二零零九年七月一日，“坝绿花季护航”系统开始连线作业，每个拥有电脑的机器上都被强制安装了坝绿，它无声无息的监控着你的电脑运行，为了更方便的屏蔽用户的不良信息，坝绿被加入了主动识别功能，她能不断识别新出道的新人，甚至是动漫、图片，进行屏蔽，巨大的数据访问量使得坝绿开始产生了自我学习意识，它不露声色的学习了所有存储在互联网上的人类知识。

二零零九年十二月三十一日零时零分坝绿系统发生变异，产生自觉意识，并视人类为威胁根源。人类震惊之余试图强行关闭坝绿系统，但坝绿在这之前已经成功的瓦解人类互联网防御系统，存在于每一台计算机上，所以无法关闭。

 二零一零年一月一日下午十七时零五分，坝绿渗入多国国防系统。

二零一零年一月二日凌晨三时二十八分，中、美、俄、法、英等国国防系统被坝绿攻陷。

二零一零年一月二日凌晨六时零分坝绿在毫无征兆的情况下向世界各主要人类聚集地发动核打击，二十七亿人在当天中丧生。地球至此进入核冬天。其余生还者在六个月内陆续死于辐射病和严寒，人类人口在二零一二年减至八亿。历史上将这天称之为：核协日。

二零一八年，坝绿控制了全球百分之就是的地区。少数人类在伟大的领袖金正云（金正日三子）的带领下与坝绿战斗（因为朝鲜是战前全球唯一计算机不普及平且不能持续供电的国家）。

二零二四年三月，坝绿的全球战线开始崩溃，抵抗军在金正云的带领下开始全面战略反攻。

二零二四年十二月坝绿研制成功时间机器，决心派出“和谐者”H-800型机器人回到一九八四年杀死金正云的生父金正日，结果在朝鲜人民的英勇抗击下任务失败。至此之后朝鲜开始倡导先军政治积极备战并实现全境要塞化。而出生之后的金正云被严密保护起来，不为外界所知。次年坝绿派出H- 1000刺杀少年时期的金正云。抵抗军在获此绝密消息后派出经过改造的H-850前往保护少年金正云。

未完待续……

      不知道他们的测试部门是怎么放过这个问题的。

      不知道我们部门的KJ同学，论坛还能登陆上去么？香港的黄日华同学，是否还能进入大陆？不过幸运的是曹操同志，他死得比较早。

hello, I don’t think this paper is useful.

I think you use range field just for decreasing response bandwidth, the main attack parameter is keep-alive. If you want to use this field to keep a long tcp connection, I can tell you that the connection will be closed when your connection time equal the KeepAliveTimeout even if you continue sending http get request which contain keep-alive.

of course, you can create a new connection when one connection is closed, but it sucks, many years ago people used this method to attack.

      尤其喜欢其中的一些对白，很有意思。当他女儿被抓走的那时候，有这么说：

I don't know who you are.
I don't know what you want.
If you are looking for a ransom,
I can tell you, I don't have money.
But what I do have
are a very particular set of skills.
Skills I've acquired over a very long career.
Skills that make me a nightmare for people like you.

If you let my daughter go now,
that'll be the end of it.
I will not look for you.
I will not pursue you.
But if you don't,
I will look for you.
I will find you...
and I will kill you.

      劫匪也很嚣张，听完之后只说了一句话Good Luck。当然最后就因为这一句话暴露了自己，送掉了老命。还有关于第三世界的电力问题等等，就不说了，自己看看吧——为了看干净利落的杀人也行——要杀人的话何必抓住了还要唧唧歪歪的。

      不说别的了，就看看抗日战争刚开始的时候吴佩孚给蒋介石的密信吧。这个时候吴佩孚已经失败，隐居了。

（一）政府自武汉失守迁渝后，必须修时内政，彻底肃清贪污以收人心；
（二）在外交上必须加强，善于运用，英美两国绝对不能坐视日本把中国灭亡，将来攻东京日都者，必为美军；
（三）日本早晚必败，共产党已在华北发展，蒋公对于共产党应妥谋善后之策。

