作者： 网路游侠

张百川（网路游侠） | 游侠安全网站长（前身为“网路游侠的信息与网络安全博客”，51CTO优秀独立博客）。深耕网络安全与数据安全27年，是陕西省信息安全标准化技术委员会委员、数字丝路安全智库专家、榆林市和延安市网络安全专家库专家、机械工业出版社计算机领域专家咨询委员会委员。30余次担任省市级网络安全攻防演习裁判长/专家组长，对关键信息基础设施安全防护管理平台、网络安全态势感知平台、网络安全协调指挥平台有深入研究。
业界

从力拓案看中国保密法

　　四名力拓（Rio Tinto）在华员工因涉嫌从事间谍活动而被拘留，此案对中国法律体系和模糊的国家保密法再次提出了令人不安的拷问。
　　四名被拘留的上海员工包括力拓上海办事处总经理胡士泰。他拥有澳大利亚国籍，其他三人都是中国公民。新华社援引上海市国家安全局的话报导说，这四名员工是因涉嫌窃取国家机密而被拘留的。
　　新华社报导称，外交部发言人秦刚周四说，此案将依法处理。据法新社（AFP）报导称，秦刚还说，指控是有证据支持的，但是没有说明是什么证据。秦刚说，相关部门有充分的证据证明他们窃取了国家机密，对中国经济利益和安全造成了巨大损失。
...

网路游侠 2 分钟阅读 0
安全

删掉index.dat就能彻底删除上网记录吗？

　　最近QQ经常有网友加游侠（https://www.youxia.org），讨论关于上网记录清除的问题。说实话，这样的问题明摆着是想逃避监管……不过，我倒是想在这里说说：关于删掉index.dat就可以删除上网记录？

　　的确，网上很多地方都说：删掉index.dat就可以保护你的隐私了。并且网上多款上网记录清除工具、隐私保护

网路游侠 1 分钟阅读 0
站长

Shadow Web Analyzer

　　Shadow Web Analyzer是大名鼎鼎的SSS安全扫描器实验室safety-lab出品的一款Web站点分析工具，帮助你分析站点，找出潜在的错误。

　　Shadow Web Analyzer
　　In the modern world having a nicely set up we

网路游侠 2 分钟阅读 0
业界

国家保密局涉密信息系统安全保密测评中心系统测评陕西省分中心成立

　　2009年7月17日，国家保密局涉密信息系统安全保密测评中心（以下简称“国家保密局测评中心”）和陕西省国家保密局组织了对筹建的系统测评（陕西省）分中心的现场检查评审。评审认为，设立在西北工业大学的涉密信息系统测评实验室基本符合国家保密标准BMB14-2004《涉及国家秘密的信息系统安全保密测评实验室要求》，筹建的系统测评（陕西省）分中心符合国家保密局测评中心系统测评分中心的有关要求。同日，举行了系统测评（陕西省）分中心授牌发证仪式，系统测评（陕西省）分中心正式成立。
　　系统测评（陕西省）分中心是国家保密局测评中心的第26个系统测评分中心。

网路游侠 1 分钟阅读 0
业界

Gartner 2009 DLP市场报告：解读与分析

数据丢失防护（Data Loss Prevention，DLP）市场在近几年取得了突飞猛进的发展，并且迅速成为最炙手可热的IT焦点之一。本文针对Gartner 2009年最新发布的DLP市场报告，做一番解读与分析，希望通过本文能够让读者对DLP市场的现状和前景有一个更清晰的认识。

市场趋势

尽管全球经济目前尚处于低迷时期，但“内容感知的DLP”市场在过去的一年中依然发展迅猛，逆势而

网路游侠 5 分钟阅读 0
业界

企业内部控制基本规范

发文标题： 关于印发《企业内部控制基本规范》的通知
发文文号： 财会[2008]7号
发文部门： 财政部　审计署　中国保险监督管理委员会　中国银行业监督管理委员会　中国证券监督管理委员会　
法规类型： 内部会计控制制度　
所属行业： 所有行业　
所属区域： 全国　
发文内容：
中直管理局，铁道部、国管局，总后勤部、武警总部，各省、自治区、直辖市、计划单列市财

网路游侠 5 分钟阅读 0
安全

wordpress281评论显示xss漏洞

wordpress281评论显示xss漏洞
by kxlzx inbreak.net
 
ps：感谢鬼仔'blog，XEYE's blog协助测试。
实际上是个XSS漏洞。
 
POC：
XML/HTML代码

...

