屈伟

iphone用一个按键实现了最好的用户体验，而联通却给他一个世界上最复杂的资费方案：

终于，悲剧来了。11月19日在淘宝商城开通联通iPhone的官方专卖店（http://iphone.mall.taobao.com/），到今天第8天了，就卖出去了3部。销售的三款手机是不带联通24个月合约计划的裸机版本，售价仍然是iPhone3G 8GB为4999元，iPhone 3GS 16GB为5880元，iPhone32GB为6999元。当然还不排除这3部是联通自己人买的可能。截图为证：

提醒1：联通可是花了大精力到处推广的。在淘宝里搜索iphone，页面做上面就出现一个大横幅的iphone官方专卖店的广告，并且在列表最前面也是iphone官方专卖店广告。

提醒2：联通还有促销活动，在09年11月18日至09年11月30日期间内，购买联通iPhone的用户，可以获赠一款价值599元的iPodnewshuffle4G。至今没有任何成功的交易记录。

再看看随便点开的一个水货iphone，“30天售出：622件”

项立刚在it龙门阵上说过，在中国最垃圾的产品都有人买。联通CDMA曾经出了很贵的高端手机，很多人都认为他卖不出去，没市场。结果联通还是卖出去了几万部。然后得意的说只要你做出来了，肯定有人买。

我想今天联通是想用同样的思路去推广联通iphone。虽然价超所值，他们总认为有傻子能上当。可惜的是，用iphone的人都智商很高，不那么容易上当。

联通，别玷污了我心中完美的iphone。玷污iphone，你不配！

一款产品的成功能影响人们对一个公司的看法。紫光输入法的成功，让我知道了清华紫光；搜狗输入法的成功让很多人了解到搜狗能做出如此成功的产品。搜狗品牌影响力也有巨大提升，甚至进而让人们觉得搜狐原来是个技术不错的公司。

同样，瑞星云安全网站联盟也让我提升了对瑞星杀毒软件的好感。

我自己平时用的2台电脑，一台电脑上装的瑞星，一台装的卡巴。过去的几年里我发现卡巴在发现网页木马方面比瑞星强（虽然偶尔误杀）。直到一个月前瑞星及时发现挂马网页才让我改变了这种观念。因为discuz的一个漏洞导致TechWeb论坛被挂马，只有用瑞星的用户访问时才提示网页有病毒，而卡巴、金山等都不提示。接下来连续好几次几次论坛被挂马情况都如此。这时我才猛然发现，瑞星查杀网页木马的能力原来这么强。

这应该就是瑞星云安全的功劳。如果一个瑞星用户访问了带木马的网页，瑞星及时获得了木马样本，那么木马网页的URL就会被记录下来。下次有其他网站被含有此URL的网页时，就能快速告诉用户，你访问的网页里有木马。 这种模式相比于一般的杀毒软件靠升级病毒库来分析每一个网页木马的形式更为快速更为有效。

瑞星云安全对网友来说能即时发现带有木马的网页。而对站长而言，上次我在体验了瑞星2010的云安全后就给瑞星建议，对发现木马的网站，“主动给网站管理员发封邮件通知”。这样站长就能及时处理网页木马，而避免对网站和网友造成损失。

幸运的是，瑞星真的推出了这样一个服务：瑞星云安全网站联盟 http://union.rising.com.cn/)。

站长注册后，填写网站URL和基本信息（Email等），当瑞星云安全监测到网站有木马时，主动给站站发送Email通知。 配合139邮箱的免费手机短信通知功能，站长只需要在接受报警信息的Email里填写139邮箱，就能在网站被挂马是实时接收到手机短信通知了。

较为不爽的是瑞星云安全联盟要求站长放置一段代码在网站上。虽然对于验证站长身份可以理解，但代码显示了一个很大的宣传云安全联盟的图片。不过冰雪聪明的站长们一定有办法绕过验证的（验证通过了再去掉代码，或者将代码放在隐藏的div中等等）。

