by ·0评论

Linux作为网络服务器，特别是作为路由器和网关时，数据的采集和分析是必不可少的。所以，今天我们就来看看Linux中强大的网络数据采集分析工具——TcpDump。

顾名思义，TcpDump可以将网络中传送的数据包的“头”完全截获下来提供分析。它支持针对网络层、协议、主机、网络或端口的过滤，并提供and、or、not等逻辑语句来帮助你去掉无用的信息。

和Linux终端状态下的其他软件一样，TcpDump也是依靠参数来工作，本文将结合实例来说明。

数据过滤
不带任何参数的TcpDump将搜索系统中所有的网络接口，并显示它截获的所有数据，这些数据对我们不一定全都需要，而且数据太多不利于分析。所以，我们应当先想好需要哪些数据，TcpDump提供以下参数供我们选择数据：

-b 在数据-链路层上选择协议，包括ip、arp、rarp、ipx都是这一层的。

例如：tcpdump -b arp 将只显示网络中的arp即地址转换协议信息。

-i 选择过滤的网络接口，如果是作为路由器至少有两个网络接口，通过这个选项，就可以只过滤指定的接口上通过的数据。例如：

tcpdump -i eth0 只显示通过eth0接口上的所有报头。

src、dst、port、host、net、ether、gateway这几个选项又分别包含src、dst 、port、host、net、ehost等附加选项。他们用来分辨数据包的来源和去向，src host 192.168.0.1指定源主机IP地址是192.168.0.1，dst net 192.168.0.0/24指定目标是网络192.168.0.0。以此类推，host是与其指定主机相关无论它是源还是目的，net是与其指定网络相关的，ether后面跟的不是IP地址而是物理地址，而gateway则用于网关主机。可能有点复杂，看下面例子就知道了：

tcpdump src host 192.168.0.1 and dst net 192.168.0.0/24

过滤的是源主机为192.168.0.1与目的网络为192.168.0.0的报头。

tcpdump ether src 00:50:04:BA:9B and dst……

过滤源主机物理地址为XXX的报头（为什么ether src后面没有host或者net？物理地址当然不可能有网络喽）。

Tcpdump src host 192.168.0.1 and dst port not telnet

过滤源主机192.168.0.1和目的端口不是telnet的报头。

ip icmp arp rarp 和 tcp、udp、icmp这些选项等都要放到第一个参数的位置，用来过滤数据报的类型。例如：

tcpdump ip src……

只过滤数据-链路层上的IP报头。

tcpdump udp and src host 192.168.0.1

只过滤源主机192.168.0.1的所有udp报头。

数据显示/输入输出
TcpDump提供了足够的参数来让我们选择如何处理得到的数据，如下所示：

-l 可以将数据重定向。

如tcpdump -l ＞tcpcap.txt将得到的数据存入tcpcap.txt文件中。

-n 不进行IP地址到主机名的转换。

如果不使用这一项，当系统中存在某一主机的主机名时，TcpDump会把IP地址转换为主机名显示，就像这样：eth0 ＜ ntc9.1165＞ router.domain.net.telnet，使用-n后变成了：eth0 ＜ 192.168.0.9.1165 ＞ 192.168.0.1.telnet。

-nn 不进行端口名称的转换。

上面这条信息使用-nn后就变成了：eth0 ＜ ntc9.1165 ＞ router.domain.net.23。

-N 不打印出默认的域名。

还是这条信息-N 后就是：eth0 ＜ ntc9.1165 ＞ router.telnet。

-O 不进行匹配代码的优化。
-t 不打印UNIX时间戳，也就是不显示时间。
-tt 打印原始的、未格式化过的时间。
-v 详细的输出，也就比普通的多了个TTL和服务类型。

好了，说了这么多，是不是觉得TcpDump这个工具很好？它还有好多功能限于篇幅不能一一介绍，多读一读“帮助”都会有很大的收获，这也算是进入Linux世界的一条捷径吧

by ·0评论

AMD Socket F也就是Socket 1207，将拥有双核心甚至是四核心架构。

　　与现时大部分AMD处理器所不同的是，插槽变成了LGA封装模式，就像其对手采用的LGA 775一样。而下面就是其一些大概曝光图，由于图片较少，准确性无法保证.

by ·一条评论

“这儿个事儿让大家知道以后，是不这人就活不了了? 就已经是他妈身败名裂了，有这么狠嘛? …”

“你把你的整个性格你调整好了，让我也放心了，就好办了；你现在是不让我放心，而且本来这个事儿是个很.美.好.的事儿，你现在非要把他当成个丑闻，要把我弄身败名裂… ”

“我现在敢随便和卖淫女接触吗? 你讲话，不是我都有艾滋病了吗? 那不是找死吗? 你说对不对? 我能做那种事儿吗? ”

“另外，你说我周围有十个八个的，在哪儿呢? 我要有十个八个的，我当时找你干嘛呀! 我忙得过来么? 我就是一天见一个，也得十天才转一圈才! ”

“所以你啊，胡说八道的时候，自己就不考虑，我呢，也愿意找那么一个这个这个的人， 有那么一种经常性的来往，对我也好；这你也都知道，一个月之间不流那么个一两次，对身体也不好…”

“然后你就骂起来了，就发贴子了，上网了，找传媒了，大家都来参观呀，这是谁谁的房啊，我他妈就住这儿了，他就在这里跟.我.干.啊! 你不是作不出来…你今天笑是因为此刻你还能够站回到你原来的那个正常的状态但是你经常会做一些傻事，而这傻事呢，既伤害了你自己，也伤害了我”

“我就跟你讲到这儿，你愿意听听，不愿意听拉到。我是说实话哦，你说一个房子，说老实话，饶颖，你说阿，分期付款有那么难么……”

“我控制不了你，我要是能控制你，我也不会这么长时间采取这样的一种战略；我要是控制的了你，说老实话，你说说难道我不愿意跟女人作作这种事儿吗? 我作得时候难道我不舒服吗? 你那个小B又挺紧的…”

古文版：

纵使闻于朝野，其人宁死诸乎？ 其既败身而裂名诸乎？ 嗟，吾毋信其有！

唯君之稳性而淡情者，吾心之得宽也， 既是， 则悬铃自解。况春宵之美，何故害以丑闻云？遑论其陷我于不白..心内悻悻焉

其余尚有畅游青楼之胆乎？吾之罹柳疾病未？然则, 其于自死何异也? 博雅如君，其与我哉？

更兼君诬我拥美十、九，但十、九者，必日不遐应，岂有辱君青眼故事？ 纵使日见一美。与君欢须十日隔，如此轮复，其情可堪？

故云, 信口言则易，其不堪细考也. 余固纵风流性, 爱红袖之香, 此非淫, 乃阴阳之道使然也. 况妇人如君者, 若无 一二旬月之泄, 阴气自下塞, 不利于肾也.

然君诟我, 胁以广播床柢事, 更指吾田宅,败我清名,谤我奸荒. 云: 于是地云雨尔. 此非君之不能为也. 如今君启齿笑, 尚可思如常故, 然时嗔戾夺智, 害于彼此, 鲁钝不化也.

今吾缄口也, 君自行其便. 诚如诚如, 我言不菲. 老瓦旧牖,尺寸按揭难如登天乎?

吾汝弗能提命, 使然, 诚不取此十年忍；倘得汝驱使, 宁舍锦衾之乐乎? 宁曰不己悦乎? 卿之户, 紧也.

BBS版

本来删贴这个事儿是个很美好的事儿，你们现在非要把他当成个丑闻，要把斑竹弄得身败名裂…

你们把整个性格调整好了，让斑竹也放心了，就好办了；你们现在是不让斑竹放心，而且这儿个事儿让大家知道以后，是不这斑竹就活不了了? 就已经是***身败名裂了，有这么狠嘛？？

斑竹现在敢随便封人吗? 你讲话，不是都有仲裁了吗? 那不是找死吗? 你说对不对? 斑竹能做那种事儿吗?

另外，你们说这么多帖子，斑竹自己忙能忙得过来么? 就是一秒钟看一个，也得一个小时转一圈儿才!

我知道，你们也愿意找那么一个知根知底的人，让他当斑竹，有那么一种经常性的来往，对自己也好；这大家也都知道，一个月之间不吵那么个一两次，对身体也不好。

然后你们就骂起来了，就发贴子了，上网了，找传媒了，大家都来参观呀，这是谁谁的版区啊，我***就赖这儿了，他就在这里删我的文了啊! 你们不是作不出来耶…

斑竹控制不了你，斑竹要是能控制你，斑竹也不会这么长时间采取这样的一种战略；斑竹要是控制的了你，说老实话，你说说难道斑竹不愿意做做这种事儿吗? 斑竹做得时候难道不舒服吗? 你那个小ID又挺俊俏的…

中国队V.S.巴林队版

“揭幕战打平这个事儿让社会知道以后，是不是中国队就活不了了? 中国队就已经是TMD身败名裂了，有这么狠嘛? …”

“你们这些球迷把你们的整个性格你调整好了，让我们中国队放心了，就好办了；你们这些球迷现在是不让我们放心，而且本来中国队参加亚洲杯是个很美好的事儿，你们现在非要把他当成个丑闻，要把中国队弄身败名裂… ”

“中国队队员现在敢随便就把对手赢了吗? 你们讲话，不是说我们“阳痿”了吗? 阳痿就不能赢球，否则违背了球迷和媒体的预测赢了巴林，那不是找死吗? 你们说对不对? 中国队能做那种事儿吗? ”

“另外，你们说中国队失误有十次八次的，在哪儿呢? 我们要有十次八次的，我们还踢球干嘛呀! 我们忙得过来么? 我们就是一个人补位一次，也得除了守门员剩下十个人补一圈儿才! ”

“所以你们啊，胡说八道的时候，自己就不考虑，中国队呢，也愿意找那么一些这样二亚洲杯之间不选那么个一两个鱼腩对手打平获得一些遮羞的积分，对你们也不好…”

“然后你们就骂起来了，就发贴子了，上网了，找传媒了，大家都来参观呀，这是工人体育场啊，我他妈就在这儿看球啦，中国队就在这里打平啊! 你们不是作不出来耶…你们今天笑是因为此刻你们还能够站回到你们原来的那个正常的状态，但是你们经常会做一些傻事，而这傻事呢，既伤害了你们自己，也伤害了我们中国队”

“我们中国队就跟你们讲到这儿，你们愿意听听，不愿意听拉倒。中国队是说实话哦，你说一个亚洲杯，说老实话，你们说啊，踢一场比赛才5K出场费，有那么重要么……”

