文檔維護：tombkeeper[Base64Decode("dG9tYmtlZXBlckB4Zm9jdXMub3Jn")]
文檔出處：http://hi.baidu.com/tombkeeper
文檔創(chuàng )建：2007年02月10日
最后更改：2007年02月10日
支付寶漏洞事件出現后，我看到了很多網(wǎng)友對這件事情的評論?？戳诉@些評論，我明白了一件事情：雖然誰(shuí)都不希望自己 成為病毒木馬的受害者，誰(shuí)都不希望自己的QQ號被偷走，不希望自己網(wǎng)游里的裝備消失，不希望自己銀行里的存款消失，不希望自己的聊天記錄被人竊取，不希望 自己的私生活被別人通過(guò)攝像頭窺探甚至公布到互聯(lián)網(wǎng)上成為“真人秀”，但是，很多人并不明白上面這些到底是怎么發(fā)生的，不明白安全漏洞意味著(zhù)什么，不知道 安全漏洞和自己有什么關(guān)系。所以我覺(jué)得有必要寫(xiě)這樣一篇科普文章，作為《支付寶控件漏洞——到底是誰(shuí)在撒謊？》一文的補充。
大多數人對自己所使用的計算機并不了解——當然，這并不重要，大多數人也不知道是電子躍遷讓燈泡發(fā)光。但是人們都知道電的危險，都知道如何安全用電。而知道計算機安全知識的人就少而又少了。
很多人都認為《地心末日》是一部爛片，不過(guò)其中有一段對白的確很有意思：
H：你能說(shuō)多少種語(yǔ)言？
A：5種。
H：是嗎？我只會(huì )一種。一、零、一、零、零。就靠這個(gè)，我可以竊取你的金錢(qián)，你的秘密，你的性取向，甚至你的一生。只要我想，不論何時(shí)何地都能做到。我們的力量是你所無(wú)法想象的。即使我努力，也無(wú)法做到象你那么遲鈍的思考。
上面說(shuō)的略顯夸張，卻基本屬實(shí)?？上Ш芏嗳瞬⒉恢肋@種危險，就像很多人都不知道牛皮癬和白癜風(fēng)其實(shí)都不傳染一樣。
我是學(xué)醫出身，以前經(jīng)常給病人家屬發(fā)健康宣傳冊。也希望自己寫(xiě)的這些文章能起到健康宣傳冊的作用。
1、安全漏洞是怎么回事？木馬是怎么回事？
從理論上說(shuō)，安全漏洞就是軟件中存在的意外功能分枝，通過(guò)安全漏洞，可以讓軟件做軟件設計人員意想不到的事情。譬如Windows 2000里的mrinfo程序，原本是一個(gè)網(wǎng)絡(luò )小工具，但是由于存在溢出，所以我們可以利用它來(lái)鎖屏，或者其它任何事：
http://blog.xfocus.net/index.php?op=ViewArticle&articleId=1772&blogId=9
支付寶控件原本的設計功能是加密通信，保護用戶(hù)的通信安全，但是由于存在安全漏洞，也可以被利用來(lái)執行任何功能，譬如運行一個(gè)盜取銀行賬號的木馬。
“木馬”是特洛伊木馬的簡(jiǎn)稱(chēng)，英文是Trojan Horse。有興趣可以翻翻希臘神話(huà)中特洛伊戰爭這一段?，F在我們通常用“木馬”這個(gè)詞來(lái)指那些不懷好意的軟件。譬如那些盜號程序、后門(mén)程序等等。
木馬要想在用戶(hù)的計算機上運行，一個(gè)主要的手段就是利用安全漏洞。
通俗地說(shuō)，有安全漏洞的軟件就好比窗戶(hù)上沒(méi)插銷(xiāo)的房子，而木馬就好比小偷。如果你裝了一扇沒(méi)有插銷(xiāo)的窗戶(hù)，小偷就很容易進(jìn)來(lái)。
2、支付寶控件現在到底有沒(méi)有漏洞，安不安全？
1.0.0.7版，也就是2007年2月8日之前安裝的支付寶控件是有漏洞的，不安全的，可以被人利用來(lái)控制你的系統的。
