Is this details information true?
2007年2月28日星期三
Hello,
This is to acknowledge you that I have received your mail. I live in a communist state and am government official, this reason has make me be very careful, I have arrange with a lawyer to assist you in transferring the fund to your account safety through the bank funds managers after the name of beneficiary of money have be change to your name. My dear I really need your commitment and trust toward this transaction.
You are to send to me the following information below.
1). Your full names.
2). Are you married?
3). What is your age/sex?
4). What is your profession?
5). Send your phone and fax numbers and Address.
6). Are you an orphan or have you orphan friend or Relative?
7). Valid Driver license or passport?
8). Country.
When you answer the questions and send me more of your information I will introduce you to the bank and the lawyer.
Please keep this business secret.
I wait to hear from you soon.
Best Regards,
Mou.
Caiwangqin 說：
I am having spring holiday in People Republic of China, so reply to you later.2007/2/19, Mou Xinsheng <mou_xinshengxx1@yahoo.com.hk>:
Dear Friend,
Thank you for your reply to my first email. I needed to be very sure of you before I disclose my identity for confidentiality purpose. I could not give you my true details in my first contact because I felt it would be huge surprise for you to receive such email from a serving minister of the People Republic of China. Now that you have replied the correspondence with interest I will give you more information about myself and the business.
My name is Mou Xinsheng (Minister of General Administration of Customs of the Peoples Republic of China).
Forgive me if you see my business proposal as shameful and not honorable because of my governmental status. But please excuse me and understand that this is the situation I am and must find a credible partner in the western world.
In my years of government service as Narcotics Control Commission and General Administration of Customs, I have received kick backs from smugglers and business people seeking favors from me and as a public officer my bank accounts are monitored hence I diverted the funds Thirty million United States dollars for safe keeping abroad.
I want you to receive the money which has been in deposit since the last Two years. When the money is in your bank account, I want to use Sixty Percent of the money for charity to help orphanage Children suffering (You will spare head this project and my name will not be mentioned).You will receive Twenty Percent as your commission and I will take the remaining Twenty Percent as my share which I intend to settle with in your country.
Please consider this proposal and reply to me soon. It will certainly do you no good to report me to my government authorities or devuldge this information to anybody because doing so will only destroy my person and my career.
Mou Xinsheng
reference:
http://www.chinavitae.com/biography/275
http://mail-index.netbsd.org/port-dreamcast/2007/02/13/0000.html
标签： Blogging
Debian / XAMPP / Ruby on Rails / MySql
2007年2月27日星期二
使用XAMPP能够很方便的安装Apache环境，在使用Ruby on Rails连接MySql时会出现以以错误：
No such file or directory - /tmp/mysql.sock
原因是XAMPP的mysql.sock文件在以下路径：
/opt/lampp/var/mysql/mysql.sock
Ruby on Rails 按照默认的路径去找，就找不到。在XAMPP integration上提到的Patch方法已经不实用于Rails 1.1.6以后的版本，正确的修正方法是修改config/database.yml文件，如下：
development:
adapter: mysql
database: depot_development
username: root
password:
host: localhost
socket: /opt/lampp/var/mysql/mysql.sock
参考：“Agile Web Development with Rails“ Page 72
标签： Technologies
ACTS_AS插件收集
5. Cartographer -Google Maps plugin
7. acts_as_solr-ull text search
10. Liquid markup
11. Acts As Taggable On Steroids
12. Acts As Image
13. Acts_as_Geo
标签： Technologies
Exploring the request lifecycle through the Mongrel and Rails source code
Here are the slides from my talk in Seattle Tuesday night. Unfortunately no audio or video was recorded. But you can still get a general idea from the slides.
Exploring the request response lifecycle through the mongrel and rails source code.
Link to Exploring the request lifecycle through the Mongrel and Rails source code
标签： Technologies
回到南京
2007年2月25日星期日
经历了7.5小时的高速客车和0.5小时的中途休息，终于在2007.2.26日零点到达南京。
我还是第一次晚上乘坐卧铺客车，躺在高速公路的车上，一抬头就能看见窗外的天空，月朗星稀，听着音乐 Come Away With Me, 感觉不错。
Everything will be start again since today.