瑞星云安全联盟是站长防挂马的利器。也必定能提升站长对瑞星好感。

1

陈一舟说，SNS格局已定。陈一舟说，校内从没facebook抄袭校内。陈一舟说，假开心网没有抄袭。千橡已经被评为“耍流氓脸不红心不跳”第一牛公司。

2

冯鑫说，后台联网程序所有播放软件都存在， 暴风影音没有后门。冯鑫说，5.19断网是黑客造成的。在被网友揭发后仍然继续玩炒作“召回软件”。作为死不认错的“流氓软件”当之无愧。

3

优酷说，我们没有盗版。搜狐敢说我盗版，是侵犯了我的名誉权。

4

校内是一个90%抄袭facebook的网站。facebook的每一个动作，就会被校内照搬过来。有那么10%是员工偷懒，懒得抄袭。地球人都知道的事实，在千橡口中居然是“facebook也抄袭校内”。

优酷是中国最大的盗版基地。为了防止国外的版权官司，封了国外IP。90%的都是盗版，有那么10%的正版放首页掩人耳目。对于盗版的指控，他们说：搜狐侵犯了我的版权和名誉权‎，对视频认知不够 ， 以偏概全。

5

这年头，人家抄袭你了，你不能说。小心反咬你一口；

这年头，人家软件的后门程序把6个省的网络都搞瘫痪了就死不承认。而且你还不能问，问了你是在挑衅。

这年头，人家盗版了你不能说。小心人家告你侵犯了他的“版权”和“名誉权”。

6

找小姐要小心。人家有“名誉权”的，还有牌坊。

7

微博里有人说，“有些人，撒谎装X是他们的生存本领，别跟他们较劲”。

（文：屈伟）

Tags: 优酷, 千橡, 暴风影音, 校内

上篇疯狂的挂马者1：解读网页木马的灰色产业链中提到，挂马者一般将木马放自己网站或者通过破解攻击将木马放有漏洞的网站上。将木马放自己网站上的模式无法持续，是一种杀鸡取卵的方法。原因如下：

1. 杀毒软件越来越智能。木马网页很快就会被杀毒软件发现，特别是瑞星这样有云安全的杀毒软件。网站的访问者肯定也会很快发现。他们肯定不愿意长期访问一个有木马的网站。所以忠实用户越来越少。

2. Google、百度等搜索引擎会屏蔽带木马的网站。直接砍断流量来源。其实大部分自己愿意放木马的网站都是没什么实质内容的垃圾站。主要靠搜索引擎带来流量。但Google会对有木马的网站在搜索结果上加一条明显的有病毒提示，而百度会直接人工屏蔽带有病毒的网站。

所以对挂马者来说，最好的方法是把木马放别人网站上，特别是流量高的网站。即能获得巨大收益，还能不承担什么责任（还没听说过有在别人网站上挂马而受到什么处罚的）。

要在他人网站上加一段代码，需要获得相应权限。常用的伎俩如下：

1. 获取服务器控制权限。 服务器权限都有了，改几个网页更不在话下了。一般是通过Windows的安全漏洞，获取服务器远程登录权限。对linux服务器一般是用穷举法尝试ssh密码。还有类似sqlserver权限提升之类的。

2. 破解网站管理后台密码。  一般的后台入口路径都是administration.php admin.asp admin_login.asp之类的，只需要先找到后台入口，然后用穷举法尝试各种密码，终究有一天能攻破。 观察techweb网站的apache日志，每天都能发现成千上万的以上述入口访问的记录。论坛后台每天也都能看到各种尝试的错误登录日志。