“中国队控制不了巴林，中国队要是能控制巴林，也不会这么长时间采取这样的一种防守反击的战略；中国队要是控制的了巴林，说老实话，你说说难道中国队不愿意赢巴林吗? 赢球的时候难道中国队不舒服吗? 他们那个防线又逼得挺紧的…”

十面埋伏版

“《十面埋伏》不好看这个事儿让社会知道以后，是不是我们导演就活不了了? 导演就已经是TMD身败名裂了，有这么狠嘛? …”

　　　　“你们这些影迷把你们的整个性格你调整好了，让我们导演放心了，就好办了；你们这些影迷现在是不让我们放心，而且本来我们导演拍个电影儿是个很美好的事儿，你们现在非要把它当成个丑闻，要把我们导演弄身败名裂… ”

　　　　“我们导演现在敢随便就拍电影儿了吗? 你们讲话，不是说我们“白痴”了吗? 白痴了就不能拍出好电影，否则违背了“白痴只配拍白痴电影”的规律，那不是找死吗? 你们说对不对? 我们导演能做那种事儿吗? ”

　　　　“另外，你们说《十面埋伏》里头穿帮有十次八次的，在哪儿呢? 我们要有十次八次的，我们还拍电影干嘛呀! 我们忙得过来么? 我们就是一场戏穿帮一次，也得十场戏穿帮一圈儿才! ”

　　　　“所以你们啊，胡说八道的时候，自己就不考虑，我们导演呢，也愿意找那么一些不知所云的题材，有那么一种经常性的尝试，对导演也好；这你们也都知道，一场电影里要是没有那么一次两次的儿童不宜镜头，你们也不乐意看…”

　　　　“然后你们就骂起来了，就发贴子了，上网了，找传媒了，大家都来参观呀，这就是炒作的沸沸扬扬的《十面埋伏》，我他妈就在这儿说啦，我们导演就乐意这么拍电影啊! 你们不是作不出来耶…你们今天笑是因为此刻你们还能够站回到你们原来的那个正常的状态，但是你们经常会做一些傻事，而这傻事呢，既伤害了你们自己，也伤害了我们导演”

　　　　“我们导演今天就跟你们讲到这儿，你们愿意听听，不愿意听拉TM倒。我们导演是说实话哦，你说一个破TM电影，说老实话，你们说啊，一张票才不过60块钱，有那么贵么……”

　　　　“我们导演控制不了你们影迷，我们导演要是能控制你们影迷，也不会这么长时间老伸着脖子挨你们的骂了；我们导演要是控制的了你们影迷，说老实话，你说说难道我们导演不愿意拍出又好看票房又好的电影儿吗?你们影迷一边儿夸我们导演一边掏钱买票的时候难道我们导演不舒服吗? 你们的那个小钱包又捂得挺紧的…”

本来<十面埋伏>这片子是个很美好的片子，你们现在非要把它说成个烂片，要把我张艺谋弄得身败名裂…
　　
　　　　你们把整个性格调整好了，让我张艺谋也放心了，就好办了；你们现在是不让我放心，而且这个事儿让大家知道以后，是不是这我就活不了了? 就已经是TMD身败名裂了，有这么狠吗？
　　
　　 我现在敢随便拍片吗? 你讲话，我都在骗钱了吗? 那不是找死吗? 你说对不对? 我张艺谋能做那种事儿吗?
　　
　　　　另外，你们说我骗了10亿8亿，在哪儿呢？我有10亿8亿，我还骗钱干嘛，我忙得过来么? 就是一秒钟骗一块，也得几百年转一圈儿才! 我不是不想，是真的很想。你也愿意找那么一个会拍国产片的人，让他当导演，和洋人有那么一种经常性的来往，对我也好；你一个月之间不看我的片子吐个一两次，对身体也不好。
　　
　　　　然后你们就骂起来了，就散贴子了，上网了，找传媒了，大家都来看呀，这是谁谁拍的烂片啊，我TMD就在这骗钱了，他就在这里掏我的腰包啊! 你们不是作不出来耶…你这样笑，此刻你还回到原来的正常。你经常会做一些傻事。而这些傻事，既伤害了你自己也伤害了我。你愿意看就看，不愿意看就拉倒。说实话，一张电影票，几十块来钱有那么贵吗
　　
　　　　我控制不了你，我要是能控制你，我也不会这么长时间采取这样的一种战略；我要控制的了你，说老实话，你说说，难道我张艺谋不愿意掏你的腰包吗? 我掏得时候难道不舒服吗? 你那包包又挺紧的…

重庆交警篇》

“交警盖别墅这个事儿让社会知道以后，是不是交警队就活不了了? 交警队就已经是他.妈.身败名裂了，有这么狠嘛? …”
　　“你们这些市民把你们的整个性格你调整好了，让我们交警队放心了，就好办了；你们这些市民现在是不让我们放心，而且本来交警队收费是个很美好的事儿，你们现在非要把他当成个丑闻，要把交警队弄身败名裂… ”
　
　　“交警队领导现在敢随便和你们市民和新闻媒体接触吗? 你们讲话，不是说我们乱收费了吗? 那不是找死吗? 你们说对不对? 交警队能做那种事儿吗? ”
　　
　　“另外，你们说交警队乱罚款有十项八项的，在哪儿呢? 我们要有十项八项的，我们当时还收超载费干嘛呀! 我们忙得过来么? 我们就是一天收一项，也得十天才收一圈儿才! ”
　　
　　“所以你们啊，胡说八道的时候，自己就不考虑，交警队呢，也愿意找那么一些这样的司机，有那么一种经常性的收费，对交警队也好；这你们也都知道，一个月之间不收那么个一两次费，对你们也不好…”
　　
　　“然后你们就骂起来了，就发贴子了，上网了，找传媒了，大家都来参观呀，这是哪个交警队啊，我他妈就在这儿盖别墅，交警队就在这里乱收费啊! 你们不是作不出来耶…你们今天笑是因为此刻你们还能够站回到你们原来的那个正常的状态，但是你们经常会做一些傻事，而这傻事呢，既伤害了你们自己，也伤害了我们交警队”
　　
　　“交警队就跟你们讲到这儿，你们愿意听听，不愿意听拉倒。交警队是说实话哦，你说一个罚款，说老实话，你们说啊，跑一趟才罚一千，有那么难么……”
　　
　　“交警队控制不了你们，交警队要是能控制你们，也不会这么长时间采取这样的一种战略；交警队要是控制的了你，说老实话，你说说难道交警队不愿意每天罚上几万块钱? 罚钱的时候难道交警队不舒服吗? 你们那个小钱包又捂挺紧的…”

倪萍说她会煽情，朱军笑了。 朱军说他有人气，王小丫笑了。 王小丫说她长得高，沈冰笑了。 沈冰说她人漂亮，曹颖笑了。 曹颖说她喜欢拍电影，程前笑了。 程前说他挺活泼，李咏笑了。 李咏说他嘴巴大，韩乔生笑了。 韩乔生说他会评球，黄健翔笑了。 黄健翔说他挺幽默，崔永元笑了。 崔永元说他嗓子好，赵忠祥笑了。 赵忠祥说他没干过，全国人民都笑了。

医院和病人对话篇

“治疗效果不好这儿个事儿让社会知道以后，是不是这医院就活不了了? 医院就已经是他.妈.身败名裂了，有那么狠嘛? …”
　“你们这些病人把你们的整个性格你调整好了，让我们医院放心了，就好办了；你们这些病人现在是不让我们放心，而且本来不退药费这个事儿是个很美好的事儿，你们现在非要把他当成个丑闻，要把医院弄得身败名裂… ”
“医院现在敢随便和新闻媒体接触吗? 你们病人讲话，不是说我们医院欺诈了吗? 那不是找死
吗? 你们说对不对? 医院能做那种事儿吗? ”
“另外，你们说医院乱收费有十项八项的，在哪儿呢? 我们要有十项八项的，我们当时还收住院押金干嘛呀! 我们忙得过来么? 我们就是一天收一项，也得十天才收一圈儿才! ”
“所以你们媒体啊，胡说八道的时候，自己就不考虑，医院呢，也不是不想，确实是，真的很想，也愿意找那么一些,知根知底的媒体，有那么一种经常性的来往，对医院也好；我们也都知道，你们媒体一个月之间不胡说那么个一两次，对你们媒体也不好…”
“然后你们病人就骂起来了，就发贴子了，上网了，找传媒了，大家都来参观呀，这是哪所哪所医院啊，我他妈就在这儿住院了，医院就在这里搞欺诈啊! 你们不是作不出来耶…你们今天笑是因为此刻你们还能够站回到你们原来的那个正常的状态，但是你们经常会做一些傻事，而这傻事呢，既伤害了你们自己，也伤害了我们医院”
“我们医院就跟你们病人讲到这儿，你们愿意听听，不愿意听拉TM倒。我是说实话啊，你说一个住院费，病人们啊，你们说说，分期付款有那么难么……”
“医院控制不了你们，医院要是能控制你们，医院也不会这么长时间采取这样的一种战略；医院要是控制的了你，说老实话，难道医院不愿意跟你们病人做做买卖吗? 医院给病人治好了病难道医院不舒服吗? 你们病人那些个小日子过得又挺紧的…”

开发商和业主传媒对话篇

“面积缩水这儿个事儿让社会知道以后，是不是这开发商就活不了了? 开发商就已经是他.妈.身败名裂了，有那么狠嘛? …”
　　
　　
　　“你们这些业主把你们的整个性格你调整好了，让我们开发商放心了，就好办了；你们这些业主现在是不让我们放心，而且本来不退订金这个事儿是个很美好的事儿，你们现在非要把他当成个丑闻，要把开发商弄身败名裂… ”
　　
　　
　　“开发商现在敢随便和新闻媒体接触吗? 你们业主讲话，不是说我们开发商欺诈了吗? 那不是找死吗? 你们说对不对? 开发商能做那种事儿吗? ”
　　
　　“另外，你们说开发商乱收费有十项八项的，在哪儿呢? 我们要有十项八项的，我们当时还收订金干嘛呀! 我们忙得过来么? 我们就是一天收一项，也得十天才收一圈儿才! ”
　　
　　
　　“所以你们媒体啊，胡说八道的时候，自己就不考虑，开发商呢，也不是不想，确实是，真的很想，也愿意找那么一些,知根知底的媒体，有那么一种经常性的来往，对开发商也好；我们也都知道，你们媒体一个月之间不胡说那么个一两次，对你们媒体也不好…”
　　
　　“然后你们业主就骂起来了，就发贴子了，上网了，找传媒了，大家都来参观呀，这是哪所哪所楼盘啊，我他妈就在这儿住了，开发商就在这里搞欺诈啊! 你们不是作不出来耶…你们今天笑是因为此刻你们还能够站回到你们原来的那个正常的状态，但是你们经常会做一些傻事，而这傻事呢，既伤害了你们自己，也伤害了我们开发商”
　　
　　
　　“我们开发商就跟你们业主讲到这儿，你们愿意听听，不愿意听拉TM倒。我是说实话啊，你说一个房子，业主们啊，你们说说，分期付款有那么难么……”
　　
　　
　　
　　“开发商控制不了你们，开发商要是能控制你们，开发商也不会这么长时间采取这样的一种战略；开发商要是控制的了你，说老实话，难道开发商不愿意跟你们消费者做做买卖吗? 开发商卖劣质楼盘的时候难道开发商不舒服吗? 你们业主那些个小日子过得又挺紧的…”