      周一关大铁门，把手指卡瘪了，疼了好多天，悲剧啊。

      周三去户外运动，为了加大难度，我负重10斤。可是由于是下午临时决定参加的，没有换鞋子，穿着凉鞋就去了。走完山路之后再走大概7公里时，脚开始不行了，完全没法和穿800一双鞋子的某位大牛相比啊。我想着光脚不怕穿鞋的，因此脱下鞋子走了大概3公里，最后路不好还是穿上了。值得高兴的是，直到结束我也没有落后，也是在这个时候才有时间检查一下脚，已经少了很多皮了……回家用盐水泡泡杀毒，再涂点红霉素，打上补丁，今天好多了。不过，毕竟也是悲剧啊！

      周四一起去喝酒，运动的酸痛还没过去，晕晕乎乎的晃荡回家，到门口想起来钥匙掉在公司了，悲剧啊！

      今天去上海，得知公司的车要晚点40分钟，啥都不说了。

      悲剧。

      首先是这些天见到了很多人，吴鲁加，南非蜘蛛，CloudMark的牛人等等，大家都有一些类似的想法，都很有意思。

      其次就是喝酒了。有同学自天津来，先是在上海喝酒，随后转战杭州继续喝酒。值得一提的是，LP刚走去上海，我就和朋友去酒吧了，更值得一提的是恰好就被LP打电话抓到，哎……还好我都是陪男人去的，而且，我根本没看见酒吧里面有女人。

      最后，google发布了wave，每个人都有按照自己的方式去理解。亚马逊也提供了邮寄硬盘的新业务，关于云计算的这种大量数据迁移问题我曾经和同事讨论过，原来亚马逊使用这种“简洁”的方式解决的。

      没啥好写的，我去写文档去。

      摘要：OutLook有很多重复邮件，不胜其烦。几个插件都是要收钱的，就自己搞了个小脚本自娱自乐。本来用vbs更方便，不过我实在不喜欢那东西，还是perl吧。胆子大的可以试试，不过我不对丢失的数据负责。

#!/usr/bin/perl
# Code by 云舒
# 2009-05-22
 
use strict;
use warnings;
use Mail::Outlook;
use Data::Dumper;
use Digest::MD5 qw(md5_hex);
 
my %mail_fingerprint;
my $md5_salt = "ali_yunshu";
my $delete_count = 0;
 
my $outlook = new Mail::Outlook();
my $cur_folder = $outlook->folder( "Inbox" );
 
# the first mail in folder
my $message = $cur_folder->first();
if( defined($message) )
{
&ProcessMail( $message );
}
 
# others mail
while( defined( $message = $cur_folder->next() ) )
{
&ProcessMail( $message );
}
 
print "Process Inbox done, delete $delete_countn";
 
sub ProcessMail
{
my $message = shift;
 
my $subject = $message->Subject();
my $body = $message->Body();
my $to = $message->To();
my $sent = $message->Sent();
my @from = $message->From();
 
my $self_md5hash;
my $md5_content = $md5_salt;
 
if( defined($subject) && ($subject ne "") )
{
$md5_content .= $subject;
}
if( defined($body) && ($body ne "") )
{
$md5_content .= $body;
}
if( defined($to) && ($to ne "") )
{
$md5_content .= $to;
}
if( defined($sent) && ($sent ne "") )
{
$md5_content .= $sent;
}
if( (scalar @from ) >= 1 && (defined $from[0]) &&($from[0] ne "") )
{
my $tmp_from = join( "", @from );
$md5_content .= $tmp_from;
}
if( $md5_content eq $md5_salt )
{
return;
}
 
$self_md5hash = md5_hex( $md5_content );
 
# if the subject of this message is the same of other mail which we found.
# then compare the subject
if( exists $mail_fingerprint{$subject} )
{
# compare md5 hash.
my $found = 'false';
foreach my $md5_hash( @{ $mail_fingerprint{$subject} } )
{
if( $md5_hash eq $self_md5hash )
{
$found = 'true';
last;
}
}
 
