<轉載>從 Firefox 近來發現的有害套件談起

轉載自http://irvin.sto.tw/2010/02/firefox.html
本文作者：irvin 部落格


稍早不久前（1/25 及 2/2 日），Mozilla 從 Firefox 附加元件網站中，移除了兩個內含 Windows 木馬的擴充套件「Sothink Web Video Downloader」及「Master Filer」。從此事件中，或許有些人會覺得疑慮，Mozilla Firefox 是不是已經不再安全了？我們以較為安全的理由來推廣 Firefox，是不是已經失去其說服力？更甚之：Firefox 的安全神話是否已經破滅？
 
Firefox 本身的安全性

對我而言，答案是否定的。相較於市面上最普遍的 IE 而言，Firefox 的安全性仍然遠遠超出其之外，也不輸給其餘網路瀏覽器。我的兩點理由如下：

一、較高的漏洞修補率：上個月駭客透過 IE 漏洞入侵 Google 及其餘公司，導致 多國政府呼籲改用它種瀏覽器 的事件至今仍未落幕；而 Firefox 在 Secunia 公司弱點資料庫的修補率，包含 Firefox 3.0、3.5、3.6 皆為 100%（Opera 10 與 Google Chrome 4 亦同 ）在此同時，IE6、IE7、IE8 則為 83%、74%、56%。微軟已承認，此次事件中被使用的 IE 漏洞早在去年九月已發現，修補時程卻排到今年二月，此等疏忽令人無法相信。

二、原始碼受大眾檢視：Firefox 的開放原始碼開發模式，使得程式中每一行指令都能公開在陽光底下讓人檢視，漏洞與弱點更容易被發現，沒有一絲容許作惡指令的空間存在。相較於封閉原始碼的 IE 及 Opera 而言，我更相信其安全性。

詳全文...

<轉載>不肖人士利用Firefox散播廣告程式及木馬

請注意，台灣的Firefox下載請利用MOZTW 台灣，或是到我推薦使用Firefox地方進行下載哦


新聞轉載

除了有業者利用偽造的Firefox來綑綁Hotbar外，Mozilla最近也因安全問題宣布移除 Firefox上的兩款擴充程式。

資安業者eSoft在上周警告，發現一偽造的Firefox下載網站，使用者只要下載該站所提供的Firefox就會順便裝上專門提供廣告及偵測使用者行 為的Hotbar工具列與Hotbar天氣應用程式；另外，Firefox也發現兩個括充程式含有木馬而緊急移除。 偽造的Firefox下載網站外表幾可亂真，但仔細一看內含許多錯誤資訊，例如所提供的最新版Firefox為3.5，但Mozilla所釋出的最新版為 3.6，以及將Anti-phishing（防網釣）功能誤植為anti-Pishing。 eSoft表示，偽造的Firefox下載網頁並非創造Hotbar的Pinball公司所為，而是其他第三方業者提供的，因為Pinball提供了安裝 獎金，如果第三方業者讓使用者安裝了Hotbar，Pinball最高會支付1.45美元的每次安裝費用。因此第三方業者不惜以偽造的Firefox夾帶 Hotbar。 Hotbar為一外掛的工具列軟體，也是惡名昭彰的廣告及間碟軟體，它除了會不斷跳出廣告視窗外，也會偵測用戶瀏覽的網頁，或是在未知會使用者的情況下安 裝其他程式。不過，Hotbar的使用協議中皆有說明上述現象。 愈來愈受歡迎的Firefox成為散布廣告或間碟軟體的途徑。除了有業者利用偽造的Firefox來綑綁Hotbar外，Mozilla最近也因安全問題 宣布移除Firefox上的兩款擴充程式，包括Sothink Web Video Downloader 4.0及Master Filer。 Mozilla表示，這兩款擴充程式夾帶了木馬程式，前者含有Win32.LdPinch.gen，後者則有 Win32.Bifrose.32.Bifrose Trojan。開始執行相關擴充程式就會啟動木馬，就算使用者移除了這些擴充程式，木馬程式依舊會存在，而必須要額外仰賴防毒軟體程式來掃描及移除。（編 譯/陳曉莉）

<<新聞轉載>>噗浪指責微軟中國MSN聚酷抄襲

新聞網址

微軟中國於今年11月推出了自己的微型部落格服務─MSN聚酷，不過，風靡亞洲的噗浪（Plurk）在週一（12/14）指控MSN聚酷有8成的客戶端程式碼是來自於噗浪，而且抄襲了噗浪由左至右的時間捲軸系統。

噗浪為一新創公司，其微型部落格服務於2007年底上線，現在支援逾20種語言，目前僅有9名員工，尚未有獲利模式。MSN聚酷則為MSN Messenger的延伸功能，讓使用者可與社群分享即時資訊，目前為微軟中國市場獨有的服務。

噗浪表示，該站從未接觸過微軟，亦未與微軟有任何的合作關係。噗浪發現MSN聚酷的外型與設計非常相似，從分頁、表情符號、動名詞的顔色標籤、卡馬（Karma）計分系統，到多媒體的支援等。

此外，噗浪也列出MSN聚酷明顯抄襲該服務的程式碼，指出大部份的程式碼及資料結構完全一樣，包括噗浪客製化的函式庫、CSS檔案及客戶端程式碼。

個人評論：微軟要抓別人盜版之前，先看看自己有沒有先盜版，一個字 "爛"

Fedora 10 升級到 Fedora 11, yum 不能執行的問題

環境：Fedora 10要升級到Fedora 11
升級方式：光碟升級
狀況：升級後想要用yum update出現如下的錯誤訊息

There was a problem importing one of the Python modules
required to run yum. The error leading to this problem was:

No module named yum

Please install a package which provides this module, or
verify that the module is installed correctly.