《大腕儿》录音版

一定得挑最有影响的名人，
勾引**台的播音员，
要录就得录最让人震撼的声音。
电话直接打他们家去，
时间最少也得俩小时，
什么丫的啊，tmd啊，小B啊，
能说的全勾引他说出来。
电话带录音功能，里边有磁带，
旁边蹲一个小报记者，
戴眼镜，特流氓那种，
录音一抖搂出来，甭管有事儿没事儿见人就说：
这是咱哥们儿披露的！
一口地道的北京痞子腔，
倍儿有面子。
再跟他打场官司，
律师用不怕死的，
一次光诉讼费就得好些钱。
再声称自己有他的精液，
二十四小时等着机会抛出来，
就是一个字儿：狠！
光DNA测试就得花个万八千的。
录音里不是骂人就是调情，
你要是想听《动物世界》啊，
你都不好意思张嘴！
你说这样的录音，我能敲他多少钱？
——我觉得怎么着也得500块钱吧
500？那是成本，
1K块起！
你别嫌贵，还不商量，
你得研究名人的心理，
不要脸面嘴硬到底的人，
根本不在乎再多丢两次脸，
什么叫成功人士，你知道吗？
成功人士就是干什么事儿
都干最丢人的，不干最明智的。
所以，我们傍名人的口号儿就是：
不求最爽，但求丢人！

《录音》大腕儿版

“这儿个事儿你给改编成《大腕儿》以后，是不这人就活不了了? 就已经是身败名裂了?有
那么狠嘛? …”

“你把你的整个性格你调整好了再乱改，让我放心了就好办了；你现在是不让我放心，而且
本来这个事儿是个很美好的事儿，你现在非要把他当成个丑闻，要把我弄身败名裂… ”

“我现在敢随便和你接触吗? 医生讲话，不是你都有精神病了吗? 那不是找倒霉吗? 你说
对不对? 我能做那种事儿吗? ”

“另外，你说你能改成十个八个的版本，在哪儿呢? 你要能有十个八个的版本，我现在跟你
废话干嘛呀!我看得过来么? 我就是一天看一个，我十天转一圈儿呢才! ”

“所以你呀，胡编乱造的时候自己就不考虑，我呢，也愿意找个你这样的能人，对我的‘讲
话’有那么一种经常性的修改和完善，对我也好。我也都知道，你一个月之间不瞎说那么一
两次，对大脑也不好…”

“然后你就改出来了，就发贴子了，上网了，找传媒了，大家都来参观呀，这是谁谁的录音
的那个正常的状态但是你经常会做一些傻事，而这傻事呢，既伤害了你自己，也伤害了我”

“我就跟你讲到这儿，你愿意听听，不愿意听拉tm到。我是说实话哦，你说一个录音，说老
实话你说阿，改得有文采一点有那么难么……”

“我控制不了你，我要是能控制你，我也不会这么长时间采取这样的一个战略；我要是控
制的了你，说老实话，你说说难道我不愿意让你把我的讲话改编一下吗? 我看的时候难道我
不乐吗? 你那个小嘴儿又挺损的…”

中国移动版

“我们移动公司乱收费这事让社会知道以后，是不是我们公司就活不了了? 移动公司就已经是***身败名裂了，有这么狠嘛? …”

“你们这些用户把你们的整个性格你调整好了，让我们移动公司放心了，就好办了；你们这些用户现在是不让我们放心，而且本来我们移动公司收个费用什么的是个很美好的事儿，你们现在非要把它当成个丑闻，要把我们移动公司弄身败名裂… ”

“我们移动公司现在敢随便就乱收费吗? 你们讲话，不是说我们“白痴”了吗? 白痴了就不能收费了，否则违背了“白痴不能乱收费”的规律，那不是找死吗? 你们说对不对? 我们移动公司能做那种事儿吗? ”

“另外，你们说话费祥单里头乱收费有十次八次的，在哪儿呢? 我们要有十次八次的，我们还开公司干嘛呀! 我们忙得过来么? 我们就是一张详单多收费一次，也得十个月乱收一圈儿才! ”

“所以你们啊，胡说八道的时候，自己就不考虑，我们移动公司呢，也愿意找那么一些乱七八糟的项目，有那么一种经常性的尝试，对移动公司也好；这你们也都知道，一个用户话费里要是没有那么一次两次的乱收费项目，我们也不乐意收…”

“然后你们就骂起来了，就发贴子了，上网了，找传媒了，大家都来参观呀，这就是炒作的沸沸扬扬的移动公司乱收费啊，我他妈就在这儿说啦，我们移动公司就乐意这么乱收费啊! 我们不是作不出来耶…你们今天笑是因为此刻你们还能够站回到你们原来的那个正常的状态，但是你们经常会做一些傻事，而这傻事呢，既伤害了你们自己，也伤害了

“我们移动公司今天就跟你们讲到这儿，你们愿意听听，不愿意听拉倒。我们移动公司是说实话哦，你说一个破收费项目，说老实话，你们说啊，我们才多收你们几个亿来，有那么贵么……”

“我们移动公司控制不了你们用户，我们移动公司要是能控制你们用户，也不会这么长时间老伸着脖子挨你们的骂了；我们移动公司要是控制的了你们用户，说老实话，你说说难道我们移动公司不愿意推出既便宜又合理的收费项目么?你们用户一边儿夸我们移动公司网络好，计费准确，一边掏钱交费的时候难道我们移动公司不舒服吗? 你们的那个小钱包又捂得挺紧的…”

花25亿人民币搞“蛋白质计划”这件事要让大家知道了以后，是不是这人就活不了了？就已经是***身败名裂了？有那么狠吗？

你们（海外的）把自己的整个性格给调整好了，让我们（海内的）都放心了，就好办了。现在你们是不让我们放心。而且本来（这个“25亿”）是一件很美好的事，你们现在非要把它当成一个丑闻，要把我们弄身败名裂……

随便把经费分给有数的几个lab ，你们讲话——一些海归PI为了每年20万人民币的经费而发愁呢——那不是找死吗？你说对不对，我们能做那种事儿吗？

另外，你说我们手头上有十个八个的（大项目），在哪里呢？我们要能有十个八个的，我们当时找你（开这个会）干吗？我们忙的过来吗？我们就一年申请一个， 十年才转一圈儿呢才！所以你们呀，胡说八道的时候自己就不考虑。我们不是不想，真的是很想。你们也愿意找一些知根知底的人，有那么一种经常性的来往，对我们也好，这你都知道。你们一年不闹腾这么一两次对心理也不好……

然后你们就造起舆论来了，就上网了，发帖子了，打越洋电话了，找温家宝了。大家都来参观，这是那谁谁谁的论文，原文就在这里了，那谁谁谁就是这么抄的。你们不是做不出来吔！

你们今天笑，是因为此刻你们还回到原来的正常。你们经常会做一些傻事。而这些傻事，既伤害了你们自己也伤害了我们。你们愿意听，听，不愿意听，拉倒。说实话，给大项目批个钱，你说有你那么实在的吗？

我们控制不了你们。我们要是能控制你们，我们也不会这么长时间采取这样的一种战略（放你们出国）；我们要是控制得了你们，说老实话，你们说说难道大家不愿意搞搞大项目吗？ 难道大家拿了大（项目的）钱心里不舒服吗？评院士什么的逼得还挺紧的……

然后你们就造起舆论来了，就上网了，发帖子了，打越洋电话了，找温家宝了。大家都来参观，这是那谁谁谁的论文，原文就在这里了，那谁谁谁就是这么抄的。你们不是做不出来吔！

你们今天笑，是因为此刻你们还回到原来的正常。你们经常会做一些傻事。而这些傻事，既伤害了你们自己也伤害了我们。你们愿意听，听，不愿意听，拉倒。说实话，给大项目批个钱，你说有你那么实在的吗？

我们控制不了你们。我们要是能控制你们，我们也不会这么长时间采取这样的一种战略（放你们出国）；我们要是控制得了你们，说老实话，你们说说难道大家不愿意搞搞大项目吗？ 难道大家拿了大（项目的）钱心里不舒服吗？评院士什么的逼得还挺紧的……

金山 VS 瑞星

录音：

“这儿个事儿让大家知道以后，是不是我们金山这帮人就活不了了? 就已经是他.妈.的身败名裂了，有这
么狠嘛? …”

“我说瑞星你把你的整个性格你调整好了，让我也放心了，就好办了；你现在是不让我放心，而且
本来这个事儿是个很美好的事儿，你现在非要把他当成个丑闻，要把我金山弄身败名裂… ”

“我现在敢随便拿老病毒充数吗? 记得谁讲话说，干杀毒的没事儿也放放毒吗? 那不是找死吗? 你说
对不对? 俺们金山能做那种事儿吗? ”

“另外，你说我有十多个变种不能杀，在哪儿呢? 我要有十个八个不能杀的，我还炒作个屁呀!
我忙得过来么? 我就是一天杀一个，也得十天才能杀一圈儿才! ”

“所以瑞星啊，胡说八道的时候，自己就不考虑，我呢，也愿意找那么一个这个那个个的伴，
有那么一种经常性的互相炒作协商，对我也好；这你也都知道，你们瑞星一个月之间不炒作那么个一两
次，对企业也不好…”

“然后你就骂起来了，就发贴子了，上网了，找传媒了，大家都来参观呀，这是谁谁的杀毒软件
啊，我他妈就跟他对着来，就在这个病毒上跟.他.干.啊! 你不是作不出来业…
你今天笑是因为此刻你还能够站回到你原来的那个正常的状态但是你经常会做一些傻事，而这傻事呢，既伤
害了瑞星自己，也伤害了俺们毒霸…”

