大砲開講

我對貴網站的作法有一點點小小的建議，我是在偶然間發現貴網站的，之前我管理的網站也有類似的情形發生，也被貴網站介紹過，只是我完全不曉得，所以也不知道該像貴網站『回報』或『申請』，所以"XXX網站被值入惡意連結"的網頁也就一直沒被更新，在搜尋引擎上也一直存在，就算我們早就已經修復，但是在貴網站的資料，因為我們很失禮，沒跟貴網站『回報』或『申請』，所以就一直被人認為時有問題的網站。但是，真的是這樣嗎？貴網站原來應該是善意的要提醒網友注意『惡意連結』這件事，結果反而造成其他網站管理員的困擾，甚至某些公司辛辛苦苦好不容易建立起來的商譽，這對嗎？以上是一點點拙見，管理員大人看過就算了！

By Anonymous on 2007 年 07 月 16 日 - 13:35:00

我覺得大砲開講報導的『網站被植入惡意連結』是大家表面上看得到的事實，
除了網站被植入惡意連結之外，是否有客戶資料被竊取或竄改，
可能只有該網站管理者才知道，
但網站管理者修復之後，有在網站上公告可能有哪些資料被竊取或曾造訪該網站的使用者可能有哪些風險，該如何處置嗎？

By zoo on 2007 年 07 月 17 日 - 13:07:00

有時候發現網站有問題時，真的不曉得要通知誰，因為根本沒有聯絡方式，或者有時連email address都寫錯。如果網站有提供很好的問題回報機制，他們應該會很快收到我的來信，就看他們會不會處理而已。

基本上，我對台灣的資安很失望，也沒有抱太大的期望，我只希望我的家人、朋友，還有網友們，要小心這些曾經被植入過惡意連結的網站(隨時有可能再被植入)，當瀏覽這些網站時，有可能你的重要資料已經被偷走，或者會使你的電腦中毒。

如果企業有良知的話，我就會慢慢地不寫這些東西了，畢竟，我也不是閒閒沒事幹。感嘆「壞人當道，好人都累死了」。

By Roger on 2007 年 07 月 17 日 - 21:46:00

看了貴網站數月,發現其實貴網站已快淪落成為資安八卦爆料網站.除了爆料之外.看起來沒有其他建樹.
這個跟貴網站成立的宗旨似乎有些矛盾.請問roger您認為你所提的那些解決方式可讓一般end user能夠足以用來防護嗎?如果你不想要讓這些情況蔓延.你一定可以想到方式聯絡這樣企業管理人員.光只會批評別人沒有盡力處理資安問題.請問你又做到幾成?光批評企業沒有心要處理.請問光公佈這些網站就代表你對資安有所貢獻囉?
我認為這個園地慢慢只是你在個人blog抒發心情的寫照,慢慢經營的跟一般政治爆料網站差不多.你的網站也是跟企業一般網站具有很多問題,你的網站也被人家覺得是釣魚網站.請問貴網站本身有注意到嗎?
我幾乎每天都上來看.但是也慢慢讓我很失望.除了口水.還有什麼?建議貴網站在刮別人鬍子前是否也該檢視自己.

By Anonymous on 2007 年 07 月 18 日 - 08:53:00

忠言總是逆耳的…商譽總是比人重要…

By 平民 on 2007 年 07 月 19 日 - 09:31:00

這網站有被當成釣魚網站?..哈
我怎麼看不出來-_-//

我覺得這網站有沒有貢獻是站長自己的事,我這站至少讓我知道我有沒有上過這些危險的站,事後是否有中毒,防毒軟體是否有作用,這些對我來說比較重要.

教育End User可不是那麼簡單的事好嗎?而且我不覺得這個站需要有什麼意務去教育End User -_-

By Eos on 2007 年 07 月 19 日 - 09:56:00

我覺得roger的作法並沒有錯，在這些文章裡就有可以發表意見的欄位，就好像上述兩個匿名的仁兄，已經可以發表自己的看法。
該負責的應該是被指出的網站的網管人員，為什麼不來張貼上，貴單位已經處理好的訊息。我相信這樣的張貼，只會表示出該網站網管人員的負責態度，以及你們的專業，相反的搜尋引擎反而會幫你做出免費的廣告，表示出你們夠負責夠專業。
商譽來自你們的專業及負責，而不是當作看不見來處理，有沒有商譽由你們的態度就可以看的出來。
有個故事是這樣的：有個人站在池塘旁邊告訴所有要下水游泳的人，這裡水很深有暗流很危險。
池塘的主人出來說：淹死人也不用你管。
請問各位看到了什麼
被指名的網管人員出來看看，你們到底是站在池塘邊的人，還是池塘的主人？還是一個負責的池塘主人？

By Anonymous on 2007 年 07 月 19 日 - 14:46:00

處理資安問題是這些做網站和企業和要做的.
這位兄台把你說的話還你.只會批評別人沒有盡力處理資安問題.請問你又做到幾成?

