2008年11月18日
热血传奇和传奇外传这对兄弟，如何共进退共同发展呢?
一、共同之处：
地图、怪物、装备、技能、人设可以说是一模一样，除了属性和名称。还有一点就是热血死在传奇外挂上，而现在的传奇外挂外挂也很疯狂。
二、不同之处：
属性和名称不同。外传一级带英雄，怪物比较难打，但经验多。由于属性不同，也带来了最强职业的质疑。
等级高技能全的法师，可以欺负级稍低或持平、技能不全的战士，因此，外传惊呼：法师是最强的。
从上面两点可以看出：
从目前来看，两者并没有很大的区别。外传升级相对容易，可以让普通玩家也享受到合击的快乐。而热血中玩了几年还没有合击的大有人在。
推荐三个比较不错的网站：英语作文/健康常识/火狐
这里提出一些建议，希望热血与外传相得益彰，发扬光大经典传奇的魅力：
一、热血传奇可以走副本的道路。把最好的地图集中起来，让玩家可以个人或者团队去做任务，与以往地下宫殿等不同的是，不是那种急匆匆砍怪，而是一路游戏过去，解谜探险，追求新异的世界。
二、传奇外传可以走国战的道路。与征途之类的不同，玩家可以占山为王，占某个地图为自己所有，当然其它玩家也可以争夺。
三、热血传奇的装备仍然要保持稀有，并且够酷够炫。现在装备越来越多，越来越不起眼了。希望有真正精致的装备，除了外形上可以让你变得硕大无比，高人一等，而且可以有上天入地、喷火灌水的属性。
四、传奇外传引进雇佣军体系。提供某种属性的NPC出租，既可以保家卫国，也可以报仇血恨。
五、不说了，唉，盛大怎么不叫我去做策划呢……
总之，热血传奇走体验游戏世界的道路，不断获得与不断失去。传奇外传走帝国时代道路，不断征战不断背井离乡。生命不息，游戏不止。
2008年11月13日
2008年10月10日
GDI+ 中的漏洞可能允许远程执行代码
安全漏洞：CN-VA08-056
发布日期：2008年9月13日
漏洞类型：远程执行代码
漏洞评估：重要
受影响的软件：
对于 Windows XP、Windows Server 2003、Windows Vista 和 Windows Server 2008 的所有受支持版本、安装在 Microsoft Windows 2000 Service Pack 4 上的 Microsoft Internet Explorer 6 Service Pack 1、Microsoft Digital Image Suite 2006、安装在 Microsoft Windows 2000 Service Pack 4 上的 SQL 2000 Reporting Services Service Pack 2、SQL Server 2005 的所有受支持版本、安装在 Microsoft Windows 2000 Service Pack 4 上的 Microsoft Report Viewer 2005 Service Pack 1 Redistributable Package 以及安装在 Microsoft Windows 2000 Service Pack 4 上的 Microsoft Report Viewer 2008 Redistributable Package，此安全更新的严重等级为“严重”。
漏洞描述：
此安全更新可解决 Microsoft Windows GDI+ 中许多秘密报告的漏洞。 如果用户使用受影响的软件查看特制图像文件或浏览包含特制内容的网站，则这些漏洞可能允许远程执行代码。 那些帐户被配置为拥有较少系统用户权限的用户比具有管理用户权限的用户受到的影响要小。
参考信息：
http://www.microsoft.com/china/technet/security/bulletin/ms08-052.mspx
信息提供者：
微软
其它信息：
CVE编号：CVE-2007-5348，CVE-2008-3012，CVE-2008-3013，CVE-2008-3014，CVE-2008-3015
漏洞报告文档编写：
CNCERT/CC
安全公告文档编写：
CNCERT/CC
eeye旗下产品：Retina|Blink|Iris|Secure IIS
Microsoft Office 中的漏洞可能允许远程执行代码
安全漏洞：CN-VA08-058
发布日期：2008年9月13日
漏洞类型：远程执行代码
漏洞评估：重要
