Sunny's 部落格 » 技术强人

iPhone蠕虫病毒的处理和防治

Sunny — Fri, 07 May 2010 17:47:50 +0000

其实iPhone上面的那个蠕虫病毒已经是去年的事情了，主要症状就是会作为一个Daemon程序驻守在iphone里面，然后定期去搜索同网络中的其他iPhone手机，利用其越狱后ssh密码后门散布自己。所以会干扰你的wifi网络和偷走你的GPRS流量。之前俺确实中过，并且干掉了，殊不知前两天为了玩Spirit的完美越狱，将机器升级到3.1.3，然后不是是因为越狱之后忘记了修改密码结果在公司网络里面感染了其他同事的iPhone（在twitter上面我说过，开会的时候左右后都是iphone），还是恢复了之前的设置，所以居然又中了（因为发现这两天机子耗电了，另外用一些需要上网的软件，例如TwitBird和开心网的时候会无缘无故退出，这个不知道是3.1.3兼容性问题还是真的因为蠕虫干扰网络害的，于是查了一下机器上面的文件，结果就发现了）。所以还是在自己的blog上面留个备份吧。

先是处理的问题：

删除以下路径的文件（有些不一定有）：

(1). /var/mobile/Library/LockBackground.jpg （先检查这个是你自定义的背景还是已经被病毒感染的，如果还是自己的就不用删除了）
(2). /System/Library/LaunchDaemons/com.ikey.bbot.plist
(3). /bin/poc-bbot
(4). /bin/sshpass
(5). /var/log/youcanbeclosertogod.jpg
(6). /var/lock/bbot.lock

记得删除文件之后要重启一下iphone

然后就是预防的办法，就是把缺省的用户密码（alpine）修改掉，封住蠕虫散播的后门。

修改root和mobile用户的密码

另外我还发现，在/var/logs/CrashReporter目录下面还会含有不少*bbot*.plist的文件，估计是poc-bbot程序crash掉的日志记录，可以一并删除。反正到最后用root在根目录开始find一下有没有*bbot*的残余就好了。

iPhone封闭是为了自己稳定，你硬是要越狱干更多的事情，就预着要对付病毒和蠕虫的骚扰，出来行是要还的。

iPhone白苹果的小自救办法

Sunny — Sun, 11 Apr 2010 18:06:15 +0000

今天去拜山回来，在家里稍微上了一下网，发现Cydia上面说LockInfo又更新了，确实最近那个作者似乎比较勤快，遂更新之。结果发现第一次锁屏之后LockInfo能在LockScreen上面显示，之后的话就完全不见踪影了。估计是作者更新的太心急，这些beta的东西让大家变成了测试员了。

晚上出差，在酒店看到twitter上面作者说要“rolling back 2 official release”，这个就知道出事了。但是之前作者又说了“I know the latest LockInfo beta is messed up. It’s only an issue if you don’t have cydget installed.”，这样看来似乎是要装个LockInfo和Cydget的整合版本。于是上Cydia上面装了，结果在安装完以后Cydia刷新之时，屏幕定住了，很明显，死机了……只好让Home和Power一起按着来重启，结果进入启动时的白苹果画面，提心吊胆了若干分钟之后，iPhone来了一声凄厉的惨叫，但是依然是白苹果，只不过同时多了点白菊花。杯具啊~~想起今年年三十晚上因为软件冲突导致不得不重装3.1.2固件的痛苦。

让iPhone连上Laptop上面，发现有反应，用i-FunBox居然能连上iPhone！这样就好办了，既然机器还能正常连着，证明基本的服务是正常的。但是熟悉的SpringBoard不能出现，机器短暂一段时间会有一声惨叫，证明就是某些随SpringBoard的启动项有问题，导致SpringBoard起不来。基本问题应该就是刚才装的LockInfo Cydget在安装的时候出错导致的。既然如此，也就是说某些第三方启动项导致SpringBoard起不来，方向定好了以后，下一步就进入调研阶段了。