一旦得到了后台密码，就能以管理员身份通过修改模板或网站配置之类的方法挂马了。

3. 利用通用程序漏洞。如sql入侵，或XSS入侵，获取管理员密码。对asp而言还有无组件上传类的漏洞。

4. 利用开源程序的漏洞。如discuz最近连续出现重大漏洞，如自定义风格漏洞，导致大批discuz论坛(包括TechWeb)被挂马。

下篇预告：瑞星云安全网站联盟，站长防挂马的利器。

Tags: 挂马, 站长

郑昀的《他们在创新，我们在做什么？》中说在天朝的最有创造力的人“10%的人在复制互联网先进国家的应用，40%的人在复制前者的copycat应用，20%的人在尝试如何制造垃圾并推送给大家，20%的人忙于配合监管，5%在正正经经做电子商务，剩下5%在做注定要被封掉的应用。” 其实他说漏了一个。至少有10%的人制作投放木马并从中牟利。

看看瑞星的每日瑞星每日安全播报，包括奇虎、金山做安全软件的公司网站都被挂马，甚至连门户和大型新闻网站：搜狐、新浪、网易、新华网都被挂过马。这年头，基本上就没有没被挂过马的网站。

你每天访问的网站中，至少有一个是被挂马的，或者说被挂过马。你的各种帐号密码和隐私数据早已被各种流氓软件和木马偷了无数遍了，只不过有些对他们不能直接产生经济价值而懒得用。

之所以挂马者如此疯狂，是因为背后一条利润巨大的灰色产业链。链条结构如下：制作木马网页->嵌套在有漏洞的网页上->用户访问->中毒->将用户网银、网游、QQ等帐号和密码发送至指定地邮箱或服务器->盗取用户网银余额、网游装备、Q币等获利。

当然也有些木马不是为了获取网银密码，或是在用户电脑里安装一个程序，用来弹出广告或做见不得人的勾当。（跟暴风等流氓软件类似）

在这个产业链上，有这样一些人：

1. 木马运营者。组织制作者开发木马，组织站长或挂马者将带木马的网页挂在自己或他人网站上，通过木马获取的各种帐号获得收益。

2. 木马制作者。一般利用Windows或ie漏洞制作网页木马。用浏览器访问就可能中招。木马制作者需要不断更改自己的木马，以使得杀毒软件不报毒（也就是免杀木马）

3. 挂马者。分2种人，

1）站长。将木马放在自己的网站上。以隐藏的iframe或javascript代码形式将木马加载在自己网页上，用户访问时浏览器就会加载木马网页。所以你能在各个站长聚集的流量统计网站上看到“高价收购流量！”。下图是我刚刚在一个流量统计网站上的截图：

运营者一般按木马网页被访问的IP数给站长付费，每一万IP每天100-150块钱。而一般1万IP每天的网站如果放广告联盟中收益最高的google adsense，一个月的收入不会超过100美元.

2）“破坏者”（他们不配用黑客这个词，暂时这么称呼吧）。通过非法途径获取他人网站的控制权限，然后将木马网页代码加在网站上。盈利方法跟站长类似，一般有木马运营者或流量组织按ip数付钱。

当然这中间还有一层“代理商”，连接运营者和站长的。

计算一下，如果挂马者攻破了一个10万ip的网站，加入了木马网页代码。按1万ip100元计算，放一天就是1000块。一个月的收入是3万。如果木马很高明，杀毒软件也查不出来，网站管理员很难及时发现。而再算算木马运营者，10万ip意味着有10万人可能中木马。这其中至少10%的人使用网银、网游或QQ里有剩余Q币，也就是1万人。 木马运营者获得的收益至少是挂马者的10倍以上，不让不会如此疯狂。

挂马者之所以如此疯狂，是因为有一条成熟的木马产业链。链条最底层的挂马者都能获得巨大收益。

下篇介绍挂马者常用的黑他人网站的技巧。

Tags: 挂马, 木马, 站长

开发xnapps(校内网应用程序排行)花了不到12小时，尔后只是简单的维护。但尽管如此，xnapps.com一直成为研究校内网应用程序有力工具。app开发者、产品人员、媒体，甚至VC，都通过我12小时内完成的作品了解应用程序。今天我再次花了6小时完成了爱微博（iWeiBo.Cn）的开发全过程。