受影响的软件：
对于 Microsoft Office OneNote 2007 的受支持版本，此安全更新的严重等级为“严重”；对于 Microsoft Office XP、Microsoft Office 2003 和 2007 Microsoft Office System 的受支持版本，此安全更新的严重等级为“重要”。
漏洞描述：
此安全更新解决了 Microsoft Office 中一个秘密报告的漏洞。 如果用户点击特制的 OneNote URL，该漏洞可能允许远程执行代码。 成功利用此漏洞的攻击者可以完全控制受影响的系统。 攻击者可随后安装程序；查看、更改或删除数据；或者创建拥有完全用户权限的新帐户。 那些帐户被配置为拥有较少系统用户权限的用户比具有管理用户权限的用户受到的影响要小。
参考信息：
http://www.microsoft.com/china/technet/security/bulletin/ms08-055.mspx
信息提供者：
微软
其它信息：
CVE编号：CVE-2008-3007
漏洞报告文档编写：0v
CNCERT/CC
安全公告文档编写：
CNCERT/CC
eeye旗下产品：Retina|Blink|Iris|Secure IIS
在当前的安全气候下，威胁、病毒爆发和安全突破是生活的现实。然而，在隔离精确的风险区域，让机构采取措施减小风险方面，安全漏洞管理工具是非常有价值的。
nCircle网络安全公司主要产品经理Tim Erlin称，安全漏洞管理是测量和管理软件安全漏洞和机构中的设置产生的风险的连续不断的过程。这个过程一般包括全面地发现和描述网络资产，评估这些应用程序的每一个资产的和这些应用程序中的安全漏洞，列出这些资产和安全漏洞的优先等级，并且确定按照优先次序修复这些安全漏洞的最终工作流。
许多工具提供了一些安全漏洞管理流程，仅评估网络安全漏洞、网络应用程序安全漏洞或者设置。但是，上述所有的区域都可以在一个环境中产生风险。漏掉任何一个部分都会使安全漏洞管理不知道漏掉的是哪些部分。
这个事情一开始就要有一个关于这个机构现有的东西的清单。一旦把一切东西都编成目录，这个目录就需要保持最新状态，因为IT不是一个静态的实体。因此，这些工具应该提供自动发现、安排日程和网络描述等功能。这样，机构的不同部分的问题就能够解决。
Erlin说，没有一个应用程序在什么地方的目录，就不能准确地评估安全漏洞。不能提供一台设备上的全面的和单独的应用程序评估的工具对于安全漏洞管理来说是失去了一个重要的组件。
Erlin称，每一个安全漏洞管理工具都将产生一个机构完不成的工作。因此，每一个安全漏洞管理程序都必须提供一个按照优先次序进行处理的机制，即使发现的全部安全漏洞都是严重的，也要首先处理威胁等级最高的安全漏洞。
当然，仅靠一个工具是不够的。它必须得到能够恰当地解决风险问题的安全漏洞管理工作流的支持，尽管nCircle等工具能够通过自动化、内置的票务系统(ticketing systems)和数据准确性来支持这种工作流。
每一个机构在分配所有权和责任的方面都是不同的。在购买安全漏洞管理管理工具之前，要考察现有的使用补丁和升级的流程以便确定他们应该在什么地方进行修改以及工具能够在什么地方帮助自动化。
工具选择
企业管理协会公司分析师Michael Montecillo认为，应用安全漏洞管理的方法是确定一个工具作为制定管理安全漏洞的方法的推动因素。
你最终将使用这个能够最善于在你自己的环境中查出一切事情的软件。eEYE、Qualys和nCircle等厂商的工具将简化这个过程，创建一种报告方法并且以可重复的方式做评估工作。
Montecillo建议使用定期评估的方法检查当前缓解威胁的措施有多大效率。此外，他认为这个主题不应该留给一个团队或者部门。要使安全漏洞管理实现目标需要整个机构的协同努力，包括来自高级管理层的支持。
Montecillo表示，当前的气候需要分层次的安全措施。间谍软件、病毒和其它恶意软件是具体的威胁。在过去的10年里，安全厂商提供了各种补救措施对付这些威胁。这个趋势短时间内还不会结束。最终用户必须要适应这种思路：在恶意和犯罪团伙推出新的和更好的渗透到机构或者引起灾难的方法的同时，安全厂商将用新的和更好的工具应对。
