诈个尸，看看有多少人还记得这个 Blog ，偶尔还在访问的呢？现在都是留个念想了。

来自：Freebuf
Internet Storm Center安全专家近日发表一篇报告，报告中称在linux系统中发现基于ssh服务的rootkit，使用RPM安装的系统会受到影响。
报告中指出目前rootkit支持三个命令：Xver、XCAT、Xbnd，第一个命令打印rootkit版本，xCAT打印数据在会话中，并传回给攻击者，Xbnd命令设置一个监听器。

该rootkit会替换服务器中的libkeyutils库，主要功能包括收集用户凭据，除账号密码之外，还可以收集RSA和DSA的私有密钥。通过以下命令可以查看服务器是否中招。

Blog 的模板用了好久了，一直用的是蓝色的基调，看的时间长了，也很难受····

今天早上闲的无聊，找了一些模板，都不满足自己的要求，无奈之下，只有将之前的模板改了下配色，现在看起来，还差不多，还有地方需要微调，目前暂时先这样吧···

元芳最近很忙，我也很忙····

忙工作，忙项目，各种忙··一晃一年都过去了 80% ，感觉好像什么事情都未做成，博客也很少打理了，以前还经常发发微博，现在微博也发的少了···

今年实施了很多项目，也做了很多项目的售前，在和客户的沟通中，感觉现在的客户的安全意识比以前高多了，这应归功于各个安全厂商不停的给客户培训的结果。

完美世界招聘信息安全技术工程师，要求如下：


岗位名称：信息安全技术工程师

岗位职责：

1、 负责公司web网站，应用系统的安全测试和加固；

来自：FreebuF

当连接MariaDB/MySQL时，输入的密码会与期望的正确密码比较，由于不正确的处理，会导致即便是memcmp()返回一个非零值，也会使MySQL认为两个密码是相同的。
也就是说只要知道用户名，不断尝试就能够直接登入SQL数据库。按照公告说法大约256次就能够蒙对一次。而且漏洞利用工具已经出现。

受影响的产品：

2010年10月发生在伊朗核电站的"震网"（Stuxnet）病毒，为工业生产控制系统安全敲响了警钟。现在，国内外生产企业都把工业控制系统安全防护建设提上了日程。本文在对工业控制系统特点和面临的安全风险进行分析的基础上，提出了工业控制系统安全体系架构，并对实现工业控制系统安全的核心产品--启明星辰工控系统安全管理平台进行了说明。

一、工业控制系统安全分析

工业控制系统（Industrial Control Systems,ICS），是由各种自动化控制组件和实时数据采集、监测的过程控制组件共同构成。其组件包括数据采集与监控系统（SCADA）、分布式控制系统（DCS）、可编程逻辑控制器（PLC）、远程终端（RTU）、智能电子设备（IED），以及确保各组件通信的接口技术。

来源：CNCISA

   本人做项目经理工作多年，感到做这个工作最要紧的就是要明白什么是因地制宜、因势利导，只有最合适的，没有什么叫对的，什么叫错的，项目经理最忌讳的就是完美主义倾向，尤其是做技术人员出身的，喜欢寻找标准答案，耽误了工作进度，也迷茫了自己。以下是本人一些做项目的个人体会，写出来供大家指点，在讨论过程中共同提高水平。
项目开始阶段是一个最重要的阶段。项目经理在接手一个新项目的时候，首先要尽可能地多从各个方面了解项目的情况，如：
       1.这个项目是什么项目，具体大概做什么事情，是谁提出来的，目的是解决什么问题。在国内很多客户都很不成熟的情况下，千万不要根据项目的名称望文生义地去想象项目的目标。一个名为“办公自动化”的项目很有可能在你进场以后一个月才发现客户其实需要的是一个计算机生产管理辅助信息系统系统。前期了解情况的工作越详细，后面的惊讶就越少，项目的风险就越小。 　