理论上，对于大部分小白来说都希望能够用91猪手来修复白苹果，不过鉴于本人一向有研究解决问题的风格，而且91猪手名声实在不算好，我也不喜欢装这个东西还要给它硬生生的插一个Daemon程序在里面，于是还是自己动手丰衣足食吧。用Google研究了一把之后，终于找到解决的办法：

首先启动iPhone，在其能够连上电脑，用i-FunBox可以浏览到机器文件之时，浏览并下载这个文件到电脑本地：/System/Library/LaunchDaemons/com.apple.SpringBoard.plist （这个plist文件就是管SpringBoard启动时候的配置文件了，你可以认为它就是我们在Dos里面的那个config.sys或者autoexec.bat文件）
打开这个plist文件进行编辑，注意iPhone里面的plist文件虽然是一些XML格式的文件，但是存储方式可能是文本型的，也有可能是二进制型的，所以要上网找一个plist文件的编辑器，例如一个叫PropertyList Editor的东西。先把这个本地的plist文件作个备份，然后打开plist文件之后可以找到以下片段：

DYLD_INSERT_LIBRARIES
/Library/MobileSubstrate/MobileSubstrate.dylib

将其改成一下形式

DYLD_INSERT_LIBRARIES

也就是把MobileSubstrate这个给干掉了，这个库主要就是管不少第三方越狱工具的，没了它，很多第三方包都启动不起来的了。保存好文件之后，将本地修改好的文件重新上传的iPhone上面进行覆盖，然后重启iPhone。
接下来的重启应该会比以前快了很多，然后进入iPhone界面之后，就发现很多越狱后的东西都用不上了，例如WinterBoard的主题等等。接下来，就是进入Cydia里面，将之前弄错的东西干掉，例如我这里就是把之前装的LockInfo的beta版本和LockInfo Cydget给删除掉，另外如果Cydget不能卸载干净的话，可以自行上Cydia的Repository上面下载一个最新的Cydget安装deb文件，自己安装，然后再进入Cydia里面把它卸载掉，这样就可以了。最后将之前备份的com.apple.SpringBoard.plist文件重新上传回iPhone上面覆盖旧文件。也就是说把MobileSubstrate的启动项恢复过来。然后重启一下iPhone。
重启完了以后，你就发现又可以回答熟悉的SpringBoard界面了。总算不用重新刷固件了。

总结一下，iPhone里面的第三方越狱软件不要随便乱撞，毕竟都是程序员开发的，也没有经过苹果或者其他机构严格审核测试的，所以难免会有各种问题，最直接的影响就是造成死机然后白苹果的杯具。这个时候不能慌，反正最差的境地就是重现刷固件罢了，只是时间上面的开销会比较大。而且大不了iPhone用不了了换另外一台电话用用（我都几乎打算有什么万一的话，明天在去客户的路上去华强北买个山寨机器了）。之后如果iPhone还是能够连上电脑，被iTunes或者i-FunBox之类认到的话，不妨可以试试上面的办法，干掉第三方启动项然后卸载垃圾之后恢复过来看看（其实91猪手的所谓白苹果修复也是强行杀掉所有的MobileSubstrate项，只不过它不知道到底哪个有问题，就帮你一锅端了罢了，不够自己动手那么智能啊！）

以上这个办法可能是特事特办，不一定有普遍性，但是起码对我来说是一个解决问题的思路和解决这次问题的一个办法，故记录下来，以作备份用。唉，不成熟的deb程序也是会经常害死人的啊，亏我还贡献了钱个LockInfo的作者啊。

===========================华丽的分界线===================================

PS：被老婆投诉好久没有更新blog，因为确实比较忙，而且今晚因为这个事情导致iPhone关机而忘记接家里的电话，以此技术贴说明原因：老婆，我不是故意不接电话的啊，确实是我的机器出问题了，我没有在出差时去鬼混啊！

简单删除临时文件的批处理文件

Sunny — Fri, 18 Sep 2009 04:04:43 +0000

虽然公司用的那台Laptop硬盘空间还够用，不过看到C盘空间越来越少就甚是不爽，所以找回尘封多年的一个简单批处理来删除临时文件。（万恶的Eclipse和基于Eclipse的一堆东西果然弄了很多tmp文件）