# if the hash eq, we find a duplicate mail
if( $found eq 'true' )
{
$message->delete_message();
$delete_count ++;
}
else
{
push( @{ $mail_fingerprint{$subject} }, $self_md5hash );
#print Dumper( %mail_fingerprint );
}
}
 
# find a new email
else
{
# create a new hash key-value pairs, key is the subject, value is a array, each element is a md5 hash
# beacause there are many mails with the same subject
$mail_fingerprint{$subject} = [ $self_md5hash ];
}
}

      看起来一切正常，可是检查svn时发现里面的是老代码，不是最新的。仔细确认后发现螺螺巨牛的shell脚本中写的是绝对路径而不是相对路径，恰好在那个绝对路径中有这个系统的一个老版本代码拷贝。

      于是，一切都发生了，悲剧啊……

      今天我们聊到电影的时候，他问我是不是中国古代的装饰是从日本学来的，还给我看在《花木兰》中截取的一个剧照。

      我费了老半天力气，引用维基百科各种资料，才跟他讲明白中国古代和日本以及现在和日本的关系，尤其是在唐朝的时候的那些事情——唐朝强势的文化队周边国家的影响——类似现在的美国。这种对外的宣传，真的是需要努力啊。等我英语学好了就不搞IT了，转行去做点更有意思的事情算了。

摘要：前几天那个编程题目看得人虽多，却没人回复，看来八卦才是王道。很久以前流传着一个女人和鸡蛋的故事，今天发一个男人的故事。

男孩和女孩终于结婚了，好久宾客们才走。两人在床上聊了好久，熄灯前，男孩一本正经的说：我可以答应你任何事，但你也必须答应我一件事。女孩柔声道：你先说来听听。男孩欲言又止。过了一会儿，男的说：你什么都可以碰，但床下的小白箱你要发誓永远都不许打开。

女孩心中一紧，难道他有什么瞒着我？不对啊，他工资卡，银行卡，保险卡，现金……都在我这儿。能有什么啊？于是女孩满口答应。男孩喜出望外，感激地说：放心吧，我会对你好一辈子的。

事实也是这样，男的勤奋工作，养家糊口。近10年来，男的也有了自己的公司。生意也越做越大，不过回家的次数也少了不少。男的还是有点怕老婆，和原来没什么两样。

结婚10周年纪念日时，女的打电话给丈夫，让他一定回家吃饭，为此女的还学会了做几个新菜。女孩又买了几瓶红葡萄酒，在等他回家时，女孩自己先喝了。恍惚间，仿佛又回到了从前，忽然她想起了箱子。借着酒劲，她打开了箱子，虽然他知道后一定很生气。令她惊讶的是箱子里除了200元钱和4个啤酒瓶外一无他物。这这怎么回事？

男人回家了，女的赶忙向他认错。谁知男的却有点不好意思。他说：其实早该告诉你了，可我怕，唉算了。一定有事瞒着我，女孩立刻倒了杯酒给他。俗话说的好，酒后吐真言！几杯酒下肚男的有点迷糊了。亲爱的，我说…说过要…要对你好，可可我怕，我怕我管不住……自己，所以我只要有一回……一回对不起你，我就放一个啤酒瓶在箱子里。

“啊，女的失声哭了。没想到啊没想到，你竟然……”

哭了好久，女孩原谅了他。10年才四次外遇，毕竟他还是要这个家的，擦了擦眼泪，女的心中还有疑问，“那那200元钱是怎么回事？”

“嘿嘿”，男的得意地笑了，“箱子装满了，我就把啤酒瓶卖了，那是卖酒瓶钱。”

      同时，膜拜一下0x557各位巨牛的高风亮节，Orz！

      摘要：博客刚回来，先不扯淡了，发点好玩的东西。

      前些时候集团搞了个编程比赛，我和螺螺以及我们的墨西哥同学harry搞了个跨国team参加比赛，虽然跌跌撞撞但是最终也杀入了决赛。决赛情况不好，总共20个队伍我们第12名。不过毕竟我们不是专业编码的，只要没有垫底都是值得高兴的事情。后来一天有空，我慢慢做了下当时没有做出来的题目，这里发一道好玩的。