如果企業有良知的話就因該做好資安問題.而不是讓逛網站的人先發現網站被值入惡意連結.在有的人發現之前其他逛網站的人也找已中毒了.

還有這網站有被當成釣魚網站是誰說的.是那些被報料惱羞成怒就乾脆也說這網站有被當成釣魚網站呢?還是…

這網站有沒有貢獻?至少我認為是有的.光公佈這些網站至少讓我減少電腦中毒的機會.

By oe on 2007 年 07 月 19 日 - 15:56:00

我覺得網站做法很好啊！
真不懂那些網管到底是想欲蓋瀰張嗎？

商譽？當我中了這些惡意連結，我不認為有甚麼商譽可言。

By none on 2007 年 07 月 20 日 - 09:22:00

對於持負面看法的二位匿名仁兄，小弟不敢苟同…

今天被爆料、有問題的Site都是在Internet上對外公開服務，而非純Intranet企業或機關內部服務。既然要在公共空間提供服務，難道這些企業或機關不用負起公共安全責任？

當某甲把他家外面大門打開，歡迎路人、有興趣的人、需要的人進來使用他家庭院參觀（僅止於庭院，客廳之內的空間不再開放），難道某甲對於庭院內發生的事情都不用主動處理？甚至只要某甲的財產不損失、生意不中斷，其他行為一律放任為所欲為？假設有惡意路人，在進入某甲庭院的所有客人身上都偷裝「隨身針孔」，讓這些客人在不知情的情況下帶著針孔回家，所有隱私都被偷取，部分客人還發生實際財產或權益損失。試問，某甲願意對所有出事的客人負賠償之責嗎？若無賠償，造成損失的客人該向誰求償？某甲事先防範不周，事中無告知客人相關事宜，事後又規避責任，並聲稱報導出事的人（廣義來看也是客人之一）傷害其聲譽（商譽），某甲還有良心嗎？即使沒有觸法，也在在顯示某甲的道德欠缺，不是嗎？

說實在的，若不是台灣法制面跟不上，小弟認為法律應該強制規定：被植入惡意程式（該惡意程式會竊取或傷害一般網民）的網站，未在多久時效內處理並公告相關細節者，應依據「網際網路公共危險罪」提起公訴。否則，架站的一堆、生了卻不管、管不好的還強詞奪理推卸責任，到最後，「別人的孩子死不了（台語）」、「詛咒別人死，跟我何干」、「我的飯碗保得住就好」、「只要有錢賺，沒什麼不可以」…這些誤謬價值一再被擴散渲染，倒楣的還是一般網民。

爆料的處理方式或許不是最好，可是在這個法制欠缺、沒有警察公安維繫網民安全的當下，有一個網站可以提供透明訊息供一般網民參考，又有何不可？

小弟反而覺得，這些出問題網站的企業網管與外包維護廠商，才是真正要先刮自己鬍子的人。發言立場不是基於維繫並促進善良的公共道德的話，參考價值少之又少。

By az on 2007 年 07 月 20 日 - 10:27:00

小弟認為，這個網站提供的是一個資安訊息交易的平台，當初沒有這個網站的時候。網友們瀏覽網站只能靠運氣，運氣好就不會中毒；運氣不好，那抱歉，帳號被盜，信用卡資料外洩都是你家的事。跟中毒網站無關。中毒網站也不需要負什麼責任。因為大部分的網友都沒有證據證明是在瀏覽某個中毒的網站時感染木馬或是病毒的。

而自從出現這個網站之後。這些中毒的網站終於發現。原來網站中毒也是必須負擔成本的。從原本的不關我事，到現在的商譽受損、或是維護成本增加。但卻又不得不做。

從此，網站的資安問題得以受到各網站網管或是更高層主管的重視。藉以降低網站被值入惡意連結的比例，讓網友們降低瀏覽網站而造成傷害的風險。我想，這才是這個網站成立的價值吧！