“我就跟你讲到这儿，你愿意听听，不愿意听拉到。我是说实话哦，你说就一个病毒，说老
实话，瑞星，你说阿，现在找个病毒炒作多他.妈.的难啊……”

“我们也不真想玩弄谁，我要是能随便玩弄你们瑞星，我也不会这么长时间采取这样的一种战略；说老实话，你说说难道我不愿意跟你们一起炒作这种事儿吗? 大家都炒作的时候难道你瑞星不舒服吗? 现在国外反病毒企业 B得又挺紧的…”

愤青爱国篇

“这儿个事儿让大家知道以后，是不这人就活不了了? 就已经是他妈的不爱国了，有这么狠嘛? …”

“你把你的整个爱国态度你调整好了，让我也放心了，就好办了；你现在是不让我放心，而且本来这个事儿是个很.美.好.的事儿，你现在非要把他当成个丑闻，要把理性爱国的弄身败名裂… ”

“我现在敢随便和激进爱国的接触吗? 你讲话，不是我都不爱国了吗? 那不是找死吗? 你说对不对? 我能做那种事儿吗? ”

“另外，你说我周围有十个八个激进爱国的，在哪儿呢? 我要能找到十个八个激进爱国的，我跟你扯你干嘛呀! 我忙得过来么? 我就是一天扯一个，也得十天才扯一圈才! ”

“所以你啊，胡说八道的时候，自己就不考虑，我呢，也愿意找那么一个这个这个的人， 有那么一种经常性的来往，对我也好；这你也都知道，一个月之间不随你激进上那么个一两次，对团结也没好处…”

“然后你就骂起来了，就发贴子了，上网了，找传媒了，大家都来参观呀，这是谁谁的帖子啊，我他妈就发这儿了，激进爱国的就在这里跟.我.发火.啊! 你不是作不出来…你今天笑是因为此刻你还能够站回到你原来的那个正常的状态但是你经常会做一些傻事，而这傻事呢，既伤害了你自己，也伤害了我”

“我就跟你讲到这儿，你愿意听听，不愿意听拉到。我是说实话哦，你说找一些激进爱国的，说老实话，某某某，“你说阿，理性爱国有那么难么……”

“我控制不了你，我要是能控制你，我也不会这么长时间采取这样的一种战略；我要是控制的了你，说老实话，你说说难道我不愿意作作爱国这种事儿吗? 我作得时候难道我没豪情万丈的感觉吗? 你B的又挺紧的…”

赵忠祥对政府网络扫黄的评论

“看毛网这儿个事儿让大家知道以后，是不这人就活不了了? 就已经是他妈身败名裂了，有这么狠嘛? …”
“你把你的整个价值观你调整好了，让我也放心了，就好办了；你现在是不让我放心，而且本来欣赏欣赏人体这个事儿是个很.美.好.的事儿，你现在非要把他当成个丑闻，要把我弄身败名裂…”

“我现在敢随便看毛片看情色文学吗? 你讲话，不是我都心理扭曲了吗? 那不是找死吗? 你说对不对? 我能做那种事儿吗? ”]

“另外，你说看毛片十个人中间就有七个八个性犯罪的，在哪儿呢? 他要有十个八个的，那还扫黄网干嘛呀! 警察忙得过来么? 他就是十个看毛片的里面有一个犯罪的，也得十几年才逮一圈儿才! ”

“你也愿意找那么一个好欺负的的人，经常性的抖一抖威风，对我也好；这我也都知道，你一年之间不抽那么一两次风，对威信也不好…”

“然后你就骂起来了，就发贴子了，上网了，找传媒了，大家都来参观呀，这是谁谁的网站啊，他他妈就在这儿上的网了，然后他出门就跟人.干.啊! 你不是作不出来.耶..”

“你控制不了人这天性，你要是能控制的了，你也不会这么长时间采取这样的一种战略；你能控制的了?说老实话，你说说难道你不愿意看看毛片儿什么的吗? 你想天天外面找小姐你找的起吗? 你们公务员那个小日子过的又挺紧的…”

“这么多贴子收集起来以后让大家看，是不这人就活不了了? 就已经是他.妈.身败名裂了，有这么狠嘛? …”

“你把整堆的贴子收集全了自己看着乐，让我也放心了，就好办了；你现在是不让我放心，而且本来这个事儿是个很.美.好.的事儿，你现在非要把它们全晾出来当成个丑闻，要把我弄身败名裂… ”

“我现在敢随便和人说话吗? 你讲话，不是我说的话都已经给改编得七荤八素了吗? 那不是找死吗? 你说对不对? 我能做那种事儿吗? ”

“另外，你说这儿收集了十个百个的，在哪儿呢? 你要有十个百个的，我就会经常来呀! 我主持完《人与自然》以后就立马过来。 我就是一天看一次，一次看一天! ”

“所以你啊，胡乱收集的时候，自己就不考虑，我呢，也愿意找那么一个我的经典语录集中地， 有那么一种经常性的重温过程，对我也好；这你也都知道，一个月之间不加入那么一二十个新贴，对这个版也不好…”

“然后你就动作起来了，就发贴子了，置顶了，找狐朋狗党们了，大家都来往上贴呀，这是谁谁的转载啊，这他妈就是本人的原创了，他们就在这里给.我.贴.啊! 你不是作不出来…你今天笑是因为此刻你还能够站回到你原来的那个正常的状态但是你经常会做一些傻事，而这傻事呢，既伤害了你自己，也伤害了我”

“我就跟你讲到这儿，你愿意听听，不愿意听拉到。我是说实话哦，你说一个贴子，说老实话，TK，你说阿，一下子全收集全捂着自己看有那么难么……”

“我控制不了你，我要是能控制你，我也不会这么长时间采取这样的一种战略；我要是控制的了你，说老实话，你说说难道我不愿意把我的名言遗臭万年下去吗? 我自己看的时候难道我不舒服吗? 你这个小贴子又挺瘪的…”

赵老师之抗日衫版

是不是抗日衫这事让大家知道以后，学校就不活了，就已经是TMD_身败名裂了，有这么狠吗？

你们学生啊，都把心态调整好了， 让我们领导也放心了，就好办了，你们现在是不让领导放心，本来抗日这是个很美好的事儿，你们非要把他弄成个活动，要把学校弄的神经熙熙。

我们现在哪敢随便让你们抗日啊，你们讲话，不是我们虐待学生吗？哪不是找骂吗？你们? 对不对，我们能做那事吗?

再说了，你说我们周围有十个八个的抗日学生，在哪儿呢? 要有十个八个的，我当时收抗日衫干嘛呀! 我忙得过来么? 我就是一天见一个，也得十天才转一圈儿才!

我也愿意找那么一个老实巴交的学生，有那么一种经常性的工作，对我也好；这我也都知道，一两个月就发动一次抗日活动，对评职称，升官也不好…

然后你们就骂起来了，就发贴子了，上网了，找传媒了，大家都来参观呀，这是作不出来耶，

我们领导控制不了你们，我们领导要是能控制你们，我们也不会这么长时间采取这样的一种战略；我们要是控制的了你们，说老实话，你们说说，难道博导不愿意让你们老老实实? 领导没啥事情做难道不舒服吗? 上头又逼的挺紧的

by ·0评论

-入侵者如何进入系统?
-入侵者为什么要侵入系统?
-入侵者如何获得口令?
-典型的入侵过程?
-一般的侵入类型有哪些?
-什么是漏洞(exploits)?
-什么是侦察(reconnaisance)[译注:原文如此，疑为reconnaissance?]
-什么是拒绝服务(DoS)?
-现在的攻击有多危险?
-哪里可以找到现在攻击行为的统计?
2.架构
-入侵如何被检测?
-NIDS如何分辨流入数据?
-检测到被攻击后NIDS作些什么?
-除了NIDS还有什么类似的措施?
-我应该在网络的什么地方安装NIDS?
-如何让IDS适合安全架构的其他部分?
-如何检测是否运行了IDS?
3.对策
-如何提高WinNT下的入侵检测和预防?
-如何提高Win95/98下的入侵检测和预防?
-如何提高Unix下的入侵检测和预防?
-如何提高Macintosh下的入侵检测和预防?
-如何提高企业的入侵检测和预防?
-怎样在企业内实现入侵检测?
-被攻击后我应该作什么?
-有人说他们从我这里被攻击,我应怎么作?
-如何收集足够多的关于入侵者的证据?
4.产品
-有哪些自由软件(freeware)或者共享软件(shareware)的入侵检测系统?
-有哪些商业的入侵检测系统?
-什么是”网络查找”(network grep)系统?
-入侵者使用什么工具进入我的系统?
-我应该关心的其他的入侵检测系统?
6.资源
-哪里可以发现新的系统漏洞的更新?
-其他的有关安全和入侵检测的资源?
-有哪些值得注意的站点?
7.IDS和防火墙(firewall)
-为什么有了防火墙还需要IDS?
-有了入侵检测，还需要防火墙么?
-IDS从哪里取得信息?防火墙么?
8.实现指南
-我应该问IDS提供商哪些问题?
-我如何在持续(on-going)的基础上维护系统?
-我如何制止不适当的网络浏览?
-我如何建立我自己的IDS(写代码)?
-NIDS合法么(既然这是一种窃听)?
-如何保护日志文件不被篡改证据?
9.NIDS的局限
-交换网络(固有的局限)
-资源局限
-NIDS攻击
-简单原因
-复杂原因
-工具
10.杂项
-哪些标准/互操作的努力
11.蜜罐和欺骗系统
-什么是蜜罐?
-蜜罐有哪些优点?
-蜜罐有哪些不利?
-如何设置我自己的蜜罐?
-蜜罐有哪些类型?
-建立一个可被攻击的系统的正反作用?
-有人们使用蜜罐的例子么?
-有哪些蜜罐的产品?
-什么是欺骗对策?