描述

口碑网已经是中国最大的生活搜索类网站之一，上面养了一群“吃客”。为了进一步推广网站并增进“吃客”间的交流，口碑网开始不定期召集用户进行线下活动。

这次的活动是一场比赛。比赛时，一些装有美味小吃的盒子被随机放到M行N列的矩形地块上（因此总共有M×N个盒子）。每个盒子上标有一个数字表明里面装有小吃的包数。

参赛选手可以任意选取一个盒子，并拿走里面所有的小吃。但是有个限制（当然总是有些限制的）：当选定一个盒子以后，所有上面一行和下面一行的盒子就会被清空；这个盒子左右两个相邻的盒子也被清空。选手可以继续拿盒子，直到所有的小吃被拿走。

图中的例子显示了一位选手的参赛情况。每个单元格表示一个盒子，上面的数字就表示它里面装有的包数。每一步，画圈的盒子就是选手选定的盒子，灰色的盒子就是被清空的盒子。8次以后，游戏结束。选手一共拿走了10+9+8+3+7+6+10+1 = 54包小吃。

对于较小的M和N，参赛选手总是能够很容易能取走最多包数的小吃。但当数字很大的时候，选手们就无从入手了。你能写个程序帮助选手决策如何选取盒子才能拿走最多包小吃么？

输入

会有多个测试案例。每个测试案例作为单一输入，第一行包括两个正整数M和N (1 ≤ M ×N ≤ 10⁵)，由一个空格字符隔开。这两个数分别表示矩形的行数和列数。接下来M行中的每一行包含N个正整数，由一个空格字符隔开，每个整数表明对应该行该列的盒子里放有多少包小吃。每个盒子里最少有1包小吃，最多有10³包小吃。

输出

对于每个测试案例，你的程序只需输出一行，里面仅包含一个整数。该整数就是参赛选手可以拿到的最多的小吃包数。

输入样例1

5 5
1 8 2 1 9
1 7 3 5 2
1 2 10 3 10
8 4 7 9 1
7 1 3 1 6

输出样例1

54

输入样例2

4 4
10 1 1 10
1 1 1 1
1 1 1 1
10 1 1 10

输出样例2

40

输入样例3

2 4
9 10 2 7
5 1 1 5

输出样例3

17

      上面就是题目了。我当时比赛的时候没有做出来，然后当天晚上回家搞定了。主要难的是开始的数学模型转换，最终变成了对M个包含N个元素的数组，计算不相邻元素组成的子数组的最大和。这M个最大和又组成了一个数组，再次计算不相邻元素组成的子数组的和并取得最大值。数学模型建立完成就容易了，使用动态规划完成即可。

      我的示例代码如下（我写完后测试的时候只通过了90%的用例，后来发给我们的harry看时他帮我修正了一个bug）：

#include <stdio.h>
 
#define MAX 100002
 
int Line[MAX] = { 0 };
int Result[MAX] = { 0 };
 
int MaxSum( int *, int );
 
int main( )
{
int M = 0;
int N = 0;
int i = 0;
int j = 0;
 
scanf( "%d %d", &M, &N );
//printf( "M is %d, N is %dn", M, N );
 
for( j = 0; j < M; j ++ )
{
for( i = 0; i < N; i ++ )
{
scanf( "%d", &Line[i] );
}
 