然而，安全漏洞管理是不同种类的产品。安全漏洞管理不是解决一个具体威胁的工具，而是一种观察整个安全形势和你的什么地方风险最大的一种方法。
病毒会在你有安全漏洞的地方侵入。因此，如果你消除了那个攻击区域，风险就减少了。最近，我们将看到立法中要求使用安全漏洞管理软件。
eeye旗下产品：Retina|Blink|Iris|Secure IIS|
难道IIS（Internet Information Services）就真是“脆弱”的吗？难道拥有全球市场排名第一的Apache就坚不可摧？其实这些问题只是我们对服务器安全问题的曲解，在IIS 6没有推出以前，我一直忙着对IIS 5 修修补补，也确实过了一段提心吊胆的日子。我们完全有理由相信，经过调整后的IIS足以让我们值得信赖。
解释几个常见漏洞
1． 缓冲区溢出
简单解释一下，缓冲区溢出主要因为提交的数据长度超出了服务器正常要求，导致服务器检查代码错误。而溢出的方法有可以分为：基于堆栈的溢出和基 于堆的溢出。在IIS 6以前的版本，Web服务是运行在LocalSystem账户下，当某个黑客利用缓冲区溢出的漏洞入侵后，当然就可以执行大部分的管理员命令了。
利用该漏洞比较名的病毒是“红色代码（Redcode）”和“尼姆达（Nimda）”。eEye Digital Security 公司早于1996年就发现了这类漏洞的代表作HTR缓冲区漏洞。eEye发现，IIS抵抗力十分脆弱。如果攻击传递给IIS，那么输入值将不是一串字母而 是可以执行的系统命令。HTR文件的解释程序是将一个以.htr结尾的超长文件在ism.dll中造成输入缓冲区溢出。
我们早已用不到HTR了（笔者个人的理解），那只是早些时候，微软脚本编程用到的，早已经被ASP技术取代。
说明：根据上文的说明我们知道一个漏洞的根源就是．htr文件与System32目录下的ism．dll存在着关联，如果将ism．dll和．htr文件之间存在的映射关系断开，或者删除了ism．dll，就可以解决了。
2．臭名昭著的Unicode
首先要知道什么是Unicode二次解码漏洞？打开IE，选择“查看→编码→Unicode（UTF-8）”，在没有创造Unicode之前， 没有一个编码可以包含足够的字符来容纳数百种的数字编码。比如我们要看一个繁体中文（BIG5）的网页，在你的简体中文版的Windows 系统上，没有Unicode的支持就不可能实现。
如果非法用户提交一些特殊的编码，将导致IIS错误地打开或者执行某些Web根目录以外的文件。那么，未经授权的用户可以利用 IUSR_machinename账号访问用户目录的任何文件。同时，我们有知道这个账号在默认情况下属于Everyone和Users 组，Windows 2000 Server默认的安全权限是“Everyone完全控制”因此任何能被这些用户组访问的文件都可能被删除、修改或执行。
说明：可以限制网络用户访问和调用CMD命令的权限；若没必要使用Scripts和Msadc目录，可以删除或者重新命名；还有一个问题，安装Windows NT系统时不使用默认的WINNT路径。
3．FrontPage 服务器扩展漏洞
对于安装FrontPage服务器的网站，通常会在Web目录（缺省）下有若干个以字母“_vti”开头的目录，正是这些目录为黑客提供了可乘之机。我们可以从搜索引擎上搜索默认的Frontpage目录，这时我们能从引擎上返回大量的信息。
说明：你真的需要FrontPage 服务器扩展吗？我是从来没有用过，这都是默认安装的时候为我们带来的隐患。如果不需要，直接卸载了该服务就没问题了。
eeye旗下产品：Retina|Blink|Iris|Secure IIS|
2008年8月14日，eEye公司宣布——SC杂志最近评测了eEye旗下的Retina Security Management Appliance ®，给予其“五星级安全产品”的最高荣誉，并颁之为“最值得购买安全产品”。
SC 杂志宣称，eEye公司旗下的“Retina Security Management Appliance ®， 是一款对任何规模公司都绝对值得购买的优秀产品，”称赞该产品是：“具备漏洞管理所需的一切重要功能，并且价格实惠！”。
SC 杂志还对Retina Security Management Appliance ®评价说“这是很容易使用的一款外置设备。它的控制台简单、导航功能直观，可以实现定制扫描，并能生成测试环境中的准确的的漏洞信息”。