而2007年2月8日支付寶升級了控件，修復了上述漏洞。如果你不能確定自己的支付寶是否升級到了最新，請下載安裝這個(gè)最新版本：
http://img.alipay.com/download/1009/aliedit.exe
3、支付寶控件漏洞對我有什么影響？是不是用支付寶有危險？
舉個(gè)例子，就在剛才，就在我寫(xiě)這篇文章的過(guò)程中，一個(gè)朋友找到我，說(shuō)他的網(wǎng)站被“掛馬”了，讓我幫助清除。
所謂“掛馬”，就是入侵網(wǎng)站，修改網(wǎng)站的頁(yè)面，在頁(yè)面里放置惡意代碼。凡是訪(fǎng)問(wèn)了該網(wǎng)站的用戶(hù)，就可能被安裝上木馬。這種可以入侵網(wǎng)站訪(fǎng)問(wèn)者的惡意代碼通常就是利用了某種漏洞。譬如，剛才清除的這個(gè)“掛馬”利用的就是微軟新出的VML控件漏洞。漏洞類(lèi)型和支付寶控件漏洞是一樣的。如果你的機器存在這個(gè)VML漏洞，那么就會(huì )被這個(gè)“掛馬”裝上灰鴿子后門(mén)、網(wǎng)游盜號工具等等一堆的木馬。
只要你的機器有VML控件漏洞，那么只要訪(fǎng)問(wèn)了這種“掛馬”的網(wǎng)站就被被入侵，而不論這個(gè)“掛馬”的網(wǎng)站是微軟的，還是新浪的。
同樣道理，只要安裝了有漏洞的控件，不管你用不用支付寶，是否登陸支付寶，都會(huì )受到漏洞的威脅。因為任何網(wǎng)頁(yè)都可以通過(guò)放置特殊的代碼來(lái)調用這個(gè)控件。但是用支付寶服務(wù)本身反而并不會(huì )有危險——因為我相信支付寶網(wǎng)站本身并不會(huì )包含這種惡意代碼。
4、支付寶出了這么嚴重的安全漏洞，我還應該繼續用它么？
每個(gè)軟件都會(huì )有安全漏洞，上面提到的VML漏洞就是Windows的漏洞，你是否會(huì )因此而不用Windows呢？我也是支付寶用戶(hù)，我會(huì )繼續用下去。
5、最新版本的支付寶控件是不是就沒(méi)有漏洞了？
可以肯定地說(shuō)：最新版本的支付寶控件沒(méi)有上面提到的這個(gè)漏洞。如果你升級到最新版本的支付寶控件，就不受這個(gè)漏洞的影響。但是任何人都不可能保證某個(gè)軟件完全沒(méi)有任何漏洞。不管是軟件作者，還是某個(gè)權威機構。
我在《支付寶控件漏洞——到底是誰(shuí)在撒謊？》提到最新版本支付寶控件仍然存在問(wèn)題，不過(guò)那個(gè)只能引起IE崩潰，不能利用來(lái)入侵用戶(hù)的電腦。
6、既然每個(gè)軟件都可能有漏洞，那怎么防止中木馬和病毒呢？
說(shuō)實(shí)話(huà)，這不是幾句話(huà)能說(shuō)清楚的，甚至我把這篇文章所有的篇幅都用來(lái)說(shuō)這個(gè)問(wèn)題也不行。
不過(guò)有個(gè)簡(jiǎn)單而又有效的建議：盡量不用IE瀏覽器，改用firefox或者opera（聲明：我不是firefox或者opera的托兒）。只在必須用IE的時(shí)候才用。譬如登陸網(wǎng)上銀行。還有一點(diǎn)：盡可能不要從國內的軟件下載站點(diǎn)下載軟件。
7、病毒木馬我都不怕，裝殺毒軟件不就行了么？
目前所有殺毒軟件主要的工作原理都是基于特征識別。什么叫特征識別呢？通俗來(lái)說(shuō)，就是掌握一份壞人的花名冊，根據花名冊去找。如果這個(gè)病毒或者木馬剛剛被寫(xiě)出來(lái)，還沒(méi)有“案底”，不在花名冊上，殺毒軟件就識別不出來(lái)。