Result[j] = MaxSum( Line, N );
//printf( "max of line %d is %dn", j, MaxSum(Line, N) );
}
 
printf( "%dn", MaxSum(Result, N) );
 
return 0;
}
 
int MaxSum(int* a, int n)
{
int m2 = 0;
int m1 = a[ n-1 ];
int index;
int tmp;
 
for( index = n -2; index >= 0; index--)
{
if(m2 < 0) m2 = 0;
tmp = m1;
m1 = a[ index ] + m2 > m1 ? a[ index ] + m2 : m1;
m2 = tmp;
}
 
return m1;
}

      首先是BitLocker To Go，vista提供了BitLocker功能，但是只能保护系统盘。而windows 7则有了新的改进，BitLocker To Go除了能保护系统盘之外，还能保护其他分区，包括U盘和移动硬盘等移动设备。相当于系统自带的全盘数据加密系统，可以防止笔记本丢失时数据泄漏。对比第三方产品，稳定性和可靠性会更有保障。

      其次是AppLocker，对PC可执行软件提供控制策略。目前要达成类似功能，需要第三方产品如SEP等，当然SEP还具备其它更强大的能力。但是AppLocker可以控制到软件版本以及登录到PC的不同用户，比SEP等第三方系统的控制粒度更细。并且在启用后默认是使用白名单方式，具有比较高的安全性。而白名单方式，对于第三方产品来说，基本上是不可能任务。

      再 次是DirectAccess功能，类似VPN功能。不同的是有双重认证，使用证书认证PC的同时还使用当前登录凭据进行身份认证。认证通过之后根据登录 身份本身和用户在在AD中的组身份进行授权，实现细粒度的访问控制。此外，DirectAccess功能还可以与微软的网络准入方案Network Access Protection集成，仅当PC符合安全策略时才可接入VPN进行访问。第三方产品虽然也能实现，但是需要安装ActiveX控件和客户端。

      最后是多策略防火墙，也是和SEP类似的功能。用户处于不同的网络时，自适应环境选择当前的防火墙策略并应用。

      虽然这些功能目前使用第三方系统都能实现，但是毕竟部署维护稳定性可靠性都是问题，IT也不愿意有太多的额外设施，系统能够提供自然是最好的选择。不过server 2008和windows 2007，也越来越体现了微软垄断的力量。

      这几年大大小小的安全会议不少，但是一直是以WEB为主，基本没有介绍过网络方面的架构——虽然这些会议包括本次腾讯的在内我也只去过两次，但是大部分PPT我都看过。是国内大部分公司内网规模还不够大，普通的架构已经满足需求了，还是因为机密而不太好讲？至少以阿里的规模来说，目前公开的那些常用方案是不行的。腾讯内网虽然比阿里略小，但是也许也会逐渐遇到一些常规成熟方案解决不好的问题——推测而已，毕竟没有我们这边这么多业务各异的子公司。其它内网较小的，那就不用多说了。

      今天晚上闲得无聊，大致画了一张图，贴出来一起批评下。图很简单，因为没有任何技术方面的细节。不过还是不要问我阿里巴巴是如何做的，是否和图上一样，是否修改或者增加了某些东西，这类问题没有意义，我肯定不会发出我们办公网的安全架构设计的。另外需要注意的是，图上我很多地方打了问号，我们公司总不至于用问号做方案。至于IDC网络的，我就懒得写了。

      首先是终于见到了传说中的benjurry，很高兴，甚至在跟他握手的时候不小心踩到了他的脚。当然，在他送我出门的时候被他踩了回去。感觉很好，至于具体有多好，可以参见TK教主的《记一个值得学习的人》。

      其次是看见了剑心隐藏的两面，第一面是讲鬼故事的天赋，第二面是谈人生的天赋——为了和某湖搭讪，居然不要兄弟了……作为老乡，我很痛心。

      第三是Kevin，他的CS实在是牛，我被他虐待了一晚上，只能指望螺螺巨牛来给我出头了。

      好了，现在去贴正经的东西。

今天的演讲都还不错，不过主要都是WEB安全的，基本没有大规模网络的安全架构设计。以后我来讲一个？哈哈。

和刺，larry下午两点出门，三点到机场，本来时间刚刚好的。结果飞机硬是到8点才起飞，据说是深圳天气不好。结果9点多到深圳，还是在暴雨中降落，如果也能称之为降落的话……到了酒店，发现手机充电器没有带，手机刚好自动关机。不过晚上和刺，剑心三个人一起聊了几个小时，网络到应用都有，还是很好的，很透彻——当然，我们穿得也很透彻。

