Click here to check if anything new just came in.
March 15 2010
“到中纪委查查”可能吗？ - 24inf.com
有记者问中共中央政治局委员、上海市委书记俞正声代表，上海干部财产申报的执行情况。俞正声回答说：“我的财产早就申报了，现在要求申报的是住房、配偶工作、子女工作，按中纪委的规定我们每年都如实申报，有可能的话，你可以去中纪委查查。”
据《羊城晚报》
笔者相信俞正声书记确实已经向中纪委申报了自己的财产情况，包括住房和配偶工作、子女工作等。
但是，如果我真的想看一下俞书记是如何申报的，就得跑到中纪委？更重要的是，中纪委会接待我这个普通老百姓吗？
同时，笔者也替中纪委担心：你怎么知道干部申报得实不实？如果是炒房区长康慧军，他会申报自己有14套房吗？如果是炒房处长陶建国，他会申报有29套房吗？
最知道官员财产情况的应该他身边的群众，正如北京大学法学院姜明安教授所称：“瞒住组织相对容易，但要瞒住老百姓就很难，群众的眼睛是雪亮的”。
可是现在的财产申报却是信息不对称的：接受申报的纪检部门未必知道官员财产的实际情况，而知道官员财产实际情况的人民群众却不知道官员究竟申报了什么。
所以，要让官员财产申报制度发挥作用，必须同时推行官员财产的公开。也就是说，把官员申报的信息同时向全社会公开，才是真正的阳光法案，否则就只有象征意义。
这次温总理的政府工作报告中，也提到了官员财产申报的问题：各级领导干部特别是高级干部要坚决执行中央关于报告个人经济和财产，包括收入、住房、投资以及配偶子女从业等重大事项的规定，并自觉接受纪检部门的监督。
但是，对官员的监督只靠上级纪委是肯定不够的，人民群众才是监督的汪洋大海。
当然，在财产申报的初始阶段可以容忍暂不向群众公开，但这个过程不宜过长。如果说财产申报制度研究了许多年才开始实施，从申报走向公开难道要再等十几年？
一万年太久，只争朝夕。
本报特约评论员殷国安
“ RT @secretaryzhang RT @gfwrev: ipconfigme@gmail.com 哈工大信安中心的Wang Yao同学想加入dev group。有关部门还是很重视西厢的，并非毫无动作。 ”— rtmeme
"原理小解"读后感
IwfWcf强烈推荐阅读youxu这篇原理分析的文章，写得相当好懂，读的过程中解答了我两个疑问，读完想明白了，写这里做笔记了。
一 墙是不是经过简单升级就可以对付西厢
西厢其实并没有对墙做任何事，只是巧妙的利用了TCP协议的规则。正如墙利用了三次握手的不校验这个特点（这不是漏洞，而是特点）强行插入reset包一样，西厢也利用了这个特点，让客户端和服务器发送出了墙希望看到的数据包。这里的强大之处在于，一切都是在规则之内的。所以说，如果我们从更高的角度看来，墙和西厢是一种东西，TCP协议如果进行了校验，那就不会有西厢，同样也不会有墙。如果没有墙，也不会有西厢这种用法。
二 墙能用什么办法来对付西厢
TCP协议的三次握手而不校验，留下了可以被强行插入包这个弱点，产生了墙。这个地方这样处理的原因主要是为了性能。TCP是一种高性能协议，所以必须以信任为基础，不能做太多的干涉，否则性能就会大大下降。所以我们目前采用的TCP协议都不对包做什么校验。如前面所说，西厢同样利用了这个特点来获得所需要的数据包。墙如果想知道那些连接是真的断开，哪些是被西厢模拟断开，就必须维护连接状态，进行深度包检测。这样一来效率就会大大下降。众所周知，如果一个系统中存在一个点，可以令系统性能大大下降，会出现什么结果
三 其他系统是否有移植机会
从现在的情况看来，代码并不复杂。整个系统的难度其实在于对TCP协议的深入了解，对墙工作原理的深入了解。这些部分完成之后，原理并不复杂。
可以把目前的alpha版本看作一份用代码写成的论文，其中是详细的论证过程。从代码的wiki看来，原作者据说不继续开发了，不过没关系，论文写完了，其实也就不需要他们那么nb的人来写产品了。您总不指望着科学家来做产品吧？