某些殺毒軟件雖然也有些不依賴(lài)于花名冊的高級識別功能，但是這種功能并不百分之百可靠。更何況，現在的病毒木馬作者，在寫(xiě)完程序后，都會(huì )先用殺毒軟件測試一下，確認不會(huì )被檢測出來(lái)才放出去。
那么殺毒軟件豈不是沒(méi)用了么？不是。各種殺毒軟件就像各種避孕措施一樣，能幫你解決大多數的麻煩，但不能指望它百分之百可靠。
8、那些人為什么要寫(xiě)木馬？為什么要利用漏洞“掛馬”？
是為了錢(qián)。這一點(diǎn)，我在“木秀于林，風(fēng)必摧之”一文中說(shuō)的很清楚，大家看看里面那張圖就明白了：
http://hi.baidu.com/tombkeeper/blog/item/f6576a31e20f0319ebc4af94.htm
9、你是不是騰訊的托兒？
我在《支付寶控件漏洞——到底是誰(shuí)在撒謊？》中
提到“除了騰訊，國內的公司我還沒(méi)見(jiàn)到幾家愿意誠實(shí)地發(fā)布自己產(chǎn)品安全公告的”，于是有人就認為我是騰訊的托兒。記得魯迅先生當年曾被人誣陷“拿盧布”，
今天如果有人說(shuō)我“拿Q幣”其實(shí)還真是件挺榮幸的事情?？上也坏珱](méi)有拿，而且每個(gè)月還給騰訊貢獻10塊錢(qián)的會(huì )員費。由于中國人“家丑不可外揚”的傳統，
能做到“誠實(shí)地發(fā)布自己產(chǎn)品安全公告”的企業(yè)在國內就真的是鳳毛鱗角，而騰訊是其中之一，這個(gè)事實(shí)是無(wú)法否認的：
http://security.qq.com/affiche/
10、漏洞這么有害，為什么要公布，為什么要發(fā)公告？這不是害人么？
這一點(diǎn)是安全研究人員最容易被人誤解的地方。
漏洞并不因為不公布就不存在。如果漏洞沒(méi)有被一個(gè)正直的安全研究人員發(fā)現，而是被那些“掛馬”的人發(fā)現，他們的確不會(huì )公布，他們會(huì )偷偷用來(lái)往用戶(hù)的機器上安裝木馬，盜取賬號。如果真的發(fā)生這種事，無(wú)論對支付寶用戶(hù)，還是對阿里巴巴，都是災難性的。
而如果軟件提供者不發(fā)布安全公告而只是偷偷升級，那么會(huì )有很多用戶(hù)不知道自己正在用的軟件有問(wèn)題，而并不去注意自己是否升級了。
大家可以想象一下如果微軟從不發(fā)布安全公告會(huì )是怎樣的情況。
這次支付寶控件的漏洞并不是什么太難發(fā)現的問(wèn)題，而是非常容易被找出來(lái)的。居然在接近一年的時(shí)間里沒(méi)有被壞人首先發(fā)現并利用（這一點(diǎn)我并不確定），實(shí)在是不幸中的萬(wàn)幸。
11、你為什么要寫(xiě)這些文章？你和阿里巴巴有仇么？是為了出名么？
完全沒(méi)有。我既是騰訊的用戶(hù)，也是支付寶的用戶(hù)。我對阿里巴巴取得的成功十分敬仰，對馬云先生的智慧和商業(yè)才能十分敬佩。
雖然我是一個(gè)民族主義者，但實(shí)事求是地說(shuō)，日本人有一大優(yōu)點(diǎn)，就是人人都有很強的職業(yè)榮譽(yù)感。即使只是一個(gè)看鍋爐的，也會(huì )努力做最好的鍋爐工，并且因為自己的工作讓大家得到了溫暖，會(huì )很自豪。并且不容這種職業(yè)尊嚴受到冒犯。