<正文>
1.介绍
1.1 什么是网络侵入检测系统(NIDS)?
入侵是指一些人(称为’黑客’, ‘骇客’)试图进入或者滥用你的系统。词语
‘滥用’的范围是很广泛的，可以包括从严厉的偷窃机密数据到一些次要的
事情，比如滥用你的电子邮件系统发垃圾邮件(虽然对我们中许多人呢，
这个是主要的)。

侵入检测系统(IDS)是用来检测这些入侵的系统。根据这个FAQ的打算，IDS
可以有如下的分类:

网络侵入检测系统(NIDS) 监视网线的数据包并试图是否有黑客/骇客试图
进入系统(或者进行拒绝服务攻击DoS)。一个典型的例子是一个系统观察
到一个目标主机的很多不同端口的大量TCP连接请求(SYN),来发现是否有人
正在进行TCP的端口扫描。一个NIDS可以运行在目标主机上观察他自己的
流量(通常集成在协议栈或服务本身),也可以运行在独立主机上观察整个
网络的流量(集线器, 路由器, 探测器[probe])。注意一个”网络”IDS监视
很多主机，然而其他的只是监视一个主机(他们所安装的)。

系统完整检验(SIV) 监视系统文件试图发现是否有侵入者更改了文件(可能
留个后门)。这样系统最著名的就是Tripwire。一个SIV也应该能监视其他
的组件，比如Windows的注册表和chron的配置, 目的是发现知名的迹象。
他也应该能检测到一个一般用户偶然获得root/Administrator级别权限。
这个领域更多的产品应该被认为是工具而不是一个系统：比如Tripwire
类似的工具检测临界系统组件的更改，却不能产生实时的告警。

日志文件监视器(LFM) 监视网络设备产生的日志文件。同NIDS类似，这些
系统通过对日志文件的模式匹配提出是否有入侵者攻击的建议。一个典型的
例子就是分析HTTP日志文件来发现入侵者试图一些知名漏洞(比如phf攻击)
实例有swatch。

诱骗系统(包括decoys,lures,fly-traps,honeypots) 还有一些伪服务，目
的是模拟一些知名 洞来诱陷黑客。参见 掌 统工具包中的例子:
http://www.all.net/dtk/。也可以简单的通过重新命名NT的系统管理员
帐号，然后建立一个无权限的虚帐号进行广泛的审计。在此文档后面有关于
诱骗系统的更多描述。同时参见
http://www.enteract.com/~lspitz/honeypot.html

其他
更多信息参见: http://www.icsa.net/idswhite/.

1.2 谁在滥用(misusing)系统?
有两个词来描述攻击者: 黑客和骇客。黑客是一个一般术语：喜欢进入东西
的人。良性的黑客是那些喜欢进入他/她自己的计算机发现如何工作的人。
恶意的黑客是那些喜欢进入其他人系统的人。良性黑客希望媒体能停止对
所有黑客的苛刻批评，使用骇客来做替代。很不幸，这个想法没有被接受
无论如何，在这个FAQ使用的词语是’入侵者’，来一般表示那些想要进入其
他人系统的人。

侵入者可以被分为两类:
外部的: 你网络外面的侵入者，或者可能攻击你的外部存在(乱改的web
服务器,通过e-mail服务器转来的垃圾邮件)。外部的侵入者可能来自
Internet, 拨号线, 物理介入, 或者从同你网络连接的伙伴网络(卖主,
客户, 中间商等)。
内部的: 合法使用你的互连网络的侵入者。包括滥用权力的人(比如社会
安全雇员因为不喜欢某人就将其标志为死亡)和模仿更改权力的人(比如使用
别人的终端)。一个常被引用的统计就是80%的安全问题同内部人有关。

有几种类型的侵入者: ‘快乐骑士'(Joy riders)因能而黑;’文化破坏者’
(Vandals)意于毁坏或更改Web页面; 奸商 (Profiteers)意于利益，如控制
系统勒索或者窃取数据得利。

1.3 入侵者如何进入系统?
入侵者进入系统的主要途径:

物理侵入: 如果一个侵入者对主机有物理进入权限。(比如他们能使用键盘
或者参与系统),应该可以进入。方法包括控制台特权一直到物理参与系统
并且移走磁盘(在另外的机器读/写)。甚至BIOS保护也很容易穿过的: 事实
上所有的BIOS都有后门口令。

系统侵入: 这类侵入表现为侵入者已经拥有在系统用户的较低权限。如果系
统没有打最新的漏洞补丁，就会给侵入者提供一个利用知名漏洞获得系统
管理员权限的机会。

远程侵入: 这类入侵指入侵者通过网络远程进入系统。侵入者从无特权开始
这种侵入方式包括多种形式。比如如果在他/她和受害主机之间有防火墙存在
侵入者就复杂得多。

应该注意网络侵入检测系统主要关心远程侵入。

1.4 入侵者为什么能侵入系统?
软件总是存在bug。系统管理员和开发人员永远无法发现和解决所有的可能
漏洞。侵入者只要发现一个漏洞就可以入侵系统。

1.4.1 软件bug

软件bug存在于服务器后台程序(Daemons), 客户程序, 操作系统, 网络
协议栈。软件bug可以分为如下几种:

缓冲区溢出: 我们读来的几乎所有的安全漏洞归于这一类。一个典型的
例子是一个开发人员设定了一个256字符长的缓冲区来存储用户名。
开发人员想当然的认为没有人的名字比这个长。但是黑客想，如果我
输入一个错误的很长的用户名会发生什么呢? 附加的字符会去哪里?
如果黑客恰巧做对了, 他们发送300个字符, 包括了被服务器执行的
代码，并且，他们进入了系统。黑客们通过几个方法发现这些bug。
首先，很多服务的源代码在网络上是公开的。黑客们经常读这些代码
寻找有缓冲区溢出问题的程序。第二，黑客们可以读程序本身来看是否
有问题存在，虽然读汇编代码输出真的很难。第三，黑客们会检查程序
所有的输入并且试图利用随机数据来溢出。如果程序崩溃了，就会存在
让黑客认真构造输入并且允许进入的机会。应该注意这个问题在C/C++
编写的程序中普遍存在，却很少出现在Java的程序当中。
意外结合: 程序通常被组合成很多层代码，包括了潜在的作为最下面
的操作系统层。侵入者常可以发送一些对于一层无意义的输入, 却对
其他层有意义。Web上最常见的控制用户输入的语言就是Perl。Perl写
的程序往往发送这些输入到其他的程序来进一步的处理。一个常见的
黑客技术就是输入字符串”|mail < /etc/passwd”。这个命令得以执行
是因为操作系统为这个输入启动一个附加的程序。然而操作系统解释
管道符”|”并且按语义启动”mail”程序，结果是将password文件寄给
侵入者。

未处理的输入: 很多程序写成处理有效的输入，很多程序员不知道
当一些人的输入不符合规格的后果。

竞争(Race)条件: 现在的许多系统是多任务/多线程的。这就意味着他
们可以同时运行多个程序。如果两个程序同时访问同一个数据就会发生
危险。想象A和B的两个程序，需要修改同一个文件。为了修改，每个
程序将文件读入内存，在内存中改变内容，然后将内存复制到文件。
当程序A将文件读入内存并且进行修改的时候，产生了一个竞争条件。
在A写文件前，程序B执行并且获得读写权限。现在程序A将内存复制到
文件中。因为程序A 在B修改前开始，所有B的修改丢失了。因为你必须
获得正确的执行顺序，所以竞争条件是非常稀有的。侵入者通常不得不
试上千次，然后获得权限，进入系统。

1.4.2 系统配置
系统配置bug可以分为如下类别:

缺省配置: 许多系统交付给客户的时候采用的缺省的易用的配置。不幸
的是，”易用”就意味着”易侵入”。几乎所有的交付给你的Unix和WinNT
系统可以很容易的被攻击。

懒惰的系统管理员: 惊人的数字的主机被配置成没有系统管理员口令。
这个是因为系统管理员太懒惰了以至于懒得马上配置一个，他们只是
希望系统最好能少麻烦的尽快启动运行。不幸，他们再也不回来设置一
个，让侵入者轻易的进来。侵入者最容易的事情就是先扫描所有的机器
找没有口令的主机。

生成的漏洞: 事实上所有的程序可能被配置成一个非安全的模式。有的
时候系统管理员将不注意的在主机上打开一个漏洞。许多系统管理员
手册都建议系统管理员关掉所有不是绝对必要的程序和服务来避免意外
漏洞。应该注意安全审计包通常可以发现这些漏洞并且提醒系统管理员

信任的关系: 侵入者常用”岛跳”的方法利用信任关系攻击网络。一个
互相信任主机的网络和他们最脆弱的连结一样安全。

1.4.3 口令解密
这个是一个特殊的部分。

真正脆弱的口令: 很多人使用他们自己的名字，孩子的名字，配偶的名
字，宠物的名字，或者小车的型号做口令。也有的用户使用”password”
或者简单到什么也没有。这给出了侵入者可以自己键入的不多与30个
可能性的列表。

字典攻击: 上述攻击失败后，侵入者开始试图”字典攻击”。这种方法,
侵入者利用程序尝试字典中的单词的每种可能。字典攻击可以利用重复
的登陆或者收集加密的口令并且试图同加密后的字典中单词匹配。侵入
者通常利用一个英语字典或其他语言的字典。他们也使用附加的类字典
数据库，比如名字和常用的口令。

强力攻击(Brute force attacks): 同字典攻击类似，侵入者可能尝试
所有的字符组合方式。一个4个由小写字母组成的口令可以在几分钟内
被破解。(大约的共有50万个可能的组合)一个较长的由大小写字母组成
的口令，包括数字和标点(10万亿种可能的组合)可以在一个月内破解，
如果你可以每秒试100万种组合。(实际上，一个单机每秒可以算上几千
次。)

1.4.4 监听不安全的通信
共享媒体: 传统的以太网中, 你只要在线上启动Sniffer就可以看到在
一个网段的所有通信。现在这个方法由于更多公司采用交换以太网而困
难。

服务器监听: 然而在一个交换的网络里，如果你可以在一个服务器(特
别是做路由器的)安装sniffer程序，你就可以可以使用得到的信息来
攻击客户主机和信任主机。比如，你可能不知道某个用户的口令，通过
在他登陆的时候监听Telnet会话，就可以得到他的口令。

远程监听: 大量的主机可以RMON，带有公共团体字符串。当带宽非常低
的时候(你不能监听所有的通信)，则呈现有趣的可能性。

1.4.5 设计的缺点
甚至当一个软件完全按照设计来实现的时候，仍然可能因为设计时的
bug带来被侵入。

TCP/IP 协议缺点: TCP/IP协议在我们有很多被黑经验前被设计。结果
有很多可能引起安全问题的设计缺点。一些例子比如smurf攻击,ICMP
不可达的连结, IP哄骗, 和SYN floods。最大的问题是IP协议本身非常
信任: 黑客自由的伪造和更改IP数据。IPSec被设计成解决了很多的
缺点，但是没有被广泛的应用。

Unix 设计缺点: 有很多Unix固有的缺点使得Unix系统频繁的被入侵。
主要问题是权限控制系统, 只有”root”才是系统管理员权限。结果:

1.5 入侵者如何获得口令?

