第一、安装金山网盾时无最终用户许可协议，也没有其他双方(软件提供商和最终用户)之间的一个使用协议

因此，在你安装金山网盾时并不意味着你许可金山网盾kwsupreport.exe上传你系统内的任何数据，同时亦不能保证金山不会将它收集到的数据泄漏或用以其他用途

第二、kwsupreport.exe这个进程上传加密压缩的数据时，未尽告知义务

该进程联网上传时，对用户无任何可见提示，更没有询问用户是否允许上传

基于以上两点我称其为"偷"，尽管金山的官方人员看了会很难受，但这就是事实。

下午闲来无事，打开刚结束不久的19届VB年会的PDF，接着品读其中感兴趣的文章。

今天阅读的是ESET公司Juraj Malcho的一篇名为<IS THERE A LAWYER IN THE LAB>的文章，主要讲得是近年来流行的灰色软件的发展状况和反病毒厂商所遇到的一些问题。与之前阅读的微软提供的MS08-67漏洞及疫情分析的文章不同，这篇文章行文风趣活泼，读起来觉得颇为有趣。

ESET由Zlob讲到Fake AV，再讲到Zango，直到最后的广告软件中国模式，从四个很有代表性的不同角度，将当今网络中网民可能遇到的"灰色幽默"描述的淋漓尽致且引人反思。尤其是最后一个中国正常软件广告化泛滥的例子，更能引发中国网民深思。

在讲到中国广告软件泛滥，甚至正常软件也开始广告化时，Malcho先殷勤的夸赞了我们民族；继而笔锋一转开始讲我们所在的大环境。当然这个大环境包含的范围很广，涉及到中国的网络环境、版权环境，以及中国网民的普遍特点和素质等等。

Malcho在他的文章中介绍了我们中国所特有的"绿色软件"("Green" Software)以及第三方修改版的Windows XP。指出"制作第三方修改版系统"和"提供绿色软件下载网站"等现象背后是由于广告所带来的经济利益驱使的。并且，中国网民对版权漠视，对广告习以为然，认为优秀杀毒软件只要能杀病毒就行了，觉得免费软件弹广告是很正常的事情。（幸好Malcho他不知道某些国产杀毒软件都开始弹广告了，否则…）

在这种大环境下越来越多的原本有用的正常软件，开始由共享(收费)软件改为免费软件，但是，在免费的同时，这些软件开始了正常软件广告化——界面广告、弹出广告等等。

而这种背景和"文化"（我词穷，暂且称之为文化吧）与国外是完全不同的，所以Malcho在这节将结束时抛出了国外反病毒厂商病毒分析师们所普遍困扰和让他们无比头疼的事情，即某个软件的确有些用，但会弹出广告，是入库还是不入库？抑或是采取双重标准，将中国软件特殊化对待？

Malcho在文中把这种复杂的"中国特色"排在最后，视其严重性和困扰性更甚于Zlob、Fake AV和Zango，由此不难看出，一个国外安全厂商要做好中国市场的本地化的确不那么简单。当然这不是我们需要考虑的。