作為安全研究人員，我們也有自己的榮譽(yù)和尊嚴。這一點(diǎn)，并不指望所有人都能理解。但是我們既沒(méi)有去黑站掛馬，也沒(méi)有寫(xiě)病毒偷賬號，而是用無(wú)數個(gè)不眠 之夜去探索未知，去幫助完善這個(gè)未來(lái)大家都會(huì )生活在其中CyberSpace，我們不怕孤獨和默默無(wú)聞，但所得到的至少不應該是誣蔑和責難。雖然阿里巴巴 在這件事情的處理上一直采取不正確的態(tài)度，但是如果沒(méi)有搞出“專(zhuān)家檢測結果顯示支付寶安全”那一套，赤裸裸地向安全研究社區挑釁，我也許不會(huì )用這種激烈的 方式來(lái)表達我的態(tài)度。
以前看X檔案，Fox Mulder說(shuō)的“The truth is out there.”這句話(huà)給我留下了十分深刻的印象。也成為我的一個(gè)重要 處世原則。我想，既然我們這些人湊巧懂點(diǎn)技術(shù)，那么揭穿那些謊言和偽裝，讓不明就里的人們看到事實(shí)真相，就是我們的責任和義務(wù)，這也是hacker精神中 很重要的一部分。
所以早在2004年7月20日，我曾經(jīng)署名“2f4f587a80c2dbbd870a46481b2b1882”，寫(xiě)了“誰(shuí)控制了我們的瀏覽器？”一文（這篇文章流傳甚廣，用google搜上面這串值就能找到），揭露當時(shí)剛剛出現的運營(yíng)商級別的瀏覽器劫持行為。（文章末尾有5個(gè)MD5，第一個(gè)對應的MyName是hellokitty，MyCount是1999。）如果為了出名，當時(shí)就不會(huì )匿名了。
安全研究的圈子很小，大伙基本上互相都認識，不存在出名不出名這回事。如果要在安全圈子之外出名，最好的辦法是在長(cháng)安街裸奔，搞行為藝術(shù)，保證上新浪首頁(yè)。寫(xiě)這種文章是出不了名的。
12、什么是黑客？你說(shuō)的hacker精神是什么？
就像天主教和洪秀全的“拜上帝會(huì )”一樣，很多東西到了中國之后都會(huì )變味兒。所以我寧可認為hacker和黑客是兩個(gè)意義完全不同的詞，就像我認為Expert和“專(zhuān)家”是兩個(gè)完全不同的詞一樣。
在中國媒體和老百姓的概念里，黑客這個(gè)詞指的是那些修改別人主頁(yè)的人，是偷QQ號的人，是“少年黑客”，“天才少年黑客”，“17歲天才少年黑客”，“碩士黑客”等等這些可笑的，充滿(mǎn)噱頭的東西。
本來(lái)“小姐”是個(gè)挺好的詞兒，譬如說(shuō)“鶯鶯小姐”、“香港小姐”，這些都是很美好的事物。后來(lái)人們把一些跟“小姐”兩個(gè)字完全扯不上關(guān)系的的人也稱(chēng) 為“小姐”，漸漸小姐就變味了。以前我們去飯店吃飯，吃完了，就喊“服務(wù)員，結帳”，后來(lái)喊“小姐，買(mǎi)單”，而現在又變回了喊“服務(wù)員”。為什么不喊“小 姐”了呢，因為小姐的詞義變化了。要尊重別人，不能喊“小姐”。
所以，要尊重別人，不能亂喊人黑客。
如果你想知道什么是hacker，想了解hacker的歷史，我推薦這三份文檔：
http://www.aka.org.cn/Docs/hacker-howto_2001.html
http://www.redhat.com/docs/manuals/enterprise/RHEL-4-Manual/zh_cn/security-guide/ch-sgs-ov.html
http://www.redhat.com/docs/manuals/enterprise/RHEL-4-Manual/zh_cn/security-guide/ch-risk.html
（再次聲明：我不是redhat的托兒，沒(méi)有推銷(xiāo)Red Hat Enterprise Linux的意思。）
聯(lián)系客服