入侵者利用如下方法获得口令:

明文监听: 一些协议(Telnet, FTP, 基本HTTP)使用明文的口令，意味着
他们在比如客户/服务器传输过程中不进行加密。入侵者可以使用一个协议
分析仪观察线缆上的这样的口令。不需要更多的努力；入侵者马上可以使用
这些口令来登陆。

密文监听: 许多协议，使用加密的口令。这种情况下，入侵者就需要执行
字典或者强力攻击口令来试图解密。应该注意到你不能发现入侵者的存在，
因为他/她是完全被动并且不用向线缆传送任何东西。口令破解在入侵者利
用自己的机器来鉴权的时候，不许要发送人和东西到线缆。

重放(Replay)攻击: 很多情况下，入侵者不必解密口令。他们可以使用加密
的格式来代替登陆系统。这通常需要重新编码客户端软件来使用加密的口令

口令文件窃取: 所有的用户数据库通常存储在磁盘上的一个单个文件。UNIX
下这个文件是/etc/passwd(或者这个文件的其他镜像),WinNT下，是SAM文件
每个方法，一旦入侵者取得了这个文件，他/她就能运行解密程序(如上面所
述)来发现文件中一些脆弱的密码。

观察: 一个传统的口令安全问题是口令必须长而且难猜(使得字典和强力攻
击不合理的困难)。然而，这样的口令往往很难记忆，所以用户就在某地写
下来。入侵者常可以搜寻一个个人办公桌来发现写到小字条上的口令(一般
在键盘下面)。入侵者也可以自己训练在用户后面观察口令的键入。

交际工程: 一个普通(且成功)的技巧是简单的打个电话给用户并且说 “hi,
我是MIS组的Bob, 我们正跟踪网络上的一些问题，并且出现在你的机器里。
你用的是什么口令呢?”许多用户会在这种情况下放弃他们的口令。(许多公
司有政策让用户永远不要给出他们的口令，甚至他们自己的MIS部门，但是
这个伎俩仍然成功。一个简单的解决方法就是MIS组打电话给6个月的雇员
问他们口令，然后批评他们的错误，这样他们就不会忘记了

1.6典型的入侵过程?

一个典型的入侵过程也许如下:

步骤1.外部侦查–
入侵者会尽可能地找出实际上并不直接给予他们的资讯.
他们常通过公开资讯或伪装成正常的使用者.
用这种方式的入侵者, 将使你实在难以察觉. 如你的
网络跟你的Domain Name 一起 注册的(例如 foobar.com),入侵者可以
使用’whois’这种查表(lookup)来尽量找出你的网路(network)资讯.

入侵者也许经由你的DNS表(使用’nslookup’,’dig’,或
其他的工具程序 来作 domain 的转换)来找出你机器的名字.
入侵者会浏览其他的公开资讯, 例如 你的公开站点和
匿名(anonymous)FTP 站点. 入侵者也许会寻找关于你公司的
新闻文件和报刊的发行品.

步骤2.内部侦查–
入侵者使用更具侵略性的技术来对资讯扫描,但不会破坏
任何东西.他们将由你全部的网页来找出CGI scripts(CGI
scripts 经常是容易被入侵的).他们也许会为了试探主机的存
在而使用’ping’.他们也许会用 UDP/TCP scan/strob(扫描)来
找出目标主机的可获得服务(services).他们也许会执行一个
如同 ‘rpcinfo’,’showmount’, ‘snmpwalk’等等 的工具程序
, 来寻找可获得的资讯.关于这点,入侵者只是做出”正常的”
网路行为,并且没有作出任何被归类为闯入(intrusion)的举动.
针对这点,NIDS会告诉你”有人在检查你的大门握把”,但没有人
真的去试着把门打开.

步骤3.入侵–
入侵者违越了规矩,并开始对目标主机作了可能的漏洞入侵.
入侵者尝试 在一个输入资料里,传递一个shell 指令,因而
危及CGI script.入侵者试图以传递大量的资料的方式,来侵害
一个已知的缓冲区溢位(buffer-overrun)漏洞.入侵者开始检查
有无 简单可猜(甚至 没有)密码的户帐号.一个黑客,会由
几个阶段性的入侵.例如,如果黑客可以得到一个用户的帐号,
他将试图作更进一步的入侵举动来获得 root/admin.

步骤4.立足–
在这阶段中,入侵者已经由机器的入侵,成功地在你的网路中立足.

入侵者主要的目的就是藏匿入侵证据(修改稽核(audit trail)与log档)
并确认他可以再次侵入.他们也许会安装可让他们执行的’toolkits’
.用他们有着后门(backdoor)密码的木马(Trojanhorses)置换原先的服务
,或 创造一个属于自己的使用者帐户.System IntegrityVerifiers
(SIVs)可以 注意到 档案的改变 而对使用这些手段的入侵者

做出检测.由于大部分的网路难以防御来自内部的侵害,入侵者将利用
这个机器作为其他机器的跳岛.

步骤5.利益–
入侵者利用他们的优势偷取机密资料,滥用系统资源(阶段性的由其他机器
侵扰你的机器)或破坏你的网页.

其他的情节也许开始情况不同.不管是入侵特定的站点或者是随机地在
网路世界中扫描特定的漏洞.例如 入侵者可能会企图扫描有着
SendMail DEBUG漏洞机器的整个网路.他们可以轻易入侵有漏洞的机器.
他们不会直接针对你,甚至不知道你是谁.(就好像’birthdayattack’般,
列出已知的系统漏洞与IP位置,凭运气的找到有着其中一项漏洞的机器)

1.7一般的入侵类型有哪些?

有三种攻击方式:

侦察–包括ping扫描,DNS zone 转换,e-mail侦察,
TCP 或 UDP 端口(port)扫描(scan),与经由公开网页伺服
器可能的索引(indexing),来发现CGI漏洞.

漏洞–入侵者将会利用隐密的特性或缺陷(bugs)来存取系统.

拒绝服务(denial-of-service)(DOS)攻击–入侵者试图
破坏服务(或机器),使网路连结(link)超载,CPU超载,填满硬盘.
入侵者不是想获得资讯,而是仅仅以如破坏者般的
行为而不让你使用机器.

1.8 常见漏洞有哪些?

1.8.1 CGI脚本(scripts)

CGI程式是恶名昭彰地不安全.典型的安全漏洞
包括 经由shell特殊字元(metacharacters)
的利用,直接传递变质的输入 于 命令shell里.
使用隐藏的变数,指定系统里的档案名(filename)
,或揭示更多系统的种种.最为人知的CGI缺陷就是
装载于NCSA httptd的’phf’数据库(library).
‘phf’library 假定为允许 伺服解析(sever-parsed)HTML,
而造成 传回任何档案 的漏洞. 其他入侵者试图使用的
知名CGI脚本漏洞有:TextCounter, GuestBook, EWS,
info2www, Count.cgi, handler, webdist.cgi,
php.cgi, files.pl, nph-test-cgi, nph-publish,
AnyForm, FormMail.如果你发现有人试图存取上述
的CGI脚本(但你没有使用他们),这便清楚显示了一
个入侵的意图(假设你没有把你想使用的CGI脚本
用那个缺陷版本安装).

1.8.2 Web 服务器(server) 攻击

在CGI程序执行后,Web服务器可能有了其他的漏洞.
非常多的self-written Web服务器(包括IIS 1.0 与 NetWare2.x)
会因为在一 档案名
之中,能把一连串的”../”写在路径(path)名里,
因而跳到 系统档案 的其他地方,得到任何档案.
其他的一般漏洞,就是在 请求(request)域(field) ,
或 其他 HTTP数据 的 缓冲区溢出.

Web服务器常因为与其底层的operating system
有着互动的关系 ,而产生漏洞.在Microsoft IIS
里有个古老的漏洞被使用,因档案有两个档案名–
一个 长档名与 一个短的相应8.3形式名 ,有时能
绕过允许机制 而获得存取.NTFS (the new file system)
有一个特色,名为–“alternate data streams” 相似于
Macintosh系统的 数据与 资源 forks.你可以在通过stream
name时,添加上”::$DATA”(这是为了看他的脚本而不是执行什么)
,来存取他的档案.
服务器长久以来因URLs而存在着问题.例如
“death by a thousand slashes”
问题,导致Apache产生大量的
CPU负载,因它试着在数以千计的”/” URL中处理每一个目录.

1.8.3 Web浏览器 攻击
Microsoft与Netscape的Web浏览器,都有安全漏洞(当然啦,虽然

最新版本的,我们还没发现),这包括了URL, HTTP, HTML,
JavaScript, Frames, Java, 与 ActiveX 攻击.

URL数据段,会有缓冲区溢位的情况,当它由HTTP标头(header)
被解悉时,在屏幕上显示时,或于某种形式被处理(如
由cache history储存).而且,有着古老Internet
Explorer漏洞的在浏览器,在执行 LNK或URL命令时会伴随着
能在内部造成影响的漏洞.

HTTP 头可能因为传递给只收特定值的函数而产生漏洞

HTML常会存在漏洞,如 MIME-type 缓冲区溢位 于
Netscape Communicator的 <EMBED> 命令.

JavaScript长久以来都很受喜爱,并常常试着经由
产生一个档名 与 自动地隐藏”SUBMIT” button
来侵害 “file upload” 函式 . 已有许多不同的这
种漏洞被修正了,然而会有新发现的方法来绕过修正.

Frames 常如 JavaScript的一部份般, 或 Java hack
来使用 经由一个象素大小的屏幕,把网页隐藏)
但它们呈现了特别的问题.如 我能 包含一个连结 到
一个可信赖的 使用者frames 的站点,然后以我自己站
点的网页置换那些frames的一部份,于是它们将会以那
个远程站点的一部份般 出现在你面前.

Java
有一个健全的安全模型(model),但经证实那个模型有着
特殊的漏洞(虽然与其他的任何事物相比,它被证实是整个系统
最为安全的元件之一).再者,它的健全安全性,也许是
它的undoing:正常的Java applets 无法存取当地
(local)系统,但有时,如果他们真能存取当地系统的话,

它们将会更为有用.因此,”信任(trust)”模型的完成,更容易被入侵.

ActiveX 甚至比 Java更危险, 当它是由一个 信任模型
纯粹运作
并 执行 原有的(native)程序码. 你甚至会偶然地
感染到病毒(virus)( 在贩售商的程序码中意外
地被植入(imbeded)).