清除了一下，结果弄回了1个多G的空间。

放上来备个份，将下面的内容存到一个bat里面就好了。

@echo off

echo 清空IE临时文件目录…
del /f /s /q “%userprofile%\Local Settings\Temporary Internet Files\*.*”
del /f /s /q “%userprofile%\Local Settings\Temp\*.*”

echo 正在清除系统临时文件 *.tmp *._tmp *.log *.chk *.old ，请稍等…
del /f /s /q %systemdrive%\*.tmp
del /f /s /q %systemdrive%\*._mp
del /f /s /q %systemdrive%\*.log
del /f /s /q %systemdrive%\*.gid
del /f /s /q %systemdrive%\*.chk
del /f /s /q %systemdrive%\*.old

echo 清空垃圾箱，备份文件和预缓存脚本…
del /f /s /q %systemdrive%\recycled\*.*
del /f /s /q %windir%\*.bak
del /f /s /q %windir%\prefetch\*.*
rd /s /q %windir%\temp & md %windir%\temp

rem cooke和最近历史还是保留吧…
rem del /f /q %userprofile%\COOKIES s\*.*
rem del /f /q %userprofile%\recent\*.*

echo 清理系统盘无用文件…
%windir%\system32\sfc.exe /purgecache

echo 优化预读信息…
%windir%\system32\defrag.exe %systemdrive% -b

echo 清除系统完成！

echo. & pause

注意：这个脚本是会删除系统盘上面的.log文件，如果你的系统盘上面正好装了Oracle，顺便把datafile也放到系统盘，那么就会干掉日志文件了，小心。

将WordPress升级到2.8

Sunny — Wed, 17 Jun 2009 14:11:21 +0000

今天天气闷热，加上晚上让老婆开车回家，结果在中大停车场倒车入库的时候蹭了人家车头的车牌终于把小福给刮花了。大老婆争风吃醋，把二老婆的脸给刮花，脸上一道长长的伤痕，场面相当血腥。郁闷地回家，无事上网，看看WordPress 2.8的中文版也出来，于是下载下来升级。过程很简单，到WP的管理界面，将数据库备份出来，dump了SQL，然后上DH主机上面把旧版本目录整个tar zip起来，然后将WP 2.8的zip解开，然后将文件上传覆盖到旧版本上面（用SSH上传的漫长过程，当然也可以上zip到服务器上面解包），接下来很简单访问/wp-admin/upgrade.php，开始提示需要升级数据库，确认之后没多久就显示成功，然后就升完了。新版本当然有新版本的好处，以天才演奏家Chet Baker命名，修正了790个Bug，增加了180个新特性，除此之外添加了一个CodePress 编辑器支持语法高亮，支持语法参考，详情见WordPress 2.8 更新列表。 Related posts: 胜利回归今天下午啥折腾了一把民工血泪史——新版本不是随便追求的 Related posts:

从WebSphere当中恢复密码

Sunny — Thu, 16 Apr 2009 14:38:45 +0000

WebSphere会在配置文件（一堆的XML）当中存放各种密码（包括数据源、认证别名等等），例如在$WAS_Profile_HOME\config\cells\security.xml文件里面有类似””，就是存放认证别名为oracleDBA的用户名和密码。

可以看到在这里密码被重新编码（encode）了，编码的方式是XOR（eXclusive OR异或），很明显这种并不是一种强加密的算法，仅仅是一种编码而已，所以准确来说WebSphere为了避免密码被明文记录，只是很简单地“编码”（encode）而不是“加密”（encrypt）。

万一阁下一个不小心忘记了存放在WebSphere里面的密码，但是又想恢复过来的话，WebSphere这种只是编码而不是加密的存放密码形式，就帮助了你了。当然如果你想干坏事的话，WebSphere也算是给自己留下了一个“后门”了 -_-b。嘿嘿嘿，不要以为IBM那帮老爷子就是这么懒，如果阁下真的是要对存放在WebSphere配置文件里面的密码要加密的话（对于广大客户肯定是有这个诉求的），其实IBM也提供了一种自定义加密算法的插件形式去解决这个问题的，详情可以参考这个链接，在这里就不对这个问题进行展开讨论了。