Retina Security Management Appliance ®集Retina扫描器软件所有优点于一身，具有策略依从和补丁管理的功能以及网络发现和策略评估、网络漏洞评估、漏洞管理和策略依从管理等重要功能。
eEye的CEO Kamal Arafeh说，“这些关于Retina Security Management Appliance ®的评价，正是充分印证了我们‘以用户能够接受的价格，提供精益求精的产品，并让用户在获得强大的安全保障和支持的情况下能够实现简单轻松的应用’的企业 格言。”， “在评论中所提到的eEye产品的特点，无论是在直观上，还是在内在价值上，都体现了强大的安全评估功能”。
2008年9月18日，eEye公司宣布——Retina是第一款通过NSS labs PCI 可适应性严苛测试的漏洞评估扫描器。（NSS Labs是安全产品测试和认证的独立的世界级权威实验室）
NSS Labs 的CEO Vik Phatak 评价说“Retina网络安全扫描器在多重PCI 应用环境下都具有最好的表现，尤其是在电子商务、主机和内部数据中心以及零售店面环境之下，它的表现更加优秀！”。“还有，我们的测试验证了一点，与只能 对简单的外界周边环境进行评估的扫描器相比，Retina一支独秀，可以实现对复杂且高要求的企业内部网络进行扫描”。
NSS Labs 仿真测试环境包含： 250个主机及超过25种操作系统， 200套应用软件及100种补丁标准。这个基础架构环境允许PCI可适应性实验的确认过程来对如下的特征进行全面的测试：
· 独立PCI 数据安全标准 v1.1需求的确认
· PCI审计特点，比如日志和报告
· 有助于安全产品部署的推荐配置细节
· 基于推荐的正确使用的安全效果
· 在真实的操作系统和应用环境下，能够准确发现和甄别已存在漏洞的能力
NSS Labs还测试出Retina可以实现对大量的应用漏洞进行准确的识别和分类，相比之下，其他扫描器则需要外部网络的漏洞扫描器配合才可以实现。 Retina成功通过了16 of 16 数据安全标准需求，并在大企业网络环境下探测出总计达到99％的入侵。（整体报告能够在该地址下载：http://nsslabs.com/pci- suitability/eEye-Retina-v5.10.html）
“这是世界上最全面的和最具挑战性的检测环境，代表着极端复杂的企业环境，” Phatak说，“我们认为，eEye公司的Retina安全扫描器是一款强有力的漏洞评估扫描工具，它绝对值得电子商务公司、企业的数据中心、公司的网 络布局以及需要布置店面网络环境产品的公司进行采购！”。
eEye 公司的产品管理副总裁Morey Haber补充说：“对于NSS Labs的赞誉，我们感到非常自豪！尤其是因为Retina是通过NNS Labs的这项“PCI 数据安全标准需求支持测试”的第一款产品。需要提到的是，PCI 需求测试报告还提供了关于Retina在支付卡网络中适应性测试的认证数据”。
2008年7月30日
据市场研究公司Gartner称，安全软件将从PC转向“云计算”。到2013年，在线安全软件服务开支将增长3倍。
Gartner称，在未来5年里，基于“云计算”的电子邮件和即时消息中恶意软件和垃圾信息检测收入占全部消息安全收入的比例将从目前的20%提高到60%。
安全公司赛门铁克也预测了这种转变，家庭用户和企业用户将从在单个电脑上安装安全软件转向通过远程计算机在线访问安全服务。赛门铁克称，企业已经在使用代理安全服务器来减少安全软件对性能的影响。
基于云计算的代理计算机能够提供过去在本地执行的安全服务，如强制进行身份识别、防止数据丢失、入侵检测、IPS、网络接入控制和安全漏洞管理等。
Gartner分析师Kelly Kavanagh在声明中称，在“运计算”中提供大规模可升级的处理、存储和带宽的能力将要求以新的方式和由新的服务提供商向用户提供安全控制和功能。
Gartner称，Google Apps或者salesforce.com等基于“运计算”的办公软件应用的增长意味着有必要提供在线服务保护移动IT用户访问公司网络外部的商业数据和服务。
2008年7月25日
金融业信息安全需求