标签： Blogging
评论：UUZONE失败分析
2007年2月24日星期六
2007年春节的前夕，UUZONE的失败已经基本尘埃落定，老同事对此的兴趣也渐渐淡了。我觉得现在是分析失败原因的时候了，一是现在感情因素的干扰少了很多，二，自己最近也在做现在公司新站点的重构事情，三，在新单位接触了很多企业管理的东西，也有了一些感触。1，技术方面：UUZONE的技术确实很强，站点的动态技术之多不胜枚举。我给我现在的同事看，他们都觉得技术上确实有很多创新的地方。但是任何东西都有两面性，过多AJAX动态技术的采用，对服务器的压力增加了不少。我曾经分析了一下后来UUZONE的代码，加载…
今天看到这篇文章，看完之后，只是对标题有些感觉。我觉得对于成功或失败，应该由局外人去评判。身为局内人，或是曾经的局内人，自己关起门来自我反省就可以了。正在梁启超所言：幸福的家庭都是一样的，不幸的家庭各有各的不幸。失败的公司也各有各自的失败原因，几年的经营不是几句话就可以总结分析完的。
败军之将，安敢言勇。败军之兵，亦不可言勇。对于失败或不可挽回的即将的失败，最好的方式是自己重新创造一个成功。
标签： Blogging
I’ll back after tomorrow
2007年2月22日星期四
FeedSky订阅源更新
重要通知：所有绑定域名的朋友，请在2月13日下午，把绑定的IP更改为61.4.177.3，切记切记。
发现FeedSky的订阅数量一直为0，登录FeedSky看到以上重要通知，重新修改了绑定的IP. 更新后的FeedSky订阅源如下：
标签： Technologies
Happy New Year!
2007年2月18日星期日
Happy New Year to you!
标签： Technologies
给您拜年啦
2007年2月17日星期六
- 新年快乐！
（此短信虽仅有短短四个字，却深刻地表达了发信人的祝福与情感，可谓言简意赅，短小精干，再加上以感叹号收尾，意境深远，有浑然天成之感，实乃短信之中极品，并且在新年还未到的情况下发，更体现了发信人朴实无华的品质、艰苦奋斗的作风、团结友爱的精神和超前的思维方式！ - 狗狗辞旧岁,猪猪迎新春.猪年到来之际,李晓恭祝您及家人新春愉快!身体安康!合家幸福!吉祥如意!
- 脑袋摇摇，大路条条；耳朵扇扇，阳光灿灿；屁股拱拱，幸福统统；尾巴翘翘，开心笑笑；金猪哼哼，脚步铿铿；烟花晃晃，钟声朗朗。
- “猪年”到了,我怕我的祝福没有捍马的力度;奔驰的速度;宝马的气度;没法挤上短信的高速公路!只有让猪儿驼着祝福提前上路!祝新春快乐!
- 春节祝你乐开花：美丽胜鲜花，浪漫似樱花，吉祥如雪花，运气似桃花，富贵赛牡丹花！
- 谢谢你我的朋友，这是我一生的财富。新的一年要迎春接福，财源广进，合家欢乐~猪年小猪给你最真的祝福。
- 小雨悄悄下,祝福到您家,一祝身体好二祝有钱花三祝工作顺四祝事业大五祝心情爽六祝工作佳七祝吃饭香八祝人人夸九祝年年发十祝福满家。春节快乐!