本人记录我在今天下午花了6小时完成的爱微博网站开发过程。

1. 缘由。在用新浪微博时就一直在想新浪微博又为twitter用户制造了麻烦。虽然新浪微博技术很烂，但以新浪强大的运营能力，前途无量。而短期内新浪微博不可能提供api。不想放弃新浪微博平台的twitter用户将一句话在不同平台上唠叨好几遍。

2. 构思。下午3点开始，觉得此需求可以完成，而且一下午的时间问题不大。开始构思。 整体平台希望能将国内用户常用的流行的平台整合起来（包括新浪微博、白社会、校内网、同事录、twitter、饭否等）。用户在一处发言，能同步到其他平台。如果都提供twitter形式api，可能很好解决。问题是白社会和新浪微博开通api的可能性较小。另外，可以提供msn、gtalk等im机器人，方便用户快速发布信息 和 新消息即使提醒。

3. 找切入点。花15分钟。全部完成2的构思可能需要较长时间，而且还不确定用户需求程度。但有将twitter同步到新浪微博可能是twitter用户需要的。所以第一步从此入口。花5分钟考虑，10分钟研究登录和发文新浪微博http请求过程 和 twitter的api。

4. 设计流程：

1) 简化用户注册。没必要再注册一次。直接以新浪微博用户名和密码身份判断。（后期换成任意平台的）

2) 先验证新浪微博帐号，没问题了再绑定twitter。

5. 写新浪微博模拟登录和发布程序。使用httpwatch观察登录页面跳转过程，用curl做模拟客户端。写代码和测试过程，费时1小时。

6. 设计数据库结构。新浪微博用户名、密码、验证状态，就能满足新浪微博部分了。对twitter部分，需要twitter域名、最新同步过的一条记录标识，防止重复同步。 另外再加一些辅助字段，比如最后更新时间等。

7. 网站名称 和 域名。动手做页面以前得把网站名称定了。随便查了几个，17twitter，iWeiBo两个被我看中了。就iweibo.cn 吧。名字就定为“爱微博”。沾点新浪微博的名气，好记！ 查询加注册，30分钟搞定。顺便先把域名解析做了，好让快点生效。

8. 设计界面。本来想找个css框架的。google出了好几个，发现css框架本身文档都很长，如果采用我一下午可能连文档都看不过来，肯定完不成网站，干脆自己动手。先用fireworks做了个简单logo。 然后随便找了个网站把css开头几行对body、a、input的定义复制过来了。懒得写。在纸上画了一个最简单页面结构图，最上面logo，中间左右分栏。简单的内容中间通栏就行。写了几行最简单的css，不到4层div，静态首页搞定！另存为将其他几个页面做出来了。随便将一些描述性的东西，比如爱微博是干什么的，FAQ、ToDo List写上了。 费时1个半小时。

9. 开始正式编码。把一起用的db类拿过来了。其他没什么可以用的，决定全部自己写。将了config.php配置，再建了sina.php类，来处理向新浪发微博（将5写好的php文件拿过来封装成类）。login 和 post两个方法即可。再建user.php类，get、getlist、update3个方法来处理对用户的数据库操作。 为了避免多次登录被sina封ip，这里将登录成功后的cookies保存在user表里。下次直接把cookies读出来用就可以了。花了2个小时。

10. 测试，调整页面。晚上9点时已经完成所有工作了。

11. 开通空间。在国内hostmonter空间里建一个站点，上传文件。然后去新浪微博、搜狐白社会发点广告，搞定！

看时间，晚上10点。去掉7点-8点吃饭一个小时，6小时完成网站全过程！

喝点水，休息下。

无意间看到了37signals的Getting Real印证了此开发开发理论。Getting Real是一个适合创业者采纳的更小规模、更快速、更高质量的软件构建方法。Getting Real理论强调构建现实，抛弃各种繁琐的步骤，最求精益。用迭代开发开发思路快速推出产品，抛弃不常用的功能。“做得比竟争对手少”。