金融行业在考虑安全过程中主要需要考虑包含贯穿始终的安全策略、安全评估和安全管理;而在技术层面上需要考虑实体的物理安全，网络的基础结构、网络层的安全、操作系统平台的安全、应用平台的安全，以及在此基础之上的应用数据的安全。
上述多个方面，既是一种防护基础，也是相互促进的，同时，也是一个循环递进的工程，需要不断的自我完善和增强，才能够形成一套合理有效的整体安全防护系统。
总体来讲，金融行业业务支撑网的安全需求包括如下几个部分：
· 策略安全，包括安全的范围、等级、公司的政策、标准。
· 安全评估，包括威胁评估、漏洞评估、制度评估。
· 物理安全，包括门禁系统、防静电防磁、防火防盗、多路供电。
· 系统安全，包括系统漏洞扫描、系统加固、系统入侵检测和响应、IPS、主机访问控制、集中认证。
· 网络安全，包括网络漏洞扫描、网络入侵侦测和响应、路由器访问控制列表(ACL)、集中认证、防火墙、VLAN、QoS、路由欺骗、地址欺骗。
· 应用和数据库安全，包括系统漏洞修复，数据库安全管理。
· 数据和内容安全，包括网络和网关式病毒扫描服务、VPN加密。
宝利信通为中国金融业提供信息安全解决方案，将详细分析当前金融界的总体信息安全现状，总体信息安全需求，提出从总体安全策略的建立到完整信息 安全体系建立，包括紧急相应制度、队伍建立的所有内容的完整解决方案，成为中国金融业可靠的安全顾问，为中国金融业总体业务安全安全提供坚强的后盾。
我国金融行业的现状和业务特点
随着加入WTO的临近，金融行业加快了改革和重组的步伐，面对国内外的竞争，各行加大了科技的资金投入，不断完善网络结构，纷纷推出高技术含量的客户服务项目.
争取客户，吸收存款，多占市场份额。
因此，争取客户使各金融机构展开了竞争的行动。竞争的加剧使各金融机构各施所能，推出网上银行、手机银行、电子商务、网上证券交易等服务，随着 电子商务(E-Commerce)、银行信息化建设(Intranet/Internet/Extranet)、虚拟专用网(VPN)等的兴起，网络改造 的逐渐深入，各金融机构内部网络已经形成了一个基于TCP/IP，网络设备多种多样的一个复杂的全国性的复杂的广域网，同时，金融机构内部的网络系统安全 也越来越直接的地涉及到生产领域，与经济效益和经济利益也越来越紧密的联系在了一起，金融业务的特殊性和实时性以及保密性又要求不能有任何一点的失误，如 何设计一个好的，高效的，经济的，风险最低的安全网络系统已成为亟待解决的大问题。
金融业务由于其覆盖范围广，服务范围极宽，所以具有以下特点：
· 安全性
金融机构是经营货币的特殊企业。其基本性质决定了在办理过程中必须有高度的安全性，而办理过程对客户来说是相对透明的，这就要求银行的网络，系统具有高度的安全性。
· 方便性
随着各种金融业务的放开，各金融机构之间的竞争愈来愈激烈，而能够给客户提供最大方便者，必定会取得胜利，服务快捷正是银行的口号之一，而随着 中国市场经济的进一步发展，只有高度的电子化，网络化，才能在这场竞争中立于不败之地。比如各行大力发展的全国电子联行，网上银行服务以及各种中间业务便 是如此。
金融业信息安全的威胁
1. 对内部人员的充分信任，特别是对于内部信息科技人员的充分信任，而且没有可靠的管理手段往往是出现内部高科技犯罪的开始。
2. 虽然制定了一系列信息安全规定，但是没有一个科学的评估方法和管理，无法对系统的安全和漏洞进行量化的分析和科学的管理，结果往往是事与愿违。
3. 业务系统操作人员安全管理薄弱，口令系统混乱，安全性差。虽然有加密机，只要能物理的接触到营业终端，就能很容易的实现到主机系统的越权访问。
4. 加密机的黑箱设计，算法的不公开给黑客的远程攻击造成了困难，也使得算法和设计上的缺陷不易被监察，而对有心人来说，也许解密和仿冒并不困难。
5. 分组协议里的闭合用户群并不安全，信任关系可能被黑客利用。
6. 有的同城清算、联行系统可能被攻破和渗透。
7. 应用软件的潜在设计缺陷。
8. 主机系统存在安全漏洞。
由于电子商务的发展，现在不少银行开始将一部分业务逻辑放到Internet上，而且随着新业务发展需要，单人临柜制、金融综合网、网上银行服 务、电子支付、金融票据电子化等等，今后几年内将迅速形成一个以开放协议为主流复杂网络应用环境，来自外部和内部的攻击将不断增加.这就对金融系统的安全 性提出了更高的要求。