\u002Ful\u003E\u003C\u002Fblockquote\u003E\u003Cp\u003E腾讯安全应急响应中心（TSRC）表示将逐渐提高对白帽子的奖励，开展多地区白帽子安全技术沙龙，高校合作甚至白帽子能力提升计划等。下午主要流程就是混脸熟，与大牛面对面畅聊，聊人生、梦想和安全，所以几个问题回答完毕之后便已经17:00了，这时进入第二阶段：工作人员带领大家\u003Cstrong\u003E参观腾讯展厅\u003C\u002Fstrong\u003E。\u003Cbr\u003E\u003C\u002Fp\u003E\u003Cp\u003E\u003Cimg src=\&http:\u002F\\u002F6a710dd87be96d85ad017d_b.jpg\& data-rawwidth=\&3264\& data-rawheight=\&2448\& class=\&origin_image zh-lightbox-thumb\& width=\&3264\& data-original=\&http:\u002F\\u002F6a710dd87be96d85ad017d_r.jpg\&\u003E展厅非常气派，这和腾讯规模当然有关，整个展厅充满深蓝色调让人很舒服，下面发几张当时拍摄图：\u003Cbr\u003E\u003C\u002Fp\u003E\u003Cp\u003E\u003Cimg src=\&http:\u002F\\u002Fcc5_b.jpg\& data-rawwidth=\&3328\& data-rawheight=\&1872\& class=\&origin_image zh-lightbox-thumb\& width=\&3328\& data-original=\&http:\u002F\\u002Fcc5_r.jpg\&\u003E\u003Cstrong\u003E（腾讯同时在线人数以及地区分布）\u003C\u002Fstrong\u003E\u003Cbr\u003E\u003C\u002Fp\u003E\u003Cimg src=\&http:\u002F\\u002F6daed4cec3c_b.jpg\& data-rawwidth=\&1722\& data-rawheight=\&1174\& class=\&origin_image zh-lightbox-thumb\& width=\&1722\& data-original=\&http:\u002F\\u002F6daed4cec3c_r.jpg\&\u003E\u003Cp\u003E\u003Cstrong\u003E（腾讯滨海大厦及企业文化介绍）\u003C\u002Fstrong\u003E\u003Cbr\u003E\u003C\u002Fp\u003E\u003Cimg src=\&http:\u002F\\u002Fc3b473c093f_b.jpg\& data-rawwidth=\&1890\& data-rawheight=\&1370\& class=\&origin_image zh-lightbox-thumb\& width=\&1890\& data-original=\&http:\u002F\\u002Fc3b473c093f_r.jpg\&\u003E\u003Cp\u003E晚饭聚餐时让我惊讶的是竟然饭桌上有位粉丝，聊的很顺畅并加了他微信，虽然不是女粉，但仍惊讶于这种场合能碰到并同一餐桌。吃完饭后我们乘坐腾讯大巴前往酒店，于此同时我结识到一位很低调的同学，这里称他为：\u003Cstrong\u003E阿T\u003C\u002Fstrong\u003E。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E阿T是前腾讯员工，很低调，现在只身一人打拼着，虽然他搞的是底层安全但仍和我有聊不完的话题。我和阿T住一个房间，买烟回来后发现他在阳台面朝大海静静的抽着烟。也许是因为烟友的缘故我们聊的很投机，坐在阳台上看着外面的车水马龙，海风吹着脸颊很是舒服。刷三下和这次会议上遇到的粉丝\u003Cstrong\u003E（这里称为：Mr杨）\u003C\u002Fstrong\u003E住一个房间，他们两个跑过来找我和阿T从安全聊到产品再侃到整个行业，直到凌晨2点依然精神十足。我倚在阳台边看着烟头烧尽，和他说起了黑产之道。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E我说：\u003Cstrong\u003E“现在入侵基本不是问题，取决于对方是否有这个被黑的价值。”\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cp\u003E啊T：\u003Cstrong\u003E“是啊，但是想抓你，你还真跑不掉。”\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cp\u003E我们共同点头，遂罢，眠。\u003C\u002Fp\u003E\u003Cp\u003E----\u003C\u002Fp\u003E\u003Cp\u003E\u003Cstrong\u003E1day\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cp\u003E发现时间已经10点了，早上会议不是9点吗？迟到了。\u003C\u002Fp\u003E\u003Cp\u003E第二天的会议大厅已经换了地方，酒店顶层，我和阿T把它称为：\u003Cstrong\u003E无敌海景房\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cimg src=\&http:\u002F\\u002F5dfb036a926c4adfe5a0e11035bbe132_b.jpg\& data-rawwidth=\&1890\& data-rawheight=\&1370\& class=\&origin_image zh-lightbox-thumb\& width=\&1890\& data-original=\&http:\u002F\\u002F5dfb036a926c4adfe5a0e11035bbe132_r.jpg\&\u003E\u003Cbr\u003E\u003Cp\u003E进去之后就开始了议题：\u003Cstrong\u003E《安全实现类漏洞挖掘（客户端方向）》- 