好了，现在就对各个版本的WAS的密码编码和反编码进行讨论：

WAS 5.X的编码：

> cd $WAS_INSTALL_DIR/lib
> ../java/bin/java -cp securityimpl.jar:iwsorb.jar com.ibm.ws.security.util.PasswordEncoder 123456

WAS 5.X的反编码：

> cd $WAS_INSTALL_DIR/lib
> ../java/bin/java -cp securityimpl.jar:iwsorb.jar com.ibm.ws.security.util.PasswordDecoder {xor}bm1sa2pp

WAS 6.0的编码：

> cd $WAS_INSTALL_DIR/lib
> ../java/bin/java -cp securityimpl.jar:iwsorb.jar::ras.jar:wsexception.jar:bootstrap.jar:emf.jar:ffdc.jar com.ibm.ws.security.util.PasswordEncoder 123456

WAS 6.0的反编码：

> cd $WAS_INSTALL_DIR/lib
> ../java/bin/java -cp securityimpl.jar:iwsorb.jar::ras.jar:wsexception.jar:bootstrap.jar:emf.jar:ffdc.jar com.ibm.ws.security.util.PasswordDecoder {xor}bm1sa2pp

WAS 6.1的编码：

> cd $WAS_INSTALL_DIR/bin\ProfileManagement\plugins\com.ibm.websphere.v61_6.1.200
> java -cp ws_runtime.jar com.ibm.ws.security.util.PasswordEncoder 123456

WAS 6.1的反编码：

> cd $WAS_INSTALL_DIR/bin\ProfileManagement\plugins\com.ibm.websphere.v61_6.1.200
> java -cp ws_runtime.jar com.ibm.ws.security.util.PasswordDecoder {xor}bm1sa2pp

以上内容参考转载自robertmaldon。

当然，如果你觉得很麻烦的话，其实也有一个网站直接帮你解码：WebSphere Password Decoder

在PowerBlade刀片服务器上面安装SuSe

Sunny — Tue, 20 Jan 2009 08:25:40 +0000

作为一个卖刀片的软件工程师，今天很无奈地在PowerBlade上面安装了SuSe 10 for PowerPC。步骤非常简单，主要是要有耐心和忍受刀箱强烈的噪音。

事前准备：PowerBlade刀片服务器（刀箱+若干刀片），SuSe安装介质

1）首先是刀箱要加电，废话，不加电干个鸟啊？刀片可以不上电先；然后放入安装介质到DVD驱动器里面；

2）然后网线连接登录管理模块网口和你的Laptop，找不到口的就不要装机了；登录管理模块，缺省是http://192.168.70.125，用户名是USERID，密码是PASSW0RD，注意是0不是O，注意大小写；

3）选择超时时间5 minutes，然后点continue；

4）在菜单选Blade Tasks->Configuration，在右侧选Boot Sequence，点击选择目标刀片，进去界面后，选择1st Device是CDROM，点Save保存；

5）左侧菜单Blade Tasks->Remote Control，右侧选Start Remote Control，然后开始Load Java，注意建议使用JRE是1.4.2以上，6.0以下版本。我刚好是6.0的，所以程序会很弱智地帮我上网“update”了一个1.4.2的JRE下来；

6）接收一堆IBM Java证书之后，Change KVM/Media Tray Owner为你所需的刀片；
其实如果你身边就是刀箱的话，直接按刀片上面的按钮就可以切换显示和CDROM的所属，完全可以略过5）和6），哈哈，受骗了；

7）左侧菜单Blade Tasks->Serial Over LAN，右侧Serial Over LAN Configuration，选择开启SOL，Serial Over LAN=>Enable，Tranport Parameters：Accumulate timeout = 5 msec，Send Threshold = 250 bytes，Retry count = 3，Retry Interval 250 msec。特殊键设置：’Enter CLI’ key sequence = ^[(，'Reset blade' key sequence = ^[R^[r^[R；