By john on 2007 年 07 月 20 日 - 14:56:00

『該負責的應該是被指出的網站的網管人員，為什麼不來張貼上，貴單位已經處理好的訊息。』
這個真的很傷感情，知道這個網站的人應該不多吧！
或許該規定全台灣所有的網站管理員一定要來這邊看，但是，可能嗎？

By Anonymous on 2007 年 07 月 20 日 - 15:06:00

我是一個路人 路過這站很多回

很少(幾乎沒有)看到過被提出說有中連結的官方人員對它自己的站留言
留個已處理好也好

希望下次能看到更多被張貼了的網管人員來針對它自己管的站留下被發現後的處理結果

By Anonymous on 2007 年 07 月 20 日 - 15:55:00

基本上呢..不管這個站爆料出來的結果是真是假..在瀏覽此站時..是否自己要有點專業素質或者請站長提供方式可以得知到底是真是假..要不然..好與壞都只憑站長說有還是沒有..慢慢的..如果此站特意散發不對的訊息..那大家不就顯得很無智..對偶而言..也許有..也許沒有..但身為普通人..怎能知有沒有..與此在這裡口水戰..到不如教我們如何判別是真是假..由自己親自看過..眼見為憑..可信度才真..不是嗎? 不知其他人在路過此站時,對這些消息是覺得真還是假..沒法子..網路上有太多人為了私慾或為了出名..亂散佈一堆消息..我還是相信自己能看到的東東…

By Anonymous on 2007 年 07 月 20 日 - 17:33:00

如果你懂一點html和js,那你只要看幾個html原始檔，就看得出來有問題，記得不要用IE。

如果不懂，直接用google搜尋該網站名稱，若看到This site may harm your computer.
這樣還要解釋嗎？可能google也"為了私慾或為了出名，而亂散佈一堆消息"。

"我還是相信自己能看到的東東…" – 這位留言者，我贊同你的話，但我卻不認為你有"試著去看"，你或許不懂html,js之類，但google及一堆軟體都能夠協助確認。

說真的，我覺得站長做得是吃力不討好的工作！

By livibetter on 2007 年 07 月 21 日 - 02:59:00

如果使用者在瀏覽網頁的時候發現了網站有惡意連結，會怎麼想?
如果是我，我會覺得這公司的網站有漏洞，
以後最好還是不要再來了，然後通知所有線上友人
個人網站就算了，有些被植入惡意連結的可是大公司，甚至是網路服務公司，
本身防護能力就不足的話，怎麼服務客戶呢?

By atos on 2007 年 07 月 21 日 - 03:36:00

一樓與四樓的仁兄，別用口水污辱付出汗水的人。我幾乎每天收到朋友同事被盜用帳號寄來的病毒信，情況這麼嚴重，你們不但不好好想想解決辦法，還一天到晚批評預警的人。這裡公佈的網站只是冰山一角，有的網站的惡意連結甚至是隨機出現，今天回報給大砲兄，明天大砲兄去查卻沒查到，後天又出現了…..這種案例大砲兄根本沒有PO出來，因為說服力不夠。大砲兄對你們已經仁至義盡，你們這些不負責任的網管與企業主，醒醒吧!

By Anonymous on 2007 年 07 月 21 日 - 10:29:00

>知道這個網站的人應該不多吧！
>或許該規定全台灣所有的網站管理員一定要來這邊看，但是，可能嗎？

我相信站長都有把網站被植入惡意連結的訊息回報給網站管理者，
我也曾幫忙回報給該網站所有可以找得到的聯絡人，
但，從來沒有收到任何回覆….

