南投妖怪村踩地雷之旅

週五下班之後，帶著老婆小孩搭高鐵到台中，租車到南投明山森林會館投宿，

因為時間很晚，車程一路非常順暢，但是相對的店家幾乎完全都休息了。

隔天早上要去妖怪村玩，一整個傻眼，才早上八九點，滿滿都是人，哪有妖怪呀！

就算有妖怪，也會被人嚇跑…

所以趕緊說服老婆，改去溪頭森林遊樂區散步，還好明山森林會館就在溪頭森林遊樂區旁邊…

一路散步到大學池，發現兒時的記憶已不復存在…

感覺「大」學池很小，蚊蟲也不少… :(

不過在園區裡散步感覺還挺不錯的…

Read More

中秋田季發爺烤肉有感

中秋節就是要親朋好友聚在一起烤肉才有 Feel

老婆很貼心的訂了網路上有名的田季發爺烤肉，沒想到卻成了掃興烤肉…

我們一行人，四大兩小在下午四點五十分進場，因為小朋友愛吃白飯，向店員詢問後，

店員表示白飯可自取，結果一掀開電鍋，裡面別說飯了，連內鍋都沒有！

向店員說明狀況之後，一位店員表示店內都沒白飯了…後來另一位店員反應比較快，就去二樓用餐區取飯，這些都是小事。

真正讓我們掃興的，卻是該店最令人稱讚的桌邊服務！

所謂的桌邊服務，就是店員會幫忙烤肉，表演烤肉技術。

但是這次桌邊服務，卻變成趕客人服務…

因為一行人有婦孺，當然是先幫她們服務，烤給她們吃，等到烤得差不多時，我再開始吃。

此時，桌邊服務人員看到火爐閒著，就會主動來幫忙烤肉，

他們的烤肉技術純熟沒話講，一下子就將烤好的食物堆的跟山一樣，然後把食材盤子收走，

但是一下子烤這麼多，也沒辦法立即吃完，等到吃到下層的食物時，早已冷掉…

食物冷掉之後，肉質會變硬，就不好吃了，怎麼樣都比不上現烤熱騰騰的食物…

而且距離兩小時的用餐時限，才過一個小時，就把「烤肉夾」給收走，那意思是暗示我們不要再烤肉，把冷掉的食物吃一吃就該走人嗎！在收走烤肉夾之前，也沒問過我們是否還要再烤其他東西…

沒過多久，服務員又來關切，是否要再加點，如果不加點，就會先幫我們收拾餐桌，聊天也清爽點…講這樣都沒錯，我們也不想再加點食材，免得浪費了。

但是服務員在收餐具時，動作、聲音都很大，就好像是要趕我們走一樣，而且我們桌上還有兩座小山般的食物還沒吃完，都已經講說還要吃了，卻連筷子都收走，那這是要叫客人用手抓嗎？還是叫我們別吃了，快滾吧？

距離結束時間還有半個小時左右時，又出一張結帳單送到桌邊，提醒我們該結帳了…

最後要走時，雖然服務員表示，沒吃完的食物可以打包，問題是一堆食物包成一包，味道都混在一起就算了，這些食物拿回家再加熱，也不會比現烤好吃…

在服務員多重趕客招數下，當然是非常不爽的提早結帳走人。

而且因為一直趕著吃東西，胃也被塞的很不舒服，回家還吞了兩顆胃藥

就算吃到飽餐廳想要多賺點錢也應該稍微注意一下服務的品質

Read More

自動化阻擋 SMTP/POP3 Authtication Attack

前一陣子公司不斷遭遇到 Cracker 攻擊 Exchange 2003 的 SMTP/POP3 服務，

企圖以暴力方式破解信箱帳號密碼。

由於本公司採用中華電信的資安艦隊服務，所以將 SMTP/POP3 Log Dump 出來之後，寄交中華電信處理。

中華電信將 IPS 的觸發值調低之後，安穩了兩天；兩天之後，卻發現 Cracker 改變攻擊的頻率，變成每兩秒 Try 一次帳號密碼。

當我將此發現告知中華電信資安艦隊服務人員之後，中華電信人員表示，由於駭客攻擊的頻率已經很低，無法攔阻這樣的攻擊，建議加強密碼政策管理來補強。

身為一個網路管理者，看到這樣的 Log 當然很不爽，駭客天天來家門口踩盤子，所以決定自己動手寫程式，強化 Exchange 防護措施

Read More

將 Exchange 2003 Server SMTP Log 存入資料庫

在Exchange 2003 Server 的 C:\WINDOWS\system32\inetsrv\ 目錄下，有個 logtemp.sql

在SQL Server 上執行此 SQL Script，就可以建立 ODBC Log Table

然後在 Exchange 主機上設定 ODBC，指定資料庫

再來執行Exchange 系統管理員，指定資料庫伺服器、資料庫、資料表

就可以把 Log 存到資料庫去…

 

use EXCHANGE select     rtrim(ClientHost) as SenderIP,     rtrim(username) as SenderPC,     LogTime,     rtrim(operation) as CMD,     rtrim(parameters) as Parameter from SMTPLOG where     username <> 'OutboundConnectionCommand'        -- Exchange 連接目的郵件伺服器指令     and username <> 'OutboundConnectionResponse'        -- Exchange 連接目的郵件伺服器狀態 --group by ClientHost, username, disabled order by ClientHost