我的实践和Getting Real的理论，快速开发的魅力感觉到了吗？

最后来点ad，爱微博：iWeiBo.cn 欢迎测试！

本系列话题，请在新浪微博里查看#给微博找茬#。欢迎关注我。

1. 总体用户体验太差，根本体会不到一个web2.0网站应该带给人的惊喜。

1）用微博，就跟用sina博客，用天涯社区医一样，让人到处是火。

2）链接里还到处都是 javascript:void(0); 这种老掉牙的东西。

3）一个web2.0的产品，页面url还到处都是/mymblog.php，comment/commentmsglist.php，yunying/hotmblog.php这样的地址。

2. 功能布局、页面设计设计混乱。

1) 直接访问 t.sina.com.cn 进了一个聚合页面，想进个人主页只能右侧有个小连接。在个人主页页面，经常不小心习惯性点击微博logo，又回到聚合页了。无数次，我发现回不来。

2) 导航到处都是，真正找又找不到！

3. BUG有一推！

1）居然能被XSS 攻击。搜索PHP，能看到页面里被XSS攻击后不断弹出的alert。

2）绑定博客失败。不是我一个人，看到好几个人说了。

3）翻页程序页码不对。随便找几个人，再他的页面上翻最后一页，提示“还没有发布微博？赶紧说几句吧”。没微博你还让我 翻页？ 请不起高级程序员，所以被XSS攻击；请不起程序员，所以连翻页的数字都不会算。

4）缓存机制太烂！明明发布了消息，在我的“微博”里能看到。但是在“我的首页”里却看不到。缓存机制如此之烂，做做静态页面的门户得了，来做什么web2.0？

4. 封闭的twitter，惊叹！没有api，不能绑定msn、gtalk。

今天的百度的会叫“2009百度技术创新大会”。记住，一是技术，而是创新。显然我们看不到任何创新，那么技术呢？

1. 上午CEO李彦宏、CTO李一男再加一个首席运营官叶朋。技术创新大会，关销售什么事？
2. 三个人的演讲中，CEO+CTO加起来不到半个小时，而一个销售主管的发言时间超过了30分钟。
3. 下午的分论坛，技术趋势、营销、电子商务等，营销论坛占用的场地大小是技术趋势的2倍。

然后再看看首席运营官叶朋上午讲了什么：
1. 一碗米，主妇煮成饭值1块，做成粽子值10块，做成白酒值100块。
2. 一个客户如何通过买了3000个推广关键词获得成功。
3. 挖掘用户搜索词，“鲜花”、“时装”都能跟广告联系起来。(这好像不是给百度的销售培训课堂吧？)

再想想百度的用户体验，结合平时百度搜索结果的几屏的广告，结论：
百度技术是小，营销才是大。

先看看李帅哥的演讲。
1. 搜索框2001年推出起，一直不变。(其实是google一直没变，所以你当然不变)

2. 百度推出框计算。(拜托，人家google早推出了整合搜索。抄别人的东西，改个名就叫创新？)

3. 李帅哥开始给我们演示搜索流程。语义分析、行为分析、人机交互、海量计算。画了几个简单的流程图，毫无技术突破可言。

再看看李一男演讲内容：

4. 先把李帅哥的演讲稿抄袭一遍，来个搜索流程；接着介绍阿拉丁计划。计算机抓取解决不了用户需求，让合作伙伴人工添加。(人肉来了。呵呵)

5. 百度地图。搜索框自动提示、线路拖拽、公交方案、交通流量、地铁换乘。居然还拿出一个功能对比，号称比google强。(哇，好牛啊。什么功能Google没有？)

6. 百科。 (人家说百科是框计算的组成部分。)