1.8.4 SMTP (SendMail) 攻击
SendMail 是一个极端复杂并被广泛使用的程序, 是以,
它频为安全漏洞的来源. 在过去( ’88 Morris Worm的时期),
黑客 会利用 DEBUG 命令的漏洞 或 隐藏 WIZ 的特徵,
来闯入 SMTP. 近来, 他们经常试着用 缓冲区溢位 手段.
SMTP 也被用做侦察(reconnaissance) 攻击, 如利用
VRFY 命令找出使用者名子.

1.8.5 Access
失败的 login 企图,失败的档案存取企图, password
cracking,
管理者权力的滥用.

1.8.6 IMAP
使用者经由 IMAP 协定从服务器收email (在对比之下, SMTP 介于
服务器之间传送e-mail ). 黑客
已在一些受欢迎的IMAP服务器里发现漏洞.

1.8.7 IP spoofing
有些类型的攻击是利用技术来伪造(或 ‘spoof’)你的IP地址.
一个 原始地址 伴随着 每个IP包(packet)被传送时,
实际上它可以不是被用于routing. 这表示当与服务
器交谈(talkin)时,一个入侵者可以佯装成你 . 入侵者
不会收到应答(response)包 (虽然你的机器有见到,
但把他们丢弃了, 因为 它们不符合你之前传递的任何
请求(request) ). 入侵者不会经由这种方式取得数据,
而是仍假装成你,传送命令给服务器.

IP spoofing 经常有如其他的攻击的部分般使用着:
SMURF
以伪造的源地址广播方式ping,导致大量的机器
应答,经由地址,回覆到 受害者, 使它 (或 它的连结)负载.

TCP序号预选
在 TCP连接 的起始, 你这端必须选择一个 序号, 而
服务器端也必须选择一个序号. 较老的 TCP
栈选择一个可预测的有续数字, 而让入侵者由一个 伪造的
IP地址(他们本来不应该看到应答包)想必能绕过安全机制.

DNS 通过可预知序号中毒

DNS服务器 会 “递归” 解析 DNS 名.
因此,在它满足一个用户端 要求(request) 时,它本身也
成为递归链下个服务器的客户
它使用的有序号是可预测的.
因此, 一个入侵者可以传送 一个要求到DNS服务器 并
传送一个 回应 到 服务器 以伪装成为 链结中的
下一个服务器. 它会相信 伪装 回应, 并使用它来
满足其他的用户端.

1.8.8 缓冲区溢位
一些其他的 缓冲区溢位 攻击有:
DNS 溢位.
过长的 DNS名,传送到服务器中. DNS名 限制了
每一个次要成分(subcomponent)是64-bytes而总体是于256-bytes.

statd 溢位
当提交了过长的 档案名.

1.8.9 DNS 攻击
DNS 是一个首要的目标.因为如果你能侵害(corrupt)
DNS服务器, 你便能利用 信任关系 .
DNS 缓存中毒
每个 DNS包, 包括了一个 “询问(Question)” 节
与”回答(Answer)”节. 有缺陷的服务器 将会
相信 (并 缓存)在传送问题时伴随的 回答
大部分,但不
是全部的 DNS 服务器 已于 1998 11月,被补丁(patched) .
DNS poisoning through sequence prediction
如上
DNS 溢位
如上

1.10 什么是拒绝服务? (DoS)?
1.10.1 Ping-of-Death
传送一个 开始于包(packet)的尾末之前 ,但
扩展到包的尾末之后的无效片段(fragment).

1.10.2 SYN 泛滥(Flood)
很快速地传送 TCP SYN包(做为连接(connection)的开启)
, 让受害者处于 等待完成大量连接 的状态, 造成他 资
源的耗尽 与 丢弃合法的连接. 一个新的
防范措施 –“SYN cookies”. 每一个连结端 有
他自己的序数(sequence-number).对于一个SYN的反应,
被攻击的机器 产生一个 特别的序数(一个连结的”cookie”)
然后 忘却关于连接的一切 . 然后当一个合法的连接的包来到
时,它便能 再创造 关于连接的遗漏资讯.

1.10.3 Land/Latierra
传送与 来源/目的 地址/阜号 相同的
伪造SYN包 ,受害系统便 试着完成TCP连接

的无穷回路(infinite loop).

1.10.4 WinNuke
在TCP连接时 传送 OOB/URG资料 到
阜号139(NetBIOS Session/SMB)上,
造成Windows系统(死机)hang.

by ·0评论
Contents:
  • Introduction
  • The Basics
  • Active FTP
  • Active FTP Example
  • Passive FTP
  • Passive FTP Example
  • Summary
  • References
  • Appendix 1: Configuration of Common FTP Servers

Introduction

One of the most commonly seen questions when dealing with firewalls and other Internet connectivity issues is the difference between active and passive FTP and how best to support either or both of them. Hopefully the following text will help to clear up some of the confusion over how to support FTP in a firewalled environment.

This may not be the definitive explanation, as the title claims, however, I’ve heard enough good feedback and seen this document linked in enough places to know that quite a few people have found it to be useful. I am always looking for ways to improve things though, and if you find something that is not quite clear or needs more explanation, please let me know! Recent additions to this document include the examples of both active and passive command line FTP sessions. These session examples should help make things a bit clearer. They also provide a nice picture into what goes on behind the scenes during an FTP session. Now, on to the information…

The Basics

FTP is a TCP based service exclusively. There is no UDP component to FTP. FTP is an unusual service in that it utilizes two ports, a ‘data’ port and a ‘command’ port (also known as the control port). Traditionally these are port 21 for the command port and port 20 for the data port. The confusion begins however, when we find that depending on the mode, the data port is not always on port 20.

Active FTP

In active mode FTP the client connects from a random unprivileged port (N > 1024) to the FTP server’s command port, port 21. Then, the client starts listening to port N+1 and sends the FTP command PORT N+1 to the FTP server. The server will then connect back to the client’s specified data port from its local data port, which is port 20.

From the server-side firewall’s standpoint, to support active mode FTP the following communication channels need to be opened:

  • FTP server’s port 21 from anywhere (Client initiates connection)
  • FTP server’s port 21 to ports > 1024 (Server responds to client’s control port)
  • FTP server’s port 20 to ports > 1024 (Server initiates data connection to client’s data port)
  • FTP server’s port 20 from ports > 1024 (Client sends ACKs to server’s data port)

When drawn out, the connection appears as follows:

In step 1, the client’s command port contacts the server’s command port and sends the command PORT 1027. The server then sends an ACK back to the client’s command port in step 2. In step 3 the server initiates a connection on its local data port to the data port the client specified earlier. Finally, the client sends an ACK back as shown in step 4.

The main problem with active mode FTP actually falls on the client side. The FTP client doesn’t make the actual connection to the data port of the server–it simply tells the server what port it is listening on and the server connects back to the specified port on the client. From the client side firewall this appears to be an outside system initiating a connection to an internal client–something that is usually blocked.

Active FTP Example

Below is an actual example of an active FTP session. The only things that have been changed are the server names, IP addresses, and user names. In this example an FTP session is initiated from testbox1.slacksite.com (192.168.150.80), a linux box running the standard FTP command line client, to testbox2.slacksite.com (192.168.150.90), a linux box running ProFTPd 1.2.2RC2. The debugging (-d) flag is used with the FTP client to show what is going on behind the scenes. Everything in red is the debugging output which shows the actual FTP commands being sent to the server and the responses generated from those commands. Normal server output is shown in black, and user input is in bold.

There are a few interesting things to consider about this dialog. Notice that when the PORT command is issued, it specifies a port on the client (192.168.150.80) system, rather than the server. We will see the opposite behavior when we use passive FTP. While we are on the subject, a quick note about the format of the PORT command. As you can see in the example below it is formatted as a series of six numbers separated by commas. The first four octets are the IP address while the second two octets comprise the port that will be used for the data connection. To find the actual port multiply the fifth octet by 256 and then add the sixth octet to the total. Thus in the example below the port number is ( (14*256) + 178), or 3762. A quick check with netstat should confirm this information.

testbox1: {/home/p-t/slacker/public_html} % ftp -d testbox2
Connected to testbox2.slacksite.com.
220 testbox2.slacksite.com FTP server ready.
Name (testbox2:slacker): slacker
—> USER slacker
331 Password required for slacker.
Password: TmpPass
—> PASS XXXX
230 User slacker logged in.
—> SYST
215 UNIX Type: L8
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> ls
ftp: setsockopt (ignored): Permission denied
—> PORT 192,168,150,80,14,178
200 PORT command successful.
—> LIST
150 Opening ASCII mode data connection for file list.
drwx——   3 slacker    users         104 Jul 27 01:45 public_html
226 Transfer complete.
ftp> quit
—> QUIT
221 Goodbye.


Passive FTP

In order to resolve the issue of the server initiating the connection to the client a different method for FTP connections was developed. This was known as passive mode, or PASV, after the command used by the client to tell the server it is in passive mode.

In passive mode FTP the client initiates both connections to the server, solving the problem of firewalls filtering the incoming data port connection to the client from the server. When opening an FTP connection, the client opens two random unprivileged ports locally (N > 1024 and N+1). The first port contacts the server on port 21, but instead of then issuing a PORT command and allowing the server to connect back to its data port, the client will issue the PASV command. The result of this is that the server then opens a random unprivileged port (P > 1024) and sends the PORT P command back to the client. The client then initiates the connection from port N+1 to port P on the server to transfer data.

From the server-side firewall’s standpoint, to support passive mode FTP the following communication channels need to be opened:

  • FTP server’s port 21 from anywhere (Client initiates connection)
  • FTP server’s port 21 to ports > 1024 (Server responds to client’s control port)
  • FTP server’s ports > 1024 from anywhere (Client initiates data connection to random port specified by server)
  • FTP server’s ports > 1024 to remote ports > 1024 (Server sends ACKs (and data) to client’s data port)

When drawn, a passive mode FTP connection looks like this:

In step 1, the client contacts the server on the command port and issues the PASV command. The server then replies in step 2 with PORT 2024, telling the client which port it is listening to for the data connection. In step 3 the client then initiates the data connection from its data port to the specified server data port. Finally, the server sends back an ACK in step 4 to the client’s data port.

While passive mode FTP solves many of the problems from the client side, it opens up a whole range of problems on the server side. The biggest issue is the need to allow any remote connection to high numbered ports on the server. Fortunately, many FTP daemons, including the popular WU-FTPD allow the administrator to specify a range of ports which the FTP server will use. See Appendix 1 for more information.