作为中国众多网民中的一员，我刚看完这篇文章时多少有些觉醒的感觉，但思考之后又觉得很正常了，这不就是我所一直生活的网络环境么？

最后附上相关原文：

最近卡饭论坛样本区修改、感染系统文件的样本异常的多

被修改的系统文件从最初的ComRes.dll到appmgmts.dll再到kernel32.dll，颇有一种大干快上的感觉

被修改之后再想补救，对普通电脑用户来说估计有些困难，到最后还是重装(或Ghost)了之

记得Avast! 4.x有个备份的功能，这个功能用好了也可以很容易的还原被修改的系统文件

但如果要防止系统文件被修改，个人感觉最好的保护办法还是使用HIPS来保护

这几天测试江民的新版防火墙中所谓的新智能主防时，发现江民对这类病毒似乎也做了特殊处理

有图有真相：

改天再来测测微点是如何来处理这类病毒的

PS.如果微点能关闭特征码就好了，囧得是很多样本特征码直接报了…

想了半天也没想出叫啥名字，就叫无题吧

回家了，又来了

想想真觉得应该早点回家的好

嗯，你们都等着吧

先是跟韓國那邊失去了聯絡，然後是用在工作上的硬碟也當掉了，無數資料正在緊急搶救中

緊接著，臺灣佬一天一次的催促著我，由於資料丟失我也沒有辦法迅速跟進，只好整天在無聊中度過

公司也越來越ぺ，巨多網路站點都無法訪問，上下載速度也由1MB/S降為60KB/S

好吧，你看到這裡的時候，我也該坦白我瘋狂了…

但其實，我瘋得不是狂，我瘋的是寂寞…

[mm.exe]
1.创建文件：C:\avp.exe
2.创建进程net.exe三次，命令行为：
    net stop "Security Center"   //关闭安全中心
    net stop "Windows Firewall/Internet Connection Sharing (ICS)"   //关闭Windows防火墙
    net stop "System Restore Service"   //关闭系统还原
3.获取debug权限，重复第2步
4.创建文件：%temp%\wmnet.exe，创建进程wmnet.exe
5.创建注册表键：HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\*.exe
    其中*表示：36#deepscan;36#Down;36#safe;36#safebox;36#safeup;36#tray;a#p;CC#nter;eg#i;ek#n;es#libupdate;ex#db;no#32krn;no#32kui;r#v;R#s;Ra#Mon;Ra#MonD;Ra#Stub;Ra#Task;rf#cfg;rf#main;rf#Proxy;rf#srv;rf#stub;Rs#upd;Rs#ain;rs#etsvr;RS#ray;ru#iep;sa#ebank;sa#eboxTray;sa#eboxup;Sc#nFrm;Sm#rtUp;Up#ile;修复#具
每项下写入值debugger，内容为taskman.exe
6.创建进程cmd.exe，命令行为：
    cmd /c del c:\avp.exe   //删除C:\avp.exe

[wmnet.exe]
1.获取debug权限
2.创建文件(复制自身)：%CommonProgramFiles%\system\QQjiji.exe，创建进程QQjiji.exe
3.创建进程cmd.exe，命令行为：
   cmd /c erase /A:RHSA "%temp%\wmnet.exe"&cmd /c del "%Temp%\wmnet.exe"   //删除自身
   cmd /c ping -n 2 127.0.0.1>nul&del /F /Q /A : RSAH "%Temp%\wmnet.exe"   //延迟并删除自身

[QQjiji.exe]
1.获取debug权限
2.联网访问：h##p://ttjjll.cn/v.jpg，创建并将其中内容保存为：%CommonProgramFiles%\system\htrn_jis.dll
3.创建文件：admin.obj
4.读取注册表键：
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\PPStream.exe
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\WinRAR.exe
    HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\Storm.exe
获取WinRAR.exe、PPStream.exe、Storm.exe的路径并感染（非破坏性感染，可修复）
5.读取注册表键HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall及其子键，在exe的相同目录下创建ws2help.dll(源：admin.obj)
6.从htrn_jis.dll读取木马下载地址，下载：
    h##p://ttjjll.cn/1.bmp
    h##p://ttjjll.cn/2.bmp
    h##p://ttjjll.cn/3.bmp
    h##p://ttjjll.cn/4.bmp
    h##p://ttjjll.cn/5.bmp
    h##p://ttjjll.cn/6.bmp
    h##p://ttjjll.cn/7.bmp
    h##p://ttjjll.cn/8.bmp
    h##p://ttjjll.cn/9.bmp
    h##p://ttjjll.cn/10.bmp
    h##p://ttjjll.cn/11.bmp
    h##p://ttjjll.cn/12.bmp
    h##p://ttjjll.cn/13.bmp
    h##p://ttjjll.cn/14.bmp
    h##p://ttjjll.cn/15.bmp
    h##p://ttjjll.cn/16.bmp
    h##p://ttjjll.cn/17.bmp
    h##p://ttjjll.cn/18.bmp
    h##p://ttjjll.cn/19.bmp
    h##p://ttjjll.cn/20.bmp
    h##p://ttjjll.cn/21.bmp
保存为*.exe.bak，然后将其复制创建为exe，最后删除bak文件，然后运行
7.创建注册表键：
    HKEY_LOCAL_MACHINE\SOFTWARE\Baidu_bar
创建值setup，内容为1

此文非原创，最早见于卡饭论坛帖子“谷歌版金山词霸存在XSS”。

测试词霸版本：1.9(2009.06.05.15304.155)

尽管暂时尚未发现利用此漏洞的攻击，但是此漏洞可能被恶意利用。

用金山网盾保护谷歌金山词霸合作版后，恶意利用此漏洞时网盾提示如下：

在发布新版前的临时解决办法：

1.使用金山网盾等工具保护合作版金山词霸

2.卸载合作版金山，安装下载灵格斯词霸，经测试灵格斯不存在此漏洞。

另外，牛津版词霸未经测试，是否存在此漏洞不详。