- 值此辞久岁，迎新年的美好时刻，在此我为中国四千三百亿条短信量贡献力量，向您和家人致以最诚挚的祝福：新年快乐，身体健康，阖家欢乐！
今年决定不去挤短信的高速公路，用BLOG给朋友们拜年，Caiwangqin给您拜年了！
标签： Blogging
拔号上网
2007年2月16日星期五
如此过年
2007年2月14日星期三
凌晨4点就被噼啪的鞭炮烟花声吵醒，接下来持续不断，这个习俗在老家叫“还福”，就是一大家子人，准备一大桌子菜，凌晨起来一起吃顿饭。吃饭之前还要放鞭炮烟花，越响越好。
妹妹今年上高三，过年只有10天假，带回来了几十页的高考复习题，高中生真的很辛苦。
昨天情人节，家里没有玫瑰，没有香槟，没有情人。有一本UUZONE的教科书。
标签： Blogging
Time to go home for spring holiday
2007年2月11日星期日
准备好了回家的行装，回家过年了，今晚我将在湖北黄冈。每一年中都要有15天时间陪父母，我回来了，我亲爱的爸爸妈妈。
过年这段时间我还是会上网，为了我家的电话也能有空闲的时候，上网是不固定时间的，请给我Email或手机。
恭喜发财，过年好！
标签： Blogging
party time at ZiJin mountain in Nanjing
Today afternoon, i have a party with uiparty(友派网). climb is my love game, healthy and have enough time do brain storming with partners. expect next time.
标签： Blogging
Skype 又玩欺诈
2007年2月10日星期六
支付宝控件漏洞——到底是谁在撒谎？
2007年2月9日星期五
文档维护：tombkeeper[Base64Decode(”dG9tYmtlZXBlckB4Zm9jdXMub3Jn”)]
文档创建：2007年02月09日
最后更改：2007年02月09日
cocoruder去年底向阿里巴巴报了一个淘宝旺旺ActiveX控件溢出的漏洞：
http://www.xfocus.net/articles/200701/901.html
结果阿里巴巴偷偷把漏洞补了，但是不肯发公告。
有了这个教训，前两天cocoruder发现支付宝登陆控件代码执行漏洞的时候就直接公布了：
http://www.xfocus.net/articles/200702/906.html
阿里巴巴的态度还是一样：偷偷把漏洞补上了。有媒体问阿里巴巴是不是有这回事，阿里巴巴完全否定：
http://tech.sina.com.cn/i/2007-02-08/06481375187.shtml
而且派人时刻盯着支付宝社区，凡出现相关主题的不利帖子立即删除，所以现在我们在支付宝社区能看到的都是“形势一片大好”的帖子：
http://club.alipay.com/show_thread-20-1–5930514-.htm
如果事情到此为止也就算了，安全研究界要的也不过就是对自己工作的认可，你想藏着掖着，我们也可以理解。彼此间也没什么深仇大恨，你不承认也就不承认吧。除了腾讯，国内的公司我还没见到几家愿意诚实地发布自己产品安全公告的，我们早就习惯了。
[separator]
但是事情没有结束。
昨天wlj在donew上发了一篇关于此事的文章，原来的链接是这个：
http://home.donews.com/donews/article/1/110127.html
但是今天早晨我发现这篇文章已经不见了。
而且还针对这篇文章请“天威诚信数字认证中心”搞了一个“专家检测”：
http://club.alipay.com/show_thread-79—5930928-.htm
最无耻的是，可能因为wlj在文章里引用了我说的“就在2月8号，支付宝控件升级了。如果没问题，升级什么呢。”，阿里巴巴来了这么一句：“为了用户更安全，我们加固了支付宝控件。如果您看到升级提示，请按要求操作。”这种行为不但是对全体支付宝用户的愚弄，也是对我们这些信息安全研究者的侮辱。
阿里巴巴在这里表现最突出的不是欺骗，也不是邪恶，而是愚蠢。认为死不认账就叫作危机公关了，殊不知裤子是遮不住屎的。下面就让我们看看阿里巴巴屁股帘后面藏的东西。
有问题的文件是pta.dll，这个东西属于“ActiveX控件”，只要装了这个东西，你访问的任何网页都可以通过IE浏览器来调用这个控件。也就是说，如果这个控件有问题，你在访问任何网站的时候，都可能被该网站上的恶意网页攻击，在机器上安装木马。这种漏洞并不是什么稀罕东西，最近几年从Flash到微软的Media Player等都出过很多类似的。而这种漏洞也是目前国内木马最为流行的传播方式。
明白了漏洞是怎么回事，再让我们来看看阿里巴巴的登陆控件到底有没有这个漏洞。是不是像“专家检测”的那样：“并未发现上述问题及其它隐患”。
先让我们来访问淘宝的登陆页面：
http://member1.taobao.com/member/login.jhtml
如果你以前没有安装过支付宝的控件，这时候就会看到一个安装的提示。在网页上点击右键，察看源代码，在其中搜索“aliedit”，你会看到类似这样的两行：
https://img.alipay.com/download/1009/aliedit.cab
http://img.alipay.com/download/1009/aliedit.exe