By Anonymous on 2007 年 07 月 21 日 - 18:07:00

1. livibetter說的很對，真是很吃力，曾經想放棄過，因為台灣的資安可能沒救了。另外，Google Search也做相同的事情，Google的商譽不錯，應該不會亂報吧。

2. 張貼在此部落格之中獎網站，我都分析過，所有資料也都有保留下來，沒有分析過的，我可不敢亂貼。如果我寫的東西不是真的，你覺得這些企業會放過我嗎？因為我損害他們的商譽。

3. 商譽這件事不是由企業自己決定，而是由各位決定，別忘了「你或妳」是主人，是你或妳養大這些公司的，當然有權利要求這些公司改善，但有良心的企業不多啊。

4. 在此部落格張貼這些東西，我可是一毛錢都沒有拿到，反而是那些資安廠商笑嘻嘻，因為受害廠商都找這些公司，而他們的建議，大部分都是在買其他的產品。

5. 其實，如果你看得懂分析報告，當你中毒時，就可以依據惡意程式的行為，手動做清除，我想應該有一點點教育的意義吧！

最後，如果台灣能通過一些資安法律如網站中毒，企業須負舉證及賠償責任，那對使用者來說，可是一大福音，可惜，在高位者，往往都不懂資安到底是怎麼回事，可悲啊！

By Roger on 2007 年 07 月 21 日 - 23:40:00

匿名批評的這些傢伙我個人強烈懷疑是被報料的單位或相關維護廠商人員
因為被報料可是又無法反駁自己的業務怠惰因此便以此匿名批評的方式打擊大砲開講的公正性
希望版主不要被這些渾蛋給影響到

加油

By BBC on 2007 年 07 月 22 日 - 10:54:00

『匿名 提到…
……（恕刪）
或許該規定全台灣所有的網站管理員一定要來這邊看，但是，可能嗎？』

哈，這真是個笑話！
小弟認為所謂「負責任」的網管人員，除了每天看自己的機器狀況、維護、查看log…等例行工作外，還要蒐集情報：哪些更新發佈了、發生哪些重大新聞、著名論壇上是否有該區域（國家）的網站被駭客入侵的消息…這些情報攸關網路管理政策和策略佈署的實際調整，必要時還要向上報告。

難道這些事情還要等老闆下令才做（老闆又不懂網管…）？即使沒有獲得授權可以馬上變更設定也都莫不吭聲，不回報？一個網管把這些事情都當成"份外之事"，只會幻想別人來告訴他（她）哪裡要做修正（別人沒講或第一時間跟第三者說，還是別人的錯？），又如何能稱自己沒有失職、瀆職？

這位老兄的心態可真是非常"專業"地窄，也難怪會保有錯誤的價值觀，進而讓業主（委託維護的企業）和自家老闆背負商譽損失的事情發生…

建議可以去看看大前研一的著作「專業－－你的唯一生存之道」調整一下工作態度，而別只是抱怨工作多、薪水低…或許你的表現只值這樣的薪資水準，不是嗎？

By az on 2007 年 07 月 26 日 - 08:54:00

小弟覺得這個網站參考價值很正面啊，像今天偶真的看到5月份的流言：台灣固網首頁被植入木馬…拎杯真的去看(因為偶是台灣固網的消費著之一…)，NOD32真的也跳出訊息說這個網頁有木馬…而且還好幾隻！馬上拍照存證寄給客服，台固馬上就回信了，說已經請相關單位處理…(要log偶可以提供20070726)，不知道何時處理完畢就是了…。
將心比心，偶也是小小的網管，如果出這種包，偶一定會被老闆釘在天花板上鞭屍…遊街…。事後還要繳調查報告(死了也要做，命賤啊..囧rz)，然後要裝死跟客戶灰說這個網站主機是兩年前XX網路公司代管，然後又倒閉一年了無人管理(反正你找不到)…反正就是硬搓出五張A係，你就過關了。然後要換可以預防這類事件的產品…然後每天祈禱不會有第二次…。匿名先生，你的心情偶懂…已經死了好幾次的網管留…

By 大顆 on 2007 年 07 月 26 日 - 18:03:00

一件事做的好不好，看的是有沒有持恆的做與一致性，就這點來看個人非常肯定作者長期以來的努力。

另外有一點建議，作者有能力做到檢測出來問題，我想應該有能力查出該網站有何漏洞，建議寫一些常見的漏洞觀察，讓大家能夠學著檢查這些漏洞，以免成為攻擊的對象

By Chris Shieh on 2007 年 07 月 26 日 - 18:30:00

有些檢測的工具具有入侵的行為，這樣會觸犯台灣的刑法….

從以前到現在，比較常發生的情形是SQL Injection (ASP+MS SQL) 的問題，這不是MS SQL的問題，而是程式碼有問題，這部份幾乎無解，因為很多程式碼都是外包給其他廠商寫的。

By Roger on 2007 年 07 月 26 日 - 23:35:00