The second issue involves supporting and troubleshooting clients which do (or do not) support passive mode. As an example, the command line FTP utility provided with Solaris does not support passive mode, necessitating a third-party FTP client, such as ncftp.

With the massive popularity of the World Wide Web, many people prefer to use their web browser as an FTP client. Most browsers only support passive mode when accessing ftp:// URLs. This can either be good or bad depending on what the servers and firewalls are configured to support.

Passive FTP Example

Below is an actual example of a passive FTP session. The only things that have been changed are the server names, IP addresses, and user names. In this example an FTP session is initiated from testbox1.slacksite.com (192.168.150.80), a linux box running the standard FTP command line client, to testbox2.slacksite.com (192.168.150.90), a linux box running ProFTPd 1.2.2RC2. The debugging (-d) flag is used with the FTP client to show what is going on behind the scenes. Everything in red is the debugging output which shows the actual FTP commands being sent to the server and the responses generated from those commands. Normal server output is shown in black, and user input is in bold.

Notice the difference in the PORT command in this example as opposed to the active FTP example. Here, we see a port being opened on the server (192.168.150.90) system, rather than the client. See the discussion about the format of the PORT command above, in the Active FTP Example section.

testbox1: {/home/p-t/slacker/public_html} % ftp -d testbox2
Connected to testbox2.slacksite.com.
220 testbox2.slacksite.com FTP server ready.
Name (testbox2:slacker): slacker
—> USER slacker
331 Password required for slacker.
Password: TmpPass
—> PASS XXXX
230 User slacker logged in.
—> SYST
215 UNIX Type: L8
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> passive
Passive mode on.
ftp> ls
ftp: setsockopt (ignored): Permission denied
—> PASV
227 Entering Passive Mode (192,168,150,90,195,149).
—> LIST
150 Opening ASCII mode data connection for file list
drwx——   3 slacker    users         104 Jul 27 01:45 public_html
226 Transfer complete.
ftp> quit
—> QUIT
221 Goodbye.

Summary

The following chart should help admins remember how each FTP mode works:

Active FTP :
    command : client >1024 -> server 21
    data    : client >1024 <- server 20

Passive FTP :
    command : client >1024 -> server 21
    data    : client >1024 -> server >1024

A quick summary of the pros and cons of active vs. passive FTP is also in order:

Active FTP is beneficial to the FTP server admin, but detrimental to the client side admin. The FTP server attempts to make connections to random high ports on the client, which would almost certainly be blocked by a firewall on the client side. Passive FTP is beneficial to the client, but detrimental to the FTP server admin. The client will make both connections to the server, but one of them will be to a random high port, which would almost certainly be blocked by a firewall on the server side.

Luckily, there is somewhat of a compromise. Since admins running FTP servers will need to make their servers accessible to the greatest number of clients, they will almost certainly need to support passive FTP. The exposure of high level ports on the server can be minimized by specifying a limited port range for the FTP server to use. Thus, everything except for this range of ports can be firewalled on the server side. While this doesn’t eliminate all risk to the server, it decreases it tremendously. See Appendix 1for more information.

References

An excellent reference on how various internet protocols work and the issues involved in firewalling them can be found in the O’Reilly and Associates book, Building Internet Firewalls, 2nd Ed, by Brent Chapman and Elizabeth Zwicky.

Finally, the definitive reference on FTP would be RFC 959, which sets forth the official specifications of the FTP protocol. RFCs can be downloaded from numerous locations, including ftp://nic.merit.edu/documents/rfc/rfc0959.txt.

by ·0评论

        7月23日,在国际原油价格回落和人民币升值的背景下，国家发展与改革委员会再次提高成品油销售价格。北京地区 93号汽油再创历史最高价位。有关方面对此的解释是，上次涨价没有调整到位，我们成品油销售价格仍旧低于国际市场，今后将考虑国际市场情况和社会承受能力继续推进价格调整。谎言是多么的的圆满，但是，我们早就有各种手段来论证，这是明目张胆的欺骗。

　　一、中国进口的石油没有达到60美圆的。国际市场达到60美圆的是北海清质石油，其质量是世界上最好的，而中东地区、南美、俄罗斯出口的石油是无法达到60美圆的。而中国大量进口的是低质高含硫石油。据著名的经济情报杂志分析，国际油价在54美圆时，中国进口的石油价格大多在30美圆左右。普遍认为，中国是世界上最大的劣质石油买家。

　　二、美国与中国石油价格比较。美国平均每升93号油大概是人民币4.7元,可是人家那是加了30%的燃油税,并且人家公路没有收费,高速公路也基本不收费或者收费很低。而北京的类似汽油销售价格已达4.24元，实际价格高于美国。如果有关方面说，中国成品油价格远低于国际市场，更将被下面的例子驳斥的体无完肤。海关宣布上半年查获的走私案件中，成品油、香烟等位居前三名。既然中国成品油便宜，那应该是从中国向国外走私才对，为什么要从国外向中国走私？过去查获的特大走私案件，都与走私汽油柴油等成品油有关，可见内外差价巨大，吸引走私者挺而走险。

　　三、石油企业报表显示利润巨大。中国石油化工股份成为香港上市公司中最挣钱的，报道说利润接近千亿元，而其年经营额在5000亿元左右，利润空间已相当可观，利润率非常可观。以净资产收益来分析，即使是风光无限的房地产，其优质上市公司净资产收益为5%到10%为主，而中国石化的净资产收益，根据其2004年年报为17.32,其加权平均的净资产收益为 20.32%。大家说这是不是很惊人！是房地产行业优质上市公司平均水平的三倍，是房地产上市公司平均水平四倍多。这才是惊人的暴利证明！我不久前与燕山石化公司的人士接触，他们去年的利润超过40亿元，总结因素是价格高、市场好。可见，中国石油企业是很不错的业绩，怎么还有长期亏损的说法，这不是欺负老百姓没头脑么？

　　四、上游垄断掠夺下游竞争性行业，扭曲经济结构 肆无忌惮的涨价，使中国经济和宏观调空的复杂局面加剧。可怕。成品油涨价，因为你是垄断，但下游产业却是竞争性行业，不能涨价。比如公交和出租车，关系群众生活，其价格调整要经过严格审批，油价从2元涨到4元多，公交价格和出租车价格并没有什么提高，可见，油价上涨只能消化在成本和政府补贴中。汽车制造业是国家寄希望的产业，但消费环境不良，加上油价上涨，更是雪上加霜。老百姓近两年的工资并没有显著增长，翻倍上涨的油价让大家很难受。 可见，这是赤裸裸的掠夺，扭曲中国经济结构，增加了所谓的膨胀压力。尽管，中石油的滚滚暴利，让国家，同时也让某些不可明说的利益群体欢欣鼓舞，但是，这种危害中国经济的掠夺经济思路，将贻害中国经济的健康发展。

　　我观察大家对油价上涨虽然知道是中石油/中石化捣鬼，但是不知道要点！

　　我在这里澄清一下！

　　石油是战略物资，国内的油田都是这两个集团垄断的。只有他们有开采和销售权利。近几年国家进口石油越来越多，今年会达到1.5亿吨。进口石油消费的比例越来越大，岂不是两大集团就没有话语权了？？放心。关键的石油进口权还是只有两大集团所有。国内的炼油企业就算是油价再便宜，也无法自主进口，只能从两大集团买他们加价进口的原油。

　　这样两大集团对内把持油田，对外把持原油进口权。国内原油价还不是他们说得算？国内的炼厂，包括两大集团自己的炼厂是在亏损，那是因为原料石油（无论国产还是进口）的价格是两大集团定的！两大集团自己的炼厂亏损无所谓，反正在贸易/开采环节已经有足够惊人的利润了！！

　　而且炼厂亏损的情况可以成为汽油涨价的借口，掩人耳目。于是我们就这样因为所谓的炼厂亏损，口袋的钱被淘空！！！！

　　石油是工业血液，现代基础工业的王道！！两大集团在上游敲骨吸髓，危害的是整个国家竞争力甚至国家安全！！90#油从今年3月份的3.18上涨到7月份的4.06，快一块钱了，还不到半年！！

　　到底有多少物流企业破产阿？到底有多少企业背上沉重的运费成本阿？无耻的抢劫！！2004年两大集团净利润2000亿，咱们国家gdp才多少？11万亿，各行业综合净利润最多按照5%算，也就5000亿。可见40%的国家利润都是两大集团的！大家伙都在给两大集团打工呢！！

　　有人会问，油田是国家人民共有的，这两大集团虽然垄断，毕竟是中国自己的企业，为什么这样丧心病狂的掠夺财富不顾危害国民生机？其实这两大集团都是海外上市企业！！所有权和资本不是纯粹国家的了。资本是贪婪的，对利润的追求是永远也不会满足的。看到这里，国内油价未来的走势相信每个看过帖子的人已经很清楚了。

　　我很担心国外投资者利用两大集团的垄断地位掠夺中国人民的财富。从这个角度讲，两大集团已经站在人民的对立面上了！！有时候看到纺织厂的女工虽然一天12小时的拼命干活，居然连500块钱的工资都得不到，原因是有的工厂因为纺织原料涨价（非棉的纺织品大部分是石油变得）或者停产/或者破产。心情真是无法描述。前一阵子还听说北京有的哥为了多跑出点钱过劳死…真不知道中石化/中石油有2000亿的纯利还叫嚣亏损要求涨价的嘴脸是什么麽样？？那2000亿人民的血汗钱又有多少进了原本已经很富裕的老外口袋里！！

　　无论如何，两大集团正在挤垮国内非自有的炼厂，同时也正在挤垮社会上的非自有的加油站。如果现在的情况不得到改变，两大集团的目的很快就会完全实现。

　　可能有人问，目前发改委已经批了19个非国营的公司可以进口石油。其实私营企业进口石油除了要有进口权，还要有配额，2005年非国有进口配额一共才0.1 亿吨，根本没有影响市场！而且两大集团除了因为自己是国有公司，进口不受限制之外，还注册了非国有企业，也在这19家里面混，用他们的实力抢占绝大部分配额！！太狠了！！关于私有企业石油进口权/配额计划具体详情大家可以查询国家商务部网站看看！！

　　我是业内人士，所以知道两大集团的要害！注意到很多人误解油品涨价的原因，实在看不过去了，才发言的。可惜我不是记者，否则早就揭他们的老底了！

　　谢谢大家帮顶，大家有工夫就转贴，不要让整个社会被两大集团“炼油厂亏损/加油站亏损”的幌子骗了