这两个都是支付宝的控件，前者是可以通过IE提示你安装的，后者是你可以手工下载安装的。控件的当前版本是1.0.0.9。
阿里巴巴在技术方面的愚蠢之处就是在事发后，仍然把各个版本的登陆控件保留在服务器上。所以我们可以通过访问下面这些链接取得所有版本的控件：
http://img.alipay.com/download/1006/aliedit.cab
http://img.alipay.com/download/1007/aliedit.cab
http://img.alipay.com/download/1008/aliedit.cab
http://img.alipay.com/download/1009/aliedit.cab
http://img.alipay.com/download/1006/aliedit.exe
http://img.alipay.com/download/1007/aliedit.exe
http://img.alipay.com/download/1008/aliedit.exe
http://img.alipay.com/download/1009/aliedit.exe
当然，本文发布后，阿里巴巴十有八九会把1.0.0.9之前的版本删除。不过我相信，在他们删除之前，已经有足够多的人看到了这篇文章，下载了这些文件。并且我已经把存在漏洞的1.0.0.7版文件传到了这里：
http://tombkeeper.googlepages.com/1.0.0.7_aliedit.cab
http://tombkeeper.googlepages.com/1.0.0.7_aliedit.exe
（相信阿里巴巴的活动能力不至于能从googlepages上删除文件，所以本文涉及的所有文件一律放在googlepages上。）
那么上面这些文件会不会是我伪造的，用来陷害阿里巴巴的呢？ActiveX控件的一大特点是必须有数字签名来保证其身份。请大家在aliedit.cab或者aliedit.exe上单击右键，察看其属性。在属性窗口里有“数字签名”这一栏。任何人通过察看这里都可以确认该程序是由阿里巴巴发布的。
如果你不太懂为什么数字签名可以证明这个程序的确是由阿里巴巴发布的，请致电专业的数字认证公司“天威诚信数字认证中心”(010-84603568 转 708），问问他们，数字签名是不是能够认定这一点。
没考虑数字签名这个茬，这是阿里巴巴在这件事情上第三个愚蠢之处。
存在漏洞的pta.dll是从1.0.0.7版开始有的。这个1.0.0.7版的数字签名时间是2006年2月 22日 23:00:31，也就是说差不多也就在这个时间之后不久发布。1.0.0.8版控件的签名时间是2007年2月7日 22:30:09，在这个版本中，pta.dll被修复。从2006年2月到2007年2月，这个危险在我们的计算机上差不多存在了一年。
那么这个1.0.0.7版的控件到底有没有安全漏洞呢？现在大家都升级了控件，怎么测试呢？
很简单，从这个地址下载1.0.0.7版控件，然后关闭IE等浏览器安装控件：
http://img.alipay.com/download/1007/aliedit.exe
如果上面这个地址已经下载不到东西，那就是阿里巴巴已经动手删除了，大家可以从我这里下载：
http://tombkeeper.googlepages.com/1.0.0.7_aliedit.exe
下载后请察看一下数字签名，确认是“ZHEJIANG ZHIFUBAO NETWORK TECHNOLOGY CO., LTD.”发布的，而不是我造的假。
安装时会提示“目标文件已存在，而且比源文件要新”，点击“是”确认安装。如果提示要重新启动，就重新启动，否则旧版本控件不会生效。
然后访问下面这个链接，这是cocoruder提供的一个测试代码，如果执行成功，会运行系统的“计算器”；即使不成功，也会让IE出错崩溃：
http://tombkeeper.googlepages.com/alipay_1007_calc_poc.htm
现在任何人都可以确定无疑地知道，在2007年2月8日之前，阿里巴巴的支付宝控件的确是有极其严重的漏洞的。
事情到此结束了么？还没有。
我昨晚抽空看了一下修复了漏洞之后的1.0.0.9版本的pta.dll，发现这个文件仍然有问题，虽不至于导致入侵系统，但还是可以导致IE浏览器崩溃。
无论你的支付宝控件是什么版本，即使是最新的，访问下面这个URL都会导致IE崩溃：
http://tombkeeper.googlepages.com/alipay_1009_crash_poc.htm
根据操作系统和IE版本的不同，你可能会看到类似这些的窗口：
那么作为普通用户，如何保护自己呢？
很简单，运行系统的“命令提示符”，在其中输入：
regsvr32 /u %SystemRoot%\System32\aliedit\pta.dll
这样就解除了pta.dll在系统中的注册，任何网页都无法调用它。大家再访问上面的链接就不会崩溃了。
其他地址：
http://www.appbeta.com/modules.php?name=News&file=article&sid=6409
http://home.donews.com/donews/article/1/110181.html
http://blog.sina.com.cn/u/4c23130a010006wq
标签： Technologies
Yahoo创新web服务应用最新推出pipe
What is Pipes?