8）用命令行或者putty工具telnet到192.168.70.125，输入USERID和PASSW0RD之后，在system>提示符下面输入power -on -c -T blade[2]，其中2表明刀片所在的槽位号，这样刀片服务器就开始上电工作；

9）自检过后，就是光盘启动，然后就是进入SuSe的安装，如果这个都不会，那么通篇可以省略不用看了。安装过程中，主要还是自检和引导的时间比较长，安装软件包的时间反而不算长，40分钟搞定。

作为一个软件工程师，又做了一次硬件的support。

帮老婆恢复她的blog

Sunny — Fri, 09 Jan 2009 18:17:54 +0000

自己的blog已经恢复到一个段落，虽然WP很好玩，有很多东西可以自己把弄，譬如主题，譬如plugins等等，不过太花功夫了，还是慢慢来，不能一步登天啊。既然老婆大人一直跟我探讨是不是旧的那个.net网址恢复过来她的blog就能访问，其实并非如此。只好继续按照我之前帮自己和Ne恢复的方法，帮老婆部分弄好她的blog先，等.net的网址转移域名成功了之后，再看看做映射之类的事情吧。等转移域名成功已经等了我五天了，一直还没有音讯，虽然DH已经说了起码要7-10天的时间…… Related posts: www.sunnyblog.net暂时失效胜利回归修理BLOG Related posts:

手贱的结果——Wii降级记

Sunny — Sun, 21 Dec 2008 14:13:00 +0000

——今天掏出尘封已久的Wii来玩，一时手贱，把自己的Firmware从3.3J升级到3.4J（好像是我新买的瓦里奥大陆震动升的级），结果机器没有变砖或者变半砖（因为比较还是J版的Firmware），不过很多游戏不能运行了，一进去就黑屏然后一大段日文说什么坏了之类，其中包括新版的兔子TV，WiiFit，只能玩某些旧游戏例如疯狂兔子II。这下子惨了，WiiFit玩不了咋办啊？！

——硬着头皮上网看看有没有办法降级，谢天谢地还是有工具进行降级的。但是首先要有Homebrew Channel，一个自制的Wii频道，而装这个东西呢？是要通过一个Wii游戏的一个漏洞（这个真是神奇啊！）。感谢手贱的我，之前就是没有玩也把那张传说中的漏洞碟《薩爾達傳說曙光公主》买了回家（不然就要到处去找或者上网下载了），另外放在Wii里面的那张闲置的SD卡也派上用场了。首先是安装HBC（Homebrew Channel），详细可以参考一下文章《Homebrew Channel 安裝與使用教學（附全程影片）》。

——接下来更是痛苦的过程，幸亏手贱的我当初买Wii回家之后，硬是判断着不太懂的日文把自己的Wii连上本家的无线网络，因为降级的过程很大一部分都需要联网才能下载hack过的Firmware。同时，降级的过程中主要还是参考这篇文章《誤升3.4J既朋友唔駛煩, 現在有救》，过程当中STEP 6用IOS Downgrader下载和安装IOS文件过程会相当的慢，而且有时会出错，我就是其中一个文件出错了！所以可以参考以下文章《另类降级3.3 3.3v2和3.4的方法》，下载它的降级包，然后利用里面自带的Channel File Manager安装它已经下载好的16个IOS文件。在接回前文的STEP 7继续下去。最后在cIOS-Downgrader运行的时候，切忌日版机器已经要降级为J字尾的Firmware，否则会半砖！

——我当时降级的是选择了3.2J（这个是我之前从JS手上拿到Wii的时候的版本），晚上下载还算快，不过也大半小时了，成功之后在激动之中重启Wii，放入之前不能运行的兔子TV，可以正常运行，放入疯狂兔子II，也OK了。放入WiiFit，提示需要升级，没办法当年也是这样升级的。用光碟升级到3.3J，WiiFit也活过来了！一切终于如常，感谢Internet，感谢自制Wii的定制软件的人，感谢那些放出降级办法文章的有心人，感谢手多的我（毕竟漏洞的塞尔达碟，SD卡，上网设置都是之前手多准备好的）。