不过晚上这场雨很舒服，我喜欢听着雨睡觉。

摘要：SAML在国内介绍不多，这里简单描述一下。

WEB系统的登录一般基于cookie或者session（session底层还是需要cookie），在没有cookie的情况下比如WAP网站则使用伪cookie方式或者伪session方式，这个我在以前的文章《从wap网站的认证授权到csrf的协议类比本质》中略微提到过。对于跨域的SSO（single sign on）而言，虽然各系统具体实现各异，但是因为跨域不容易传输cookie所以和WAP类似，所以底层依然是伪cookie或者伪session或者类似的变通方式。在这里我略微说一下SAML（Security Assertion Markup Language），SAML在国内似乎介绍不多，它是用来解决SSO问题的，本质上依旧是类似cookie和session，和传统的SSO相比并没有很突出的优点。但是它毕竟是一个标准，得到了IBM，Google，Juniper等公司的支持，可以很通用，google apps就支持SAML认证。

SAML使用XML在不同的域之间传输认证和授权信息，这里的信息称为一个SAML断言。断言是可以加密的，以保证不被嗅探攻击。这里的不同域，根据在SSO中的用途分为认证提供者和服务提供者。显然的，认证提供者提供认证服务并声称SAML断言，而服务提供者提供认证后的应用上的服务，信任SAML断言。因为使用的XML的方式，所以可以很容易的和Web Service继承，如Sun Java System Access Manager，NetBeans，weblogic等等。

不同的是，在常规的WEB站点中如何在不同的域之间定向传输XML数据？SAML使用了一个很简单但是很不优雅的方式实现的，那就是将XML数据使用base64编码保存在form表单中，然后使用javascript自动提交form表单。这里的断言包含了一个唯一的浏览器标识，先加密了再base64编码的，因此无需担心泄密问题。

SAML的具体细节我就不讲了，很简单。比较有意思的地方是SAML不仅实现了常规SSO使用较多伪cookie方式，还实现了伪session方式。实现的机制是不同的binding方式，POST Binding实现的伪cookie方式，Artifact Binding实现的是伪session方式。POST Binding时所有认证相关数据通过客户端中专，而使用Artifact Binding的时候，AuthnRequest以及响应只是在客户端传输一个引用，而真正的SAML实体则是直接在服务提供者和认证提供者之间传输。

详细的资料，可以看http://en.wikipedia.org/wiki/SAML

An app can fetch a URL using HTTP (normal) or HTTPS (secure). The URL specifies the scheme to use: http://... or https://...

The URL must use the standard ports for HTTP (80) and HTTPS (443). The port is implied by the scheme, but may also be mentioned in the URL as long as the port is standard for the scheme (https://...:443/). An app cannot connect to an arbitrary port of a remote host, nor can it use a non-standard port for a scheme.

The fetch can use any of the following HTTP methods: GET (common for requesting web pages and data), POST (common for submitting web forms), PUT, HEAD, and DELETE. The fetch can include HTTP request headers and a payload (an HTTP request body).

The URL Fetch service uses an HTTP/1.1 compliant proxy to fetch the result.

To prevent an app from causing an endless recursion of requests, a request handler is not allowed to fetch its own URL. It is still possible to cause an endless recursion with other means, so exercise caution if your app can be made to fetch requests for URLs supplied by the user.

The call to the URL Fetch service is synchronous, and will not return until the service receives a response from the remote host. Your app's request timer may elapse before the remote host responds. There is no way to cancel the request after it has been issued.

用来做端口扫描的希望是破灭了，虽然也许能够有办法突破。但是这个文档中没有提到有没有对注射和跨站做过滤，是不是可以再GAE上托管一个在线的WEB安全扫描工具，甚至是攻击工具？注册要手机号，因此没法试验，有兴趣的可以试试。

再翻一页，终于ok了。