就是对RSS进行过滤，重组，混合，生成新的mashup型RSS , 不要编程，图形界面 , 服务在yahoo的服务器上 , 开发出来的web应用调用yahoo服务器上的pipe，给客户端的访问者 .
Pipes is a free online service that lets you remix popular feed types and create data mashups using a visual editor. You can use Pipes to run your own web projects, or publish and share your own web services without ever having to write a line of code.
Unix的pipe没有玩好，RSS就出现了，RSS还没搞熟练，新的yahoo pipe又来临了, 体验已经做好的pipe 示范 .
http://pipes.yahoo.com/tags/example/
http://pipes.yahoo.com/docs/overview
Thanks bd7lx send me this message.
标签： Technologies
fixed rubygems install problem with zlib
2007年2月8日星期四
今天在全新的Debian服务器上安装Ruby on Rails环境，完成ruby-1.8.5
后，在安装 gem-0.9.2 时出现 no such file to load — zlib, 下载安装 zlib ，即可解决问题。
标签： Technologies
思维中的碎片
2007年2月7日星期三
现代系统理论
QQ币代收费进行小额支付是否有可能？
Wiki University上学习的内容不能放在学者的个人简历上
没有证书的教育 是否有市场？
大学生不学习，学习动机是什么？
深度学习
Web3.0 就是以手机为主导的
学习是大块时间，连续思考，手机使用是短时间的不连续的
二维码
资本主义营销，文化还是很重要
科举其实还存在
建立品牌
网络信任感，通过营销解决，培养用户口碑：“他们很好”这句话很重要
把老媒体直接搬到新媒体，不是Web 2.0
学习是一件痛苦的事!?
教育增长曲线和经济增长曲线是一致的
标签： Blogging
详解用radrails调试rails应用程序
2007年2月6日星期二
主帖: http://www.javaeye.com/topic/32669 对javaer来说，程序可以debug，尤其是单步debug是很爽的。跟着“应用rails进行敏捷Web开发”的depot程序大概走了一遍，感觉很棒，代码量非常少。但是有些美中不足的是很多地方都是知其然而不知其所以然，如果可以一步步debug到rails框架中去，应该可以更好地理解rails吧。带着这样的想法，开始找debug ror的方法。 在javaeye中搜过一下，得到了一些线索，但是没有特别详细的文章介绍这个。根据这些线索，还有参考在radrails官方网站上的debug tag下的文章。我找到了下面2篇文章： http://richtextblog.blogspot.com/2006/09/radrails-all-is-forgiven.html http://www.misuse.org/cms/article.php?story=20060913182223765 根据这两篇文章的介绍（特别是第一篇），我成功地单步调试了depot程序。下面我将我的环境配置以及调试过程在这里描述一下： <1> 我的环境： windows xp + radrails <2> 我的机器上已经有完整的depot工程了，可以正常运行。 <3> 在radrails的run菜单中选debug..菜单项，会出现下面的对话框。
<4> 在左侧的ruby application下建立一个新的应用程序配置。这里叫Depot。看上面窗口的右边，有4个tab。File Tab下，project下选择想要调试的项目，这里是depot；File输入script\server（应该是用来启动server的） <5> 在Arguments tab下解释器文本框中输入： -IC:\ruby\lib\ruby\gems\1.8\gems\rails- 如下图：
这里我的ruby装在 c:\ruby目录下。 <6> 在Environment Tab下，选择interpreter子 tab。选择合适的 ruby 解释器。如下图:
ruby解释器ee的定义在radrails windows菜单下的preference菜单项下，如下图：