    2011年的互联网信息安全攻击事件，除了常见的针对操作系统的漏洞攻击，针对金融机构的钓鱼网站攻击之外、还包括以日本索尼千万级用户和国内CSDN超过600万用户密码泄露为代表的针对互联网用户的安全事件。这些安全事件的发生，其本质也离不开对各种安全漏洞或者是0day漏洞的依赖，这也为安全漏洞的挖掘分析提供了参考。2012年，以基础设施的漏洞安全、云安全、社交网络的信息泄露、移动智能终端的安全以及APT高持续性攻击为代表的关键词汇，将成为信息安全领域的研究热点。

转一篇不错的文章，看了之后受益匪浅··

在IT圈里混了十多年，差不多八年的厂家技术管理工作，一直与客户进行技术沟通；无论是做网络，还是做安全，感触最多的还是作为售前工程师的时候，因为售前技术工作是介于销售与技术之间的职位，经常接触到各式各样的客户，对提高自身的沟通能力有很好的磨练。在其他行业里一般是技术工程师，也就是我们常说的售后工程师，就算在IT业内售前的职位也很特殊，既要有与客户沟通的技巧，也要有技术人员的细致与执着，实际上是技术型的销售角色。

售前工程师的任务就是让客户接受公司的技术解决方案，在招标的时候，技术标打出最高分。若是纯粹的技术比拼，工作就简单了，大家的产品放在一起测试，谁的好一目了然，但是客户采购IT产品，无论硬件还是软件都是为客户业务提供支持服务的，需要的不是产品本身，而是解决方案，说得明白些，就是怎样解决客户面临的问题，客户一般来说不是IT的专家，有些甚至连具体的需求也说不清楚，需要你的提炼与讲解。如何合理地选择产品组成方案，价格低、功能多、性能好、适合客户未来的发展，多数是靠售前对技术方案的理解与讲解。所以售前技术人员需要有销售般的沟通能力、技术的表达能力、紧急应对的反应能力……

在微博看到一篇不错的文章，转载下，给一些刚参加工作的朋友看。

  1，当时公司招了大批应届本科和研究生毕业的新新人类。平均年龄25岁。那个新的助理，是经过多次面试后，我亲自招回来的一个女孩。名牌大学本科毕业，聪明，性格活泼。私下里我得承认，我招她的一个很重要的原因，除了她在大学里优秀的表现之外，还因为她写了一手漂亮的字。女孩能写一手好字的不多，尤其像她，看起来长发飘飘，多么女性化的一个姑娘，一手字却写的铿锵倜傥，让我对她不由多了很多好感。 ­　　 ­
　　手把手的教。从工作流程到待人接物。她也学的快。很多工作一教就上手。一上手就熟练。跟各位同事也相处的颇融洽。我开始慢慢的给她一些协调的工作，各部门之间以及各分公司之间的业务联系和沟通让她尝试着去处理。 ­

    今天下午休息的时候，翻看博客，发现博客已经建立了 4 年多了，其实在此前我也有个 ASP + ACCESS 的博客，但时间长了之后，ACCESS 经常出现连接不上的情况，后来就转换到 BO-BLOG 的 PHP+MYSQL ，无奈现在 BO-BLOG 已基本不更新了，期间也想换，但是相信还是算了，自己还是蛮喜欢现在的 skin 风格的，简洁，所以大家可能发现，几年了一直没换，也有朋友问我，为什么不换？原因有2 个：1、太麻烦，懒得换 ；2、也找不到自己喜欢的，所以也就懒得换了，一直就这样。

   记得 07 年博客刚建立的时候，很激动，天天更新，随着自己工作的时间长了，渐渐也失去了那种激情，而且也懒得转别人的文章，现在只是自己有什么想法或者闲暇时，会自己上来写。我想我会一直保留这个博客，不会关闭，因为这里有我成长的记忆，有曾经的回忆，不管那些是开心的还是不开心的···这里还要感谢一直支持我 BLOG 的朋友们···经常会有新认识的朋友和我说，我经常访问你的blog 啦，不过最近怎么都不更新了···等等··我想说我不会忘记这里，一有空的时候，我会记得来这里更新···