7. 手机搜索。手机搜索是“站在巨人肩膀上”，并解释说“巨人”是网页搜索。(拜托，你的巨人不是网页搜索把，我看是Google)

然后我们来列举一下什么是创新，什么是抄袭，什么是人肉。
创新：0条
抄袭：1、2、5、7
人肉：4、6

总结下，百度技术创新大会，我看不到有什么地方是创新的。只有抄袭和人肉。

（文：屈伟  http://quwei.techweb.com.cn  欢迎在保留原文链接前提下转载）

Tags: 百度

用了iphone你就知道什么叫创新，什么叫用户体验。在你拥有一个iphone以前，你可能无法想象快速输入短信的是大拇指而不是手写笔。你也难以想象只有一个按钮的iphone能有如此畅快的上网体验。

虽然在贵国，你享受不了iphone上畅快的看youthbe，不能很爽的用twitter，甚至在你拿到iphone的第一刻你就需要进行一系列破解（解锁、越狱、彩信补丁、cmwap破解等），更甚至iphone 3G还偶尔打不进电话，但这一切并不会影响你喜欢iphone的决心。因为一旦你用上的iphone，你就能体会到什么叫相遇恨晚。

iphone的巨大吸引力还在于app store，我认为也包括cydia和lcy。iphone的用户你能点几下鼠标就下载各种你能想象到的应用程序。比如我用到的gNotes(离线使用Google Notebook，有网络时又能自动同步)、iFile(浏览iphone里的文件，并能通过wifi访问)等，还有很多工具和游戏。

iphone固然好，联通iphone你会买吗？先看看我在TechWeb论坛上发布的投票结果：

总结下，不买联通iphone的7大理由

1. 用联通会遭人鄙视。大学校园里，同学都用动感地带，短信都在套餐里。如果你用联通，给你发短信不仅算不到套才里，还得1毛5一条。 而对商务人士而言，139开头的全球通似乎才是标配。

2. 联通信号不好。虽然北京的大街上铺天盖地的广告写着“联通信号好，地上地下都覆盖”，但地球人都知道这是天朝式语气，就跟“我们有人权”一样，信不信由你。

3. 换号损失太大。手机号就代表一个人。换手机号意味着你得重生一次。特别是买iphone的白领阶层，更不会为了“山寨iphone”去换号。

4. 联通业务混乱。 我们熟知的彩信、彩铃等，联通都用一些奇怪的业务来对应。还有，用联通的号意味着你用不了飞信的免费短信，用不了139邮箱的免费短信通知。还不知道你习惯的什么业务联通会没有。

5. 联通iphone会被阉割WiFi。有WiFi，iphone是一部电脑；没有WiFi，iphone就是一个普通电话。结合WiFi有很多精彩的应用，比如与电脑无线共享文件等。 虽然有人说联通iphone不是有3G吗？但是3G在只能在上网方面取代WiFi的部分功能，但是其他WiFI能做的3G也无能为力。还有一个重要的，只要有无线路由器的地方就能用WiFi，几乎是免费的。但3G上网是收费的，而且很贵，还限时、限流量。

6. App Store可能无法使用。按现在苹果不参与分成的模式，app store在联通版iphone上可能无法使用。 没有丰富的应用程序，iphone就只能是个普通电话了。

7. 国外开发者开发的破解软件可能在特殊定制的中国联通版本上无法使用。iphone破解和越狱后才更有魅力。而中国联通版iphone特殊定制的操作系统和硬件，可能致使这些软件和方法无法使用。

有人可能会说大部分用户只把iphone当电话用。用不着什么WiFi，用不着什么应用程序。注意， 联通iphone的价格会是2500元以上。一个只把iphone当电话用的人，需要花买智能机的钱吗？而且说实话iphone的电话、短信功能不好用。如果只想买普通电话，那应该随便买个普通手机。

被阉割的iphone，被联通玷污的iphone，我不会用。

Tags: iphone