至于最终的产品，就期待别人了。熟悉网络开发的人，估计很快就可以写出来各种版本了。期待。
不知道我说的对不对，欢迎大家讨论。
zt 回忆我的同学毛新宇 - 步行街 - 虎扑体育
回忆我的同学毛新宇
人胖点儿在中国不见得是缺点，至少美国人这么认为。几年前总统大选，好像是《新闻周刊》一篇文章讲选举中非政治因素的重要性说总统候选人千万不能胖因为美国文化把瘦高和诚实等同，作为对比那篇文章又说东方文化正好相反，胖在中国是诚实可靠的象征。要是按这么推理，从我们新中国成立到现在的几代领导人的体重的升降变化就可以大概推测出我们“全盘西化”或者说是“与国际接轨”的程度——领袖是胖子的时代我们往东；瘦子掌了权我们往西。总的趋势是越变越瘦了，比如朱镕基比请勿讨论政治话题瘦比江核心瘦大家都比毛主席瘦，当然，不可避免地中间也发生过一些瘦得不合时宜的情况，比如少奇还有耀邦同志，不过他们都及时地离开了领导岗位，从而维护了这一“体重政治学”定理的正确性。作为一个右倾机会主义资产阶级自由化分子，我每次看见温总理竟然这么瘦就觉得中国大有希望。
话扯远了，我是想说人胖点儿没事儿，不幸的是毛新宇还是个傻子——注意这不是一个爱称，也没有贬义，只是北京方言用来描述生活中智障人士的通俗说法。
毛新宇高中住校，我们班的范之豪是他室友，好多段子都是范说的，你要是能找到他估计能写一本《毛新宇秘闻实录》了。我们平常看见他也就是白天上课还有课间，不过这两个概念对于毛来说好像直到高中毕业也没彻底区分清楚，他经常上着课突然就站起来走出去，老师也从来不管。每天在操场上上体育的应该都能看见，他总是在校园里走来走去，念念有词地拿着一个地上捡的树枝比划。
毛新宇高一刚来的时候到小卖部买东西不知道需要交钱，各取所需，感觉像是刚从共产主义社会发配过来的。关于他的身世一开始大家还颇有好奇心，一阵子之后新鲜劲儿过了也就没人当回事儿了——除了他自己。比如上课，如果那堂课讲的是毛主席诗词或者是《反对党八股》之类的跟drhsr沾边的课文，他就会一反常态在教室里坐上一整节课，而且从始至终带着一脸的光荣就像这堂课是他的颁奖仪式。课下他兴致来了喜欢以“我爷爷”的名义给同学们封官，都是一些古代朝廷里的官位夹杂一些《西游记》人物，应该说历史是毛最拿手的科目，经常能考五六十分，其他科目一概不及格或者干脆不考。据说当时在初中的孔冬梅跟毛新宇正相反，特别不爱听人提drhsr。要是为煽情，我好像有必要说现在想起来他那种想不断提醒你他的身世的着急劲儿其实有种傻子特有的简单和诚恳——可惜当年我们还没有学会这个套路，中学生对班里一个性格孤僻举止怪诞的胖子会是什么样的态度可想而知。
葛优回忆他的发家史的时候讲过一个故事，说他刚出道那会儿在一个小话剧团当演员演一个县长怎么着都觉得不像，特苦恼，后来一个老师跟他说其实这不赖你，一个人在台上看着像不像县长全靠周围演员的表演，要是他们不配合，你越演得到家就越别扭。谁要是觉得这个说法说服力不够，可以去找一张金正日视察基层的照片来琢磨琢磨。毛新宇没有小金命好，常有无聊的低年级的小孩儿课间围上来，说：毛新宇，给我们封个官儿吧~，毛一开口那帮孩子就哄笑。上课铃响大家满意地各自散开剩他一个人在操场上，那个场面中的残忍让人想起某一类鲁迅爱写的课文。
北大附中的三年还是给过毛一点温情的。范之豪说毛新宇饭量大可他妈要求学校食堂对他的伙食严格定量，饿了同宿舍的同学也不许给他东西吃。学校的一个门房从前当过兵对毛主席有感情，毛新宇总是在晚上跑到西门的小平房里吃看门老头给他买的蛋糕。
记得毛还闪光过一次。有一回《北京青年报》上赫然出现了一篇署名“新宇”的散文，在那之前不记得是什么纪念日毛跟着一代表团去了朝鲜给毛岸英扫墓，那篇文章大概就是他在朝鲜的见闻，其中当时被同学们广为传颂的一句话是：“我怎么也不能相信大伯就是眼前墓碑上这三个冰冷的字”——大家怎么也不能相信“新宇”就是面前这一位目光游移拿着树棍挥舞着的同学。让我对他的态度有所改变的倒是范之豪提起的一件小事，他说后来毛新宇一度在宿舍里偷偷喝减肥茶，被他看见了还不好意思地想藏起来。我想也许毛没有我们想的那么傻，after all.