瀚海源\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cp\u003E搞底层二进制的话题不太适合我，但我勉强的听了一下，议题大致讲了关于底层安全漏洞挖掘的技巧：\u003C\u002Fp\u003E\u003Col\u003E\u003Cli\u003E\u003Cp\u003E白盒（源码审计）\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003Cli\u003E\u003Cp\u003E灰盒测试\u003C\u002Fp\u003E\u003C\u002Fli\u003E\u003Cli\u003E\u003Cp\u003E黑盒测试\u003C\u002Fp\u003E\u003Cbr\u003E\u003C\u002Fli\u003E\u003C\u002Fol\u003E\u003Cblockquote\u003E\u003Cp\u003E听完议题后直奔餐厅午餐，中午harite来房间找我聊人生畅梦想，我问：\u003Cstrong\u003E“现在衡量给你们提漏洞的白帽子是否白，你们的方法？”\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cp\u003E他说：“白帽子与黑帽子进行的测试行为现在基本能够断定出，裤子都脱了你和我说是正常白帽子测试，这怎么也说不过去。其实我们对于部分白帽子的测试还是很容忍的，怕的就是业务部门追究，把人家的业务都捣乱了，到底该怎么做也是业务那面负责人的决定，安全部这面也很为难。”\u003C\u002Fp\u003E\u003C\u002Fblockquote\u003E\u003Cp\u003E其实关于这个话题，我想起之前写过的一篇文章，可以翻出来看看：\u003Cstrong\u003E《白帽子的未经授权渗透测试合法吗？》\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cbr\u003E\u003Cp\u003E下午议题开始之前有个小活动，40余人双手搭着前方人的肩膀进行折磨，一时间会议厅充满了怪怪的声音，好在让大家都抛去了午休的疲惫。两个议题，第一个是腾讯内部议题《腾讯WEB安全检测平台》，禁止拍照与宣传，所以不多说。\u003C\u002Fp\u003E\u003Cp\u003E这时lake2不知从何地跑了出来拍了拍我肩膀说：\u003Cstrong\u003E啊，你就是猥琐的蘑菇啊。\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cp\u003E看着他猥琐十足的笑容我实在自愧不如，简单的聊了几句便开始了最后一个议题，这也是我认为这是整次沙龙中最有干货的议题：\u003Cstrong\u003E《无线安全の七年之恙》-
杨哲（Longas）ZerOne无线安全团队\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cimg src=\&http:\u002F\\u002Ff33ed77b2f126a6815bba8de_b.jpg\& data-rawwidth=\&3264\& data-rawheight=\&2448\& class=\&origin_image zh-lightbox-thumb\& width=\&3264\& data-original=\&http:\u002F\\u002Ff33ed77b2f126a6815bba8de_r.jpg\&\u003E\u003Cbr\u003E\u003Cp\u003E议题主要喷了现在对无线安全研究实在太浅，毫无深度。然后讲述了Wifi hacking的发展历史。\u003C\u002Fp\u003E\u003Cp\u003E杨哲：近两年才进入大家视线的伪基站其实早在03-04年就诞生了。\u003C\u002Fp\u003E\u003Cp\u003E据他们团队协助调查，发现某团伙使用伪基站发送数量单个最少67W条短信，最多的单个设备高达700W条短信数量。并称\u003Cstrong\u003E下一个交火区：谁将“占领客厅？”\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cp\u003E其实占领客厅这个概念很简单，我之前文章写过关于电视（影视盒子）的入侵及控制电视实现物联网化的入侵，这也将是一个很大的发展趋势，只不过无奈于很少有人真正的用心去研究。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E哦，我们还参观了腾讯的文化馆，里面公仔玲琅满目：\u003C\u002Fp\u003E\u003Cimg src=\&http:\u002F\\u002F2cb801f6735ade89e8ba9_b.jpg\& data-rawwidth=\&1894\& data-rawheight=\&1296\& class=\&origin_image zh-lightbox-thumb\& width=\&1894\& data-original=\&http:\u002F\\u002F2cb801f6735ade89e8ba9_r.jpg\&\u003E\u003Cbr\u003E\u003Cp\u003E全部议题结束后，我们赴往大梅沙公园进行合影留念，之后便开始自由活动，我与阿T回到房间看着外面的风景，又聊了起来。\u003Cbr\u003E\u003C\u002Fp\u003E\u003Cimg src=\&http:\u002F\\u002F163e88bdad2_b.jpg\& data-rawwidth=\&640\& data-rawheight=\&480\& class=\&origin_image zh-lightbox-thumb\& width=\&640\& data-original=\&http:\u002F\\u002F163e88bdad2_r.jpg\&\u003E\u003Cp\u003E深夜我，刷三下，阿T，Mr杨去吃烧烤，凌晨的深圳空气真是让我不得不去大口的呼吸，也许是因为在北京呆久了的原因。这个时候我才发现竟然是我生日，于是我们更加的嗨了起来，我在想：习惯了享受会不会让人忘却奋斗？很久没吃烧烤了，发现竟然那么爽，于是我对Mr杨说以后有机会一定要多抽时间出来享受享受，不然还真怕以后没机会了。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E回到房间后随手打开了微信附近的人，想试试传说中广东性都，结果几分钟后收到了上十个招呼：\u003Cstrong\u003E需要服务吗？