一篇旧文《“你能保证吗？”》，写于 2008 年 1 月 18 日。不过事情发生于 2003 年，也就是我工作的第二年。
==========
“你能保证吗？”
有这么一句话：“会画画儿的是画家，不会画画的都是艺术家”。为什么呢，因为画家不好蒙，艺术家好蒙。再怎么低要求，也起码得能拿铅笔画出瓣儿大蒜来才能叫画家吧？艺术家就简单了，往屁股上抹点红墨水儿，印个苹果就是艺术家。
郭德纲也说过，有人四处冒充相声大师，没人冒充戏曲大师。为什么呢，因为相声好蒙，唱戏就不同了，没个几年功夫，连龙套都跑不了，一上台就让人看出来。
和文学艺术相比，我更喜欢自然科学，就是因为这些不好蒙。在所有的自然科学里我更喜欢计算机就是因为这玩意非常不好蒙，jmp $6一定是jmp $6，我说BOOL tag现在是1，你说做人不能太绝对嘛，难道不会是0嘛？好，printf。
所以我虽然非常热爱电影，但却不爱写影评。主要就是因为这玩艺不能printf。不能printf的东西容易好蒙，好扯淡。
说个故事。
2003年，一个客户那里出了怪事，连续一周每天下午四点半，网络准时瘫痪。几层楼的人都上不了网。我去转了一圈，看了看他们的办公环境，问了诸如第一次出现这个现象之前你们干了些什么，你们的网络拓扑是什么样的之类的问题。我发现那个地方的网络结构很神奇，总出口下面是四个大Hub。再往下总共连着三百多台机器。Hub这种东西一荣俱荣，一损俱损；一人超生，全村结扎。所以我对他说了我的想法：可能是某台电脑被安装了IRCBot造成的。
然后我告诉他，这么多机器，不太可能一台一台检查。我们可以尝试在防火墙上把对IRC的访问阻塞，很可能网络访问中断的问题能就此解决。
然后他问了我一个此前从来没人问过，至今也没人再问过的问题：“你能保证吗？！”
我稍微愣了一下