中学毕业毛新宇去了人大，据说他妈先到北大去游说过，招生办公室的头儿跟她好听的说了一大通最后表态说：欢迎毛新宇同学“报考”北京大学。
上大学以后的故事就都是道听途说了，比较可靠的一个是班里一个也上了人大的女生讲的。她说大一那年毛新宇看上了一个她们宿舍的同学，经常到宿舍来找（八九年夏天以前北京大部分高校的女生楼男生是可以自由进出的），通常一有人报信说毛新宇上楼了那个被追的女生要是在宿舍就赶紧到别的屋躲起来，问题是毛太执着，经常会表示要坐在房间里等她回来，于是她们想了一辙：一个人假装出去打水，门口转一圈回来说：“哎，我刚才在哪儿哪儿哪儿看见那谁谁了~”毛新宇一听就坐不住了，立刻抬屁股走人。据说这个拙劣的小品竟然屡试不爽。
后来我再没当面见过毛新宇，不过隔长不短的会在各色媒体里看到这个名字。令人替他高兴的是有了职业演员们的配合，他喜爱的“我爷爷的孙子”这一角色演起来比从前轻松多了，而且有越来越像那么回事儿的趋势。正如英国报纸离不开他们的女王，我们的新闻事业也离不开毛主席他老人家，他们有他们的两个小王子，呼而嘿呦我们有我们的一个毛新宇博士。千万不要低估我国市场经济中对“毛”字的内需，既然清朝皇帝一个冷门亲戚的野史都能拍成轰动全国的电视连续剧，《“神五”圆了爷爷的飞天梦》这样的报道怎么能不让神州人民激动不已呢？激动之余我常常很感激我们新闻工作者的职业素质，比那帮无聊的英国小报记者简直强太多了。
“树欲静而风不止”——唯一让人放心不下的是毛新宇整天被媒体娱乐圈的人拉来推去的，万一被市场给腐蚀了失去“伟人之后”的本色那可就真是“亲者痛、仇者快”了。前一段在网上看到一个白岩松访谈毛新宇的视频链接，点过去的时候我还真替他捏了把汗。在他开口说了第一句话之后我放心了——看着他说“爷爷”两个字的样子，我知道这还是我认识的那个毛新宇，就像在上一堂普普通通的毛主席诗词课。
两会结束温家宝答问 网民嘲讽成会外热点（图，视频）
2010-03-14
中国两会结束，总理温家宝召开中外记者会回答问题，网民反应没有实质内容。自由亚洲电台驻香港特约记者心语的采访报导
图片：温家宝在两会结束后召开记者招待会（心语提供）
March 14 2010
“西厢计划”原理小解
待月西厢下，迎风户半开。隔墙花影动，疑是玉人来。
最近推上最流行的一个关键词是”西厢计划”, 这个计划名字取得很浪漫，客户端叫做张生，对，就是西厢记里面那个翻墙去见崔莺莺小姐的张生；显然，服务器端必然叫做崔莺莺。客户端的张生是最重要的部件，可以不依赖于服务端工作。因为西厢计划的作者只是简要的介绍了一下原理，其他报道又语焉不详，我当时就觉得很好奇，花了昨天一个晚上详细读了一下源代码，终于知道怎么回事了，觉得原理非常漂亮，所以写篇文章介绍总结一下。
先说大方向。大家都知道，连接被重置的本质，是因为收到了破坏连接的一个 TCP Reset 包。以前剑桥大学有人实验过，客户端和服务器都忽略 Reset, 则通信可以不受影响。但是这个方法其实只有理论价值，因为绝大多数服务器都不可能忽略 Reset 的 (比如 Linux, 需要 root 权限配置iptables, 而且这本身也把正常的 Reset 给忽略了)。只要服务器不忽略 Reset, 客户端再怎么弄都没用，因为服务器会停止发送数据，Reset 这条连接。所以，很多报道说西厢计划是忽略 Reset, 我从源代码来看应该不是这样。在我看来，西厢计划是利用了墙的一个可能的弱点–墙只在连接发起的时候把一个 TCP 连接加入监听序列，如果墙认为这个连接终止了，就会从监听序列中去掉这条记录，这样，这条连接上后续的包就不会被监听。西厢计划就是让墙“认为”这个连接终止的一个绝妙的方法。只要墙认为这个连接两端都是死老虎，墙就不会触发关键词检测，其后所有的数据，都不存在连接被重置的问题了。
如何让一个连接置之死地而后生，就是西厢计划那帮黑客神奇的地方了。这也不是一日之功。 首先，这帮牛人发现，墙的是一个入侵检测系统，把含有关键字的包当成一种“入侵”来对待。采取这种设计有很多好处，但缺点是入侵检测系统可能具有的问题，墙都可能有。西厢计划主页上那篇著名的论文就是讲这些七七八八的漏洞的。可以说处理这些七七八八的漏洞是非常困难的，迫使墙的设计者“拆东墙，补西墙”。这样补来补去，外表看起来好像很牛逼的墙，其实有很多本质上无法简单修补的漏洞，其中有一个致命的，就是 TCP 连接状态的判定问题。 出于入侵检测系统这种设计的局限，墙没有，也没办法准确判定一条 TCP 连接的状态，而只是根据两边收到的数据来“推测”连接的状态。而所有的关键词检测功能，都是基于“连接还活着”的这个推测的结果的。因为墙的规则是在连接发起的时候开始对这条连接的检测，在连接终止的时候停止对这条连接的检测，所以，一旦对连接的状态推测错误，把还活着的连接当成已经关闭的连接，墙就会放弃对这条连接上随后所有的包的检测，他们都会都透明的穿过墙的入侵检测。