It's possible that the above module doesn't match the
current version of Python, which is:
2.6 (r26:66714, Mar 17 2009, 11:44:21)
[GCC 4.4.0 20090313 (Red Hat 4.4.0-0.26)]

If you cannot solve this problem yourself, please go to
the yum faq at:
http://wiki.linux.duke.edu/YumFaq

解決方式：重新再安裝一次yum跟yum-utils這兩個套件
使用指令：rpm -ivh --force yum-.rpm yum-utils-.rpm
安裝完之後建議執行指令：yum clean all

Centos 5.3 安裝rtorrent + wtorrent

昨天用了差不多三個小時的時間來設定
為了避免將來忘記了~~簡單做個筆記，有需要的朋友可以看一下

rtorrent所需套件：
http://libtorrent.rakshasa.no/downloads/rtorrent-0.8.5.tar.gz
http://libtorrent.rakshasa.no/downloads/libtorrent-0.12.5.tar.gz
因為後面會安裝wtorrent，所以先要安裝以下的套件
XMLRPC-C下載點
mod_scgi for Centos 5.3

安裝SCGI
rpm -ivh mod_scgi-1.13-1.el5.386.rpm
安裝完後修改
#vi /etc/httpd/conf.d/scgi.conf
把原來 SCGIMount /dymainic/ ...
改成 SCGIMount /RPC2 127.0.0.1:5000

安裝XMLRPC-C
tar zxvf xmlrpc-c-1.06.36.tgz
cd xmlrpc-c-1.06.36
./configure
make
make install

安裝librtorrent
tar zxvf libtorrent-0.12.5.tar.gz
cd libtorrent-0.12.5
./configure
make
make install

安裝rtorrent with xmlrpc
tar zxvf rtorrent-0.8.5.tar.gz
cd rtorrent-0.8.5
PKG_CONFIG_PATH="/usr/local/lib/pkgconfig" ./configure --with-xmlrpc-c
make
make install

以上安裝完之後rtorrent就會支援xmlrpc這樣的功能
可以用以下的指令進行測試
xmlrpc localhost system.listMethods
如果有說找不到***.so.3的檔案時
可以在/etc/ld.so.conf這個檔案裡面加上
/usr/local/lib => 這個路徑，儲存離開後執行ldconfig即可
相關安裝過程亦可以參考
http://code.google.com/p/ntorrent/wiki/QuickStart

設定rtorrent
建議不要用 root 來執行 rtorrent，所以我們可以建立bt這個使用者
#useradd
#vi /home/bt/.rtorrent.rc
進入後請增加以下的內容，檔案設定參考這個網站的.rtorrent.rc

=======================================================
# ----------------------------------------
# rtorrent 設定檔
# 檔名：.rtorrent.rc (隱藏檔，前面有點)
# 存放位置：~ (使用者家目錄）
# ----------------------------------------

# 每 torrent 最小/最大連接數
min_peers = 50
max_peers = 200

# 每 torrent 最大上傳數
max_uploads = 2

# 上傳和下載速度限制，設0=無限制.(單位 KiB)
download_rate = 150
upload_rate = 8

# 隨機 port 範圍
# 範例：port_range = 6890-6999
port_range = 19000-19000

# 下載檔名編碼
encoding_list = UTF-8

# 下載檔案存放目錄
directory = /smb/bt

# 快取存放目錄
session = /smb/bt/session

# torrent 存放目錄 和 排程設定
# 放在此目錄的中的 torrent 會自動加入列表
schedule = watch_directory,5,5,load_start=/smb/bt/*.torrent

# DHT 開關
dht = on

# DHT port (預設為 6881)
dht_port = 19000

scgi_port = 127.0.0.1:5000
======================================================

請自行調整相關參數
設定完成後儲存檔案
儲存後用用bt的身份去執行rtorrent
#su - bt
$rtorrent => 如果可以正常看到rtorrent的畫面就算成功了
按下ctrl+a 再按下 q 就可以離開rtorrent
$screen
$rtorrent
再按下ctrl+a 後按下 d 就可以讓rtorrent保持在screen裡面了
再執行exit就可以離開bt的使用者回到root的shell了

rtorrent運作方式是您丟一個torrent種子至指定目錄下，rtorrent會自動幫你下載，所以你可以把上傳種子的地方及下載檔案的地方，用Samba開分享讓大家使用

設定wtorrent => Web 介面來觀察BT下載情形

啟動httpd
service httpd start
chkconfig httpd on

下載：下載點

解開後把wtorrent整個資料夾放到/var/www/html/底下

建立tpl_c資料夾
mkdir /var/www/html/wtorrent/tpl_c

改變權限
chmod 777 -R /var/www/html/wtorrent

在網頁執行
http://your_IP/wtorrent/install.php
來進行設定
可以設定繁中語系，並指定BT的種子要存放的位置及下載後要放的位置
並在網頁右邊設定管理者帳號密碼
設定完之後可以測試，請點try connect
若是成功，就可以按下Save Config完成設定哦

＊＊因為昨天用完，僅利用一點記憶來寫，如有不完整或是有問題歡迎跟我說，謝謝＊＊