<7> 在common tab中，确保选中复选框 allocate console，而不选 Launch in background。如下图：
<8> 至此，针对depot这个项目的debug配置已经全部完成了。现在可以在程序中设置断点了。我在 admin_controller.rb的 update方法中设置一个断点如下：
<9> 然后回到上面的那个debug菜单项，点击右下角的debug按钮，等待半分钟左右，控制台会显示以调试模式启动了webrick，假设是3000端口。 <10> 打开浏览器，访问 http://localhost:3000/admin/edit/20 。会出现Editing product的界面，product id 是20。在界面最下面有一个edit按钮。点击该按钮，等待。。。 <11> 很酷，radrails的debug 透视图中出现了单步调试的界面，如下图：
<12> 剩下的就和eclipse for java很类似了。有点不同的是，如果想要看某个变量，在代码窗口（上图中左中部）选中该变量，然后点击鼠标右键，选择inspect，该变量值就会出现在右上的Expressions的变量列表中了。 <13> 再补充几点： debug模式比正常的run模式慢不少，大家需要有点耐心。 在用debug模式启动server之前，要先将断点设置好。在运行时设置新的断点好像不起作用。 radrails进入断点时有时候需要切换透视图，debug透视图好像不会主动刷新 L 希望后续的版本能改进。
|
Link to 详解用radrails调试rails应用程序
标签： Technologies
情人节图片生成器
永远的座位
2007年2月5日星期一
我从不喜欢坐末班车，因为一旦错过将没有弥补的机会。
因为谈话忘记了时间，今晚从新街口回来时，错过了末班地铁，幸运的是还有后续的列车到小行。车上很空荡，有很多座位。这让我想起前两天我从新街口回小行的时候做的一个测试，永远的座位。
我记得以前看过一个故事，说一个老者经常出差，经常乘火车，有时候购买不到坐票，但他每次都可以坐到座位。他上车了，看到这节车箱很挤，就会从车头走向车尾，总会有车箱里存在空余的座位。眼前的情景总会迷惑人，看到这节车箱挤，就以为这列火车很拥挤，其实不然。火车经过这么多站，途中一定有乘客上下。我和林子从新街口上车时，看到上车的车箱很挤，于是决定做一次测试，向列车尾部走，只走了两个车箱，就发现了空位，继续往前走，发现了更多的空位。生活中眼前的局部现象，并不代表真实的状况，只需要将自己的位置移动一下，便可发现另一番情形。
这个测试可能在上海北京的地铁上做不了，会由于拥挤而无法在列车上穿行，还会引来大片怪异的眼神 
标签： Blogging
Keso 也走了
2007年2月4日星期日
2007-01-31 6:23 keso : Time To Say Goodbye
我一直相信，自由是惟一值得追求的东西，其他，不过是浮云。同时我也很清楚，自由是一件稀缺的东西，所以它昂贵。
2007-01-31 10:35 Yee : Keso leave the Donews
In the announcement,Keso didn’t explained the reasons for his leaving clearly.He just said he loved the freedom donews had given and thanks the founder liuren for undertaking his pressure,but not telling us what to do next.
标签： Blogging
some witkey sites
2007年2月2日星期五
k68 http://www.k68.cn
猪八戒 http://www.zhubajie.com.cn/
智囊团 http://www.1384.cn/
任务中国 http://www.taskcn.com
Mycase http://www.mywitkey.cn/
中国威客网 http://www.weikenet.com/
纬度威客网 http://www.visoo.cn/
www.elance.com
www.knowledgestorm.com
http://www.itmatchonline.org/
http://technologyevaluation.com
k68 in particular is a forum based system.
标签： Technologies