上面只是想法，具体到 TCP 协议实现这一层，就要只迷惑墙，还不能触及我要通信的服务器。最理想的情况下，在任何有效通信之前，就能让墙出现错误判断，这些，就需要对 TCP 协议有深刻理解了。西厢计划的那帮黑客，居然真的去读 TCP 几百页的 RFC，还居然就发现了方法（这里我假设读者都知道 TCP 的三次握手过程和序列号每次加一的规则）。 我们都知道，三次握手的时候，在收到服务器的 SYN/ACK 的时候，客户端如果发送 ACK 并且序列号+1 就算建立连接了，但是客户端如果发送一个序列号没 +1 的 FIN （表示连接终止，但是服务器知道，这时候连接还没建立呢， FIN 这个包状态是错的，加上序列号也是错的，服务器自己一判断，就知道这个包是坏包，按照标准协议，服务器随手丢弃了这个包）, 但这个包，过墙的时候，在墙看来，是表示连接终止的(墙是 ma de in china, 是比较山寨的，不维护连接状态，并且，墙并没有记下刚才服务器出去的 SYN/ACK 的序列号，所以墙不知道序列号错了）。所以，墙很高兴的理解为连接终止，舒了一口气去重置其他连接了， 而这个连接，就成了僵尸，墙不管你客户端了，而这时候，好戏才刚刚开始。
事实上，墙是双向检测的（或者说对每个包都检测的），因此，对服务器和客户端实现相同的对待方法，所以，墙不管客户端还不行，假如服务端有关键词传给客户端，墙还是有可能要发飙的（这里说有可能，因为我也不知道）。所以，最好的办法就是，让服务端也给墙一个终止连接的标志就好了。可是这个说起来简单，做起来难，怎么能让不受自己控制的服务器发一个自己想要的包呢？ 西厢计划的那帮黑客，再次去读几百页的 RFC, 令人惊讶的发现，他们居然在 RFC 上发现了一个可以用的特性。我们上面说了，三次握手的时候，在收到 SYN/ACK 后，客户端要给服务器发送一个序列号+1 的ACK，可是，假如我不+1呢，直接发 ACK 包给服务器。 墙已经认为你客户端是死老虎了，不理你了，不知道你搞什么飞机，让这个 ACK 过了。可是服务器一看，不对啊，你给我的不是我期待的那个序列号， RFC 上说了，TCP 包如果序列号错了的话，就回复一个 Reset. 所以，服务器就回复了一个 Reset。这个 Reset 过墙的时候，墙一看乐了，服务器也终止连接了，好吧，两边都是死老虎了，我就不监听这条连接了。而至于客户端，这个服务器过来的 Reset 非常好识别，忽略就是。随后，客户端开始正确的发送 ACK, 至此，三次握手成功，真正的好戏开始，而墙则认为客户端和服务器都是死老虎，直接放过。所以，张生就这样透明的过了墙。 至于过墙以后所有的事情，《西厢记》里面都有记载，各位读者自行买书学习。
现在的西厢计划客户端，即“张生”模块的防连接重置的原理就是这样，服务器端，即莺莺模块的实现也是类似的。防DNS那个，不懂 DNS 协议，所以看不懂。我猜想，因为开发人员都是黑客，所以自然喜欢用最经得起折腾和高度定制的 Linux 开发。 现在看西厢计划的实现，因为依赖于 Linux 内核模块 netfilter, 在 Linux 上如鱼得水，但往其他平台的移植可能是个亟待解决的问题。 我觉得，在其他平台上，可以通过 libpcap 和 libnet ，在用户态实现相同的功能，就是有点麻烦而已，有兴趣的懂网络的可以照西厢计划原理，在家自行做出此功能；当然，全中国人民都用 Linux 最好 :)
PS 1: 据说是西厢计划一个作者画的原理图：http://img.ly/DIi
PS 2: 我对 TCP 的理解仅限于课本，如果上面的对技术的理解有错，请大家指出。
PS 3: 有些漏洞，可能是设计上本质缺陷，不是那么容易修复的。
PS 4: 除了最后一个图，本文没有其他相关链接，如需相关资料，自行 Google。
Maybe Soup is currently being updated? I'll try again automatically in a few seconds...