刚翻看以前的 QQ 空间，转一篇自己喜欢的文章···

     每当夜深人静的时候，每当看到大家一起嬉笑的时候，总会不时的想起以前 的那段岁月——单调却也单纯，孤单却不孤寂。而今，行走于高楼林立的城市穿梭于成千上万的人流，不再孤单了，却更孤独了。

　　每当站在四通八达的大道上，看车飞驰而逝。看人匆忙而过，总会突然迷茫起来，想，路这么多，我到底走哪一条？曾经，当无路可走的时候，我反而看清楚了目标， 最终开路前往。而今，却因为有了选择而徘徊，因徘徊而渐失锐气，因锐气渐失而越加迷茫惘然。

最近部门在招人，我负责了筛选简历和面试，通过一段时间下来，并对比目前安全圈子内的现象，发现信息安全圈子存在人才泡沫的现象。

归功于黑客攻击事件的频频发生以及脱库牛的努力，信息安全的市场呈现了一片欣欣向荣的景象，证监会、银监会等监管机构隔三差五的就发布相关的安全通报或者安全要求，使得下面的企业对于信息安全的建设，有种如履薄冰的感觉，生怕出事，从而遭到上级的批评，进而影响自己的仕途，所以近两年来，各大企业，都在笼络信息安全方面的人才，并且将安全人才的薪资一加再加。这里我想很大一部分的原因是，信息安全市场人才本来就有限，但是人才的缺口却是很大的。前两年安全工程师找工作还不是那么容易，因为岗位有限，所以竞争还是比较激烈的，而近两年，安全市场被打开，各个企业在安全岗位上，都有很大的缺口，而有经验的人已经基本有了自己的合适的岗位，都是一个萝卜一个坑，都已占好了位置，那么这些企业在招人方面，通常会有两个选择，一是高薪挖其他公司的安全人才，二是招有潜力的安全人才进行培养，第一个选择的成功率不是太大，因为每个企业的薪酬制度基本已经固定，不会为了哪个人进行改变，何况你想挖的人，如果真有能力的话，在原先的单位，待遇也不会很低，所以要想挖过来，你开出的价钱很难具有竞争力，所以很多企业通常选择了第二个，就是招一些有点技术基础并且有培养潜力的人，但这样的人一般很难通过几轮面试就能判断出来的，而是需要后期工作中的表现才能判断，也许正是因为这个原因，很多企业在选择有培养潜力的人才时，出现失误，或者从个人的角度出发，公司当初承诺给个人的某些福利或者其他要求，没有达到，诸如此类的种种原因，导致目前信息安全市场人才流动频繁，从而造就了工资的节节攀升。

最近有点忙··忙着实施项目，忙着部门招人，忙着房子装修，忙着考试等等··一堆的事情···

发现自己要面对的东西越来越多，要学的东西更多，最近在微博看到一个评论，说做顾问的大概分为三种人：1、完全不懂，在客户面前瞎 JB 乱吹的；2、懂一点，然后抓住某个案例或者亮点不厌其烦的说多少次  3、学的越多，发现自己不足的地方就越多，反而不敢在用户面前乱说；

话说回来，做顾问的人，就是要对每一项技术或者是标准都要能够了解，不求非常精通，起码要知道是怎么回事。没有谁有那个精力去学所有的知识，也就不可能做到每一项技术或者标准你都能精通，但必须要了解，这也就是做甲方和做乙方的区别吧，在乙方做久了的人，再到甲方肯定会不适应，甲方需要的是单一技术的专家，而不是一个技术的万精油，同样在甲方做的时间长了的人，到乙方也会不习惯，会发现自己需要学习和关注的方面还有很多，而且如果你只会一门单一的技术，你在乙方的使用价值就有限，乙方需要的是全才，什么都要懂，但不一定都要精通。