网路游侠 3 分钟阅读 0
安全

sablog1.6的CSRF漏洞POC

从空虚浪子心的博客转过来的。

sablog1.6的CSRF漏洞POC。这个在我的blog中测试成功，官方下载的最新版本测试成功，但是在小泽的blog失败的。原因是他自己修改了源程序，判断了referer。

POC:

SHELL代码评论时，网站地址输入：http://www.inbreak.net/blog   然后内容是：你好，可以给我做个链接么？ 管理员后台登陆后，如果点

网路游侠 1 分钟阅读 0
安全

数据防护(DLP)市场企业竞争加速

　　在数据防护（DLP）领域，除了开源外，包括Reconnex, Orchestria, Vontu, Provilla和Tablus等新兴创新性数据防护（DLP）技术厂商都相继被麦咖啡，CA，赛门铁克，趋势科技以及RSA（EMC下属的安全公司）所吞并，尽管Fidelis Security Systems这样的公司依然保持独立运营。

　　随着数据防护（DLP）领域掀起的收购狂潮，成熟的安全厂

网路游侠 7 分钟阅读 0
安全

安全观察：四家海外银行的安全网银之道

　　圈里有这样一则真实的故事：某银行软件开发中心的一位工程师费劲心血开发出一套网银安全认证程序。之后，他恰好调到网络银行业务部门，于是他决定体验一下用自己开发产品的感觉。结果，耗费了一天的时间，他都没能安装利索自己开发的软件。

　　这则故事告诉我们：一方面，软件开发者和应用者的思维逻辑和关注重点是不一样的；另一方面，易用性其实是目前网银安全技术产品的应用瓶颈。而后者正是“2009中国国际电子银行发展论坛”上，与会者讨论的焦点话题。

　　其实，从数字证书到USBkey再到动态口令卡，业界对网银安全工具的技术问题的争议已经很少了，大家更关注的网银安全工具的易用性和厂商的行业经验。目前，国内市场应用的主流是USBkey，而国外银行大多是应用动态口令卡，采用双因子认证（一是认证网银用户的用户名和密码，二是通过动态口令卡等身份认证方式来认证用户信息）。论坛上，来自英国渣打银行、瑞士邮政银行、美国花旗银行、意大利BNL银行的四位网银专家分别从各自所在银行的应用实践角度出发，分享了其网上银行应用安全保障的经验。
...

网路游侠 7 分钟阅读 0
随笔

用户说某产品的测试：高开低走，最后停盘

　　今天在某省级政府单位进行技术沟通，谈到他们测试的流量控制系统，用户说了一句很经典的话：
　　“高开低走，最后停盘”
　　我问，详情如何？
　　曰：测试的产品一款不如一款，最后直接断网了……有的挂上慢一些也就罢了，“杀敌一万，自损三千”尚且可以理解，但是某款宣传的蛮好的产品居然挂上之后网卡和交换机有兼容性问题，乃至于无法上网！还有某厂家的测试的时候需要一个个的添加帐号，否则无法上网。配合测试的工程师直接说：算了吧，上千人添上都累死了……不用测了。
　　所以说产品的测试是“高开低走，最后停盘”。
　　游侠想说：
　　做产品，一定要以客户实际需求为主，切忌研发闷头写产品，否则注定是被市场抛弃。
　　不写了，明天早上还得被闹钟叫醒去外地给客户做网络安全测试……
　　估计睡眠时间6小时，明天至少在车上6小时。晚上回西安如果不出意外的话是得“披星戴月”。

网路游侠 1 分钟阅读 0
业界

数据泄露防护DLP市场八大预测

　　在中国市场上，存在两种截然不同的数据泄露防护（DLP）解决方案。一种由国外信息安全厂商所提供，来自赛门铁克、麦咖啡、EMC（RSA）、趋势科技、Websense等。这类DLP解决方案以信息分类为基础，结合外设及网络协议控制、信息过滤等技术来防止敏感数据泄露；另一种是由国内信息安全厂商提供，以文档透明加密和权限管理为核心，结合了文档备份、文档外发控制、网络边界控制、终端管理等功能。这一类以北京亿

网路游侠 4 分钟阅读 0
业界

中国数据泄露防护（DLP）市场分析

根据所部署的位置的不同，数据泄漏防御方案可以分成基于网络的数据泄漏防御方案(NDLP)和基于主机的数据泄漏防御方案(HDLP)。大部分数据泄漏防御方案是基于网络类型，少部分是基于主机类型。基于网络的数据泄漏防御方案通常部署内部网络和外部网络连接的出口处，所针对的对象是进出单位内部网络的所有数据。基于主机的数据泄漏防御方案则部署在存放敏感数据的主机上，当其发现被保护主机上的数据被违规转移出主机时，HDLP会采取拦截或警报等行为。

网路游侠 3 分钟阅读 0