——大家切记，没有确认之前千万不要乱升级（毕竟老任升级不光是打补丁或者加功能，还有补自己的盗版漏洞滴），宁愿自己玩不了一个游戏，也不要一大堆游戏玩不了啊……

——经历今天一役，在Wii的破解和降级能力上面，又有经验值的提升，看来也可以去卖游戏机做破解了，肯定比海印市场的JS要强N倍啦！

帮老婆换硬盘倒数据中

Sunny — Mon, 15 Dec 2008 17:13:00 +0000

——老婆前两天嚷嚷着说原来的60G硬盘空间不够，逼着我要帮她换硬盘，结果今天就顺道去了太平洋进了一只新货。现在的笔记本硬盘真是便宜，大半年前买了一只160G SATA连硬盘盒要400大元，今天用400大元就买了一只希捷的320G。存储成本真是越来越便宜啊。

——回家，开始倒数据。因为X60本身没有硬盘托架，我也没有买底座，所以只好拆掉我自己的USB SATA硬盘盒连其中一块盘。然后用自己之前已经做好放在U盘上面的WINPE加常用工具集的救急盘启动。很快在WinPE界面下运行Ghost v11，进行硬盘数据的复制。开始是用Disk To Disk的模式，浩浩荡荡地用了两个多小时之后，将新硬盘装入笔记本里面，启动，结果没有熟悉的窗口飘扬，而只是左上角的一个闪动光标。挂了，XP启动不起来。用另外的机器上网找答案，好像没有什么特效药。

——一气之下，干掉重来！这次学乖了，先建好两个分区，然后字Ghost里面用Partition To Partition的方式先复制好C盘。经历一个多小时的漫长等待之后，重启，终于能够正常进入XP了！接下来，重启，重新在WinPE里面调用Ghost，复制剩下的分区，又是一个漫长滴过程，幸好澡还没洗，可以顺道打Loco Roco2打发时间。作为一个环保的好孩子，我是不会让机器值夜无人运行的。

——奋战到2点半，终于机器可以正常启动和运行了。今天技能有增加了拆卸X60硬盘，使用Ghost复制硬盘数据的经验值，在金融海啸之际自我增值啦！

又给人劫持了

Sunny — Sun, 30 Nov 2008 07:51:00 +0000

——已经不止一次在这里探这个事情了，今天上网发现用FF经常有个莫名其妙的跳转，于是打开HttpFox进行跟踪，试了几个访问之后就可以看到其中的一个请求就是类似http://121.32.136.91:4022/logo.jpg?p=1228030371|undefined|1022|1400|32|1050|1400这样的访问路径，无可奈何地在自己路由的防火墙中加入对121.32.136.91（所在地为广州）这个的过滤规则。然后就可以捕获类似的JavaScript脚本了：

test=function(){
var objElement=document.createElement(“iframe”);
var link=”http://121.32.136.91:4022/logo.jpg?p=”;
link += Math.floor((new Date()).getTime()/1000);
link += “|”;
link += navigator.appMinorVersion;
link += “|”;
link += screen.availHeight;
link += “|”;
link += screen.availWidth;
link += “|”;
link += screen.colorDepth;
link += “|”;
link += screen.height;
link += “|”;
link += screen.width;
objElement.setAttribute(“src”,link);
objElement.style.display=”none”;
document.body.appendChild(objElement);
};
window.setInterval(“window.status=’ ‘”,200);
window.setTimeout(‘refresh()’,1000);
test();

——看内容，还好没啥攻击性，不过电信大哥，你找俺做实验，想知道老子的分辨率什么的也麻烦也通知一声吧，反正打电话给10000号的话，那些接线小妹也不晓得你跟她说什么劫持什么路由的了。当然生活在这个可爱的国度，我们顶多就只能在自己手上的路由设几个规则罢了，不过这也够Free的了，起码现在用电信好歹都比那些用X家宽的小区宽带好多了。