存到資料庫之後，要查詢就非常方便了…

Read More

將 Exchange POP3 驗證失敗事件記錄存成 .csv 檔案

因為Windows 2003 Server的事件檢事器，內建的匯出清單功能，就是真的只能匯出清單，沒有詳細的 Log Message，不足以判斷是否為 POP3 Auth Attack

所以自己寫一支 Script ，方便將 Exchange 2003 Server 的 POP3 Log 從 Windows 事件檢視器中 Dump 成 .csv 檔案

strComputer = "MAIL" LogDate = "20110628" Set objWMIService = GetObject("winmgmts:" & "{impersonationLevel=impersonate,(Security)}!\\" & strComputer & "\root\cimv2") Set colLoggedEvents = objWMIService.ExecQuery ("Select * FROM Win32_NTLogEvent WHERE Logfile = 'Application' " & "AND EventCode = '1011'") Const ForWriting = 2 Set objFSO = CreateObject("Scripting.FileSystemObject") Set objLogFile = objFSO.CreateTextFile("POP3 Auth Attack Log_" & LogDate & ".csv", ForWriting, True)     objLogFile.Write "Record Number#"     objLogFile.Write "Date Time#"     objLogFile.Write "Message"     objLogFile.WriteLine For Each objEvent in colLoggedEvents     if mid(objEvent.Message,3,10) <> "192.168.1." and left(objEvent.TimeGenerated,8) = Logdate then         objLogFile.Write objEvent.RecordNumber & "#"         objLogFile.Write objEvent.TimeGenerated & "#"         objEvent.Message = replace(objEvent.Message,vbCRLF,"")            objLogFile.Write objEvent.Message         objLogFile.WriteLine     end if Next objLogFile.Close msgbox("Finish !")

其中

if mid(objEvent.Message,3,10) <> "192.168.1." then

只是為了濾掉在內網的驗證錯誤記錄，只查網際網路上發生的驗證錯誤記錄。

另外

EventCode = ‘1011’

是 POP3 驗證錯誤代碼

此外

objEvent.Message = replace(objEvent.Message,vbCRLF,"")

因為 objEvent.Message 當中包含不必要的跳行，匯入資料庫或 Excel 時，會造成困擾，所以先用 Replace 函數將 Carriage Return & Line Feed 取代掉

left(objEvent.TimeGenerated,8) = LogDate

因為 Event 很多，所以只選擇匯出某一天的 Event，也避免 Excel 一次只能匯入 65535 行資料

最後，再顯示一個 Message Box ，提醒使用者程式已結束。

PS.匯入 Excel 時，在做資料剖析時，請選擇其他字元 #，因為 Message 裡可能會有逗號，所以故意將欄位分隔符號改為 #

Read More

Check SMTP Authentication

相信很多公司的郵件伺服器都會開放 SMTP 25 Port ，供差旅同仁方便寄信。

但這也給予Cracker / SPAMER SMTP Auth Relay Attack 的機會。

這會造成公司的郵件主機被列入黑名單之中…(網路上還是有不少公司堅持使用這種落伍的黑名單技術來阻擋廣告信)

到時同仁就會一直反應會被退信…

因為從外部透過公司郵件主機 Relay ，需要進行 SMTP 驗證

所以我寫了一支程式去監控事件檢視器，搭配 Exchange 的 SMTP 驗證記錄；如果有 SMTP 驗證成功的訊息，就會在我的電腦 Pop Up 一個提醒視窗。

首先把 Exchange 的 SMTP 驗證事件開啟

接著在本機執行以下程式(請存成 .vbs 檔案，然後執行它)

strComputer = "MAIL" Set objWMIService = GetObject("winmgmts:{(Security)}\\" & strComputer & "\root\cimv2") Set colMonitoredEvents = objWMIService.ExecNotificationQuery ("Select * from __InstanceCreationEvent Where " & "TargetInstance ISA 'Win32_NTLogEvent' " & "and TargetInstance.EventCode = '1708'") Do     Set objLatestEvent = colMonitoredEvents.NextEvent     Wscript.Echo "User：" & objLatestEvent.TargetInstance.User & chr(13) & "DateTime：" & objLatestEvent.TargetInstance.TimeWritten & chr(13) & "Log：" & objLatestEvent.TargetInstance.Message Loop

其中 1708 是 SMTP 驗證成功的事件代碼

當程式監控到 Event 時，就會跳出如下的視窗。

 

有人說：DNS MX 記錄指向 AntiSPAM 設備就不會受到 SMTP Auth Attack ，這是一個嚴重的錯誤觀念！

駭客要攻擊都會直接掃瞄 25 Port ，有誰開 25 Port ，就會被 Try…

Read More

Huawei Hi Suite

使用它來管理手機挺方便的，也不用為了管理手機，在手機裡安裝一堆程式，不是廣告就是佔記憶體。

當然，它只支援華為的行動裝置…

• 安裝/卸載應用程式
• 管理音樂 Play List
• 播放設備中的音樂檔案
• 用電腦發簡訊(可群發)
• 管理簡訊
• 管理通訊錄(可同步電腦的 MS Outlook、Outlook Express的聯絡人)
• 同步MS Outlook行事曆
• 抓取螢幕畫面(不需要安裝JDK、Android SDK，也不用 root，但是必須使用 USB 線連接才行)
• 備份系統設定、聯絡人、簡訊、行事曆
• 可透過 WiFi 或 USB 連接手機

免費下載網址

http://www.huaweidevice.com/resource/mini/201103307969/hi_suite_cn/index.html

Read More