\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cimg src=\&http:\u002F\\u002Fdc2c2fe451d727db8ced6e4fe30f67be_b.jpg\& data-rawwidth=\&974\& data-rawheight=\&1052\& class=\&origin_image zh-lightbox-thumb\& width=\&974\& data-original=\&http:\u002F\\u002Fdc2c2fe451d727db8ced6e4fe30f67be_r.jpg\&\u003E\u003Cp\u003E我笑了笑，还真是这么回事儿。阿T告诉我这些都是有专门的软件来自动查找附近的人进行打招呼，然后由接单人与有需求的客户进行联系，价钱谈妥后再派送相应小姐上门。哦，怪不得呢！我说。关掉手机后便和阿T有一句没一句的闲聊了起来，因为睡醒后就即将回京，所以难得相识定要多聊几句。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cblockquote\u003E\u003Cp\u003E我问他：\u003Cstrong\u003E你那有女孩子照片没？\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cp\u003E阿T点燃香烟，用很难过的声音对我说：\u003Cstrong\u003E我是搞底层安全的，没有！\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003C\u002Fblockquote\u003E\u003Cbr\u003E\u003Cp\u003E\u003Cstrong\u003EEnd\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cp\u003E就这样三天的沙龙接近尾声，此次之行认识了很多朋友，当然也相识了Mr杨粉丝，阿T等人，回想整个会议：议题、牛人问答、聚餐、讨论、闲聊，不难以看出腾讯这种安全沙龙某种情况下确实促进了行业发展。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E飞机上我看着深圳上空的白云感叹，一会儿就要回到北京了。\u003C\u002Fp\u003E\u003Cp\u003E我们将于二十分钟后降落于北京国际首都机场，就这样，我又回到了雾霾地带。\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E\u003Cstrong\u003E安全之路任重道远，仍需努力。\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cbr\u003E\u003Cp\u003E---------\u003C\u002Fp\u003E\u003Cp\u003E\u003Cstrong\u003EEvi1m0@知道创宇，转载请标注版权\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cp\u003E每条回复必看，文章将全部更新至博客：\u003Cstrong\u003E\u003Ca href=\&http:\u002F\\u002F?target=http%3A\u002F\u002Fevilsay.cc\& class=\& wrap external\& target=\&_blank\& rel=\&nofollow noreferrer\&\u003EEvilsay - 安全圈也有文艺范\u003Ci class=\&icon-external\&\u003E\u003C\u002Fi\u003E\u003C\u002Fa\u003E\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E\u003Cp\u003E感谢关注，喜欢本文就点击分享一下，微信搜索：\u003Cstrong\u003EEvil-say\u003C\u002Fstrong\u003E\u003C\u002Fp\u003E&,&state&:&published&,&sourceUrl&:&&,&pageCommentsCount&:0,&canComment&:false,&snapshotUrl&:&&,&slug&:,&publishedTime&:&T21:01:26+08:00&,&url&:&\u002Fp\u002F&,&title&:&记第二届腾讯安全技术沙龙&,&summary&:&\u003Cstrong\u003E0day\u003C\u002Fstrong\u003E 抵达深圳后，刚下飞机便感觉一股闷热袭来，身上瞬间多了层汗水，虽然有所准备但对于在北方呆久的人还是稍微有点儿不适应。我和刷三下踏出机场门口开始前往腾讯大厦，司机说着一口不太标准的普通话和我们侃着MH370的情况，而我坐在车上不停的看着倒退的…&,&reviewingCommentsCount&:0,&meta&:{&previous&:null,&next&:null},&commentPermission&:&anyone&,&commentsCount&:4,&likesCount&:10}},&annotationDetail&:null,&commentsCount&:51,&likesCount&:541,&FULLINFO&:true}},&User&:{&Evi1m0&:{&isFollowed&:false,&name&:&evi1m0&,&headline&:&根据相关法律法规和政策，部分结果不予显示。&,&avatarUrl&:&https:\u002F\\u002F50\u002Fc4d84e8b1abbcb_s.jpg&,&isFollowing&:false,&type&:&people&,&slug&:&Evi1m0&,&bio&:&http:\u002F\u002Frm-rf.gg&,&hash&:&c331d0fac2d788f80b1eb8ddc330173e&,&uid&:20,&isOrg&:false,&description&:&根据相关法律法规和政策，部分结果不予显示。&,&badge&:{&identity&:null,&bestAnswerer&:{&topics&:[{&type&:&topic&,&id&:&&,&name&:&网络安全&},{&type&:&topic&,&id&:&&,&name&:&黑客 (Hacker)&}],&description&:&优秀回答者&}},&profileUrl&:&https:\u002F\\u002Fpeople\u002FEvi1m0&,&avatar&:{&id&:&c4d84e8b1abbcb&,&template&:&https:\u002F\\u002F50\u002F{id}_{size}.jpg&},&isOrgWhiteList&:false,&isBanned&:false}},&Comment&:{},&favlists&:{}},&me&:{},&global&:{&experimentFeatures&:{&ge3&:&ge3_9&,&ge2&:&ge2_1&,&nwebStickySidebar&:&sticky&,&androidPassThroughPush&:&all&,&newMore&:&new&,&liveReviewBuyBar&:&live_review_buy_bar_2&,&liveStore&:&ls_a2_b2_c1_f2&,&searchHybridTabs&:&without-tabs&,&isOffice&:&false&,&newLiveFeedMediacard&:&old&,&homeUi2&:&default&,&remixOneKeyPlayButton&:&headerButton&,&recommendationAbtest&:&old&,&marketTab&:&market_tab_old&,&qrcodeLogin&:&qrcode&,&recommendArticleNum&:&4&,&isShowUnicomFreeEntry&:&unicom_free_entry_off&,&newMobileColumnAppheader&:&new_header&,&androidDbRecommendAction&:&open&,&zcmLighting&:&zcm&,&favAct&:&default&,&appStoreRateDialog&:&close&,&mobileQaPageProxyHeifetz&:&m_qa_page_nweb&,&default&:&None&,&wechatShareModal&:&wechat_share_modal_show&,&qaStickySidebar&:&sticky_sidebar&,&androidProfilePanel&:&panel_b&,&nwebWriteAnswer&:&default&}},&columns&:{&next&:{},&Evi1m0&:{&following&:false,&canManage&:false,&href&:&\u002Fapi\u002Fcolumns\u002FEvi1m0&,&name&:&evi1m0&,&creator&:{&slug&:&Evi1m0&},&url&:&\u002FEvi1m0&,&slug&:&Evi1m0&,&avatar&:{&id&:&v2-be94e8ac5ff8d57cbe83da&,&template&:&https:\u002F\\u002F{id}_{size}.jpg&}}},&columnPosts&:{},&columnSettings&:{&colomnAuthor&:[],&uploadAvatarDetails&:&&,&contributeRequests&:[],&contributeRequestsTotalCount&:0,&inviteAuthor&:&&},&postComments&:{},&postReviewComments&:{&comments&:[],&newComments&:[],&hasMore&:true},&favlistsByUser&:{},&favlistRelations&:{},&promotions&:{},&draft&:{&titleImage&:&&,&titleImageSize&:{},&isTitleImageFullScreen&:false,&canTitleImageFullScreen&:false,&title&:&&,&titleImageUploading&:false,&error&:&&,&content&:&&,&draftLoading&:false,&globalLoading&:false,&pendingVideo&:{&resource&:null,&error&:null}},&drafts&:{&draftsList&:[],&next&:{}},&config&:{&userNotBindPhoneTipString&:{}},&recommendPosts&:{&articleRecommendations&:[],&columnRecommendations&:[]},&env&:{&edition&:{&baidu&:false,&yidianzixun&:false,&qqnews&:false},&isAppView&:false,&appViewConfig&:{&content_padding_top&:128,&content_padding_bottom&:56,&content_padding_left&:16,&content_padding_right&:16,&title_font_size&:22,&body_font_size&:16,&is_dark_theme&:false,&can_auto_load_image&:true,&app_info&:&OS=iOS&},&isApp&:false,&userAgent&:{&ua&:&Mozilla\u002F5.0 (compatible, MSIE 11, Windows NT 6.3; Trident\u002F7.0; rv:11.0) like Gecko&,&browser&:{&name&:&IE&,&version&:&11&,&major&:&11&},&engine&:{&version&:&7.0&,&name&:&Trident&},&os&:{&name&:&Windows&,&version&:&8.1&},&device&:{},&cpu&:{}}},&message&:{&newCount&:0},&pushNotification&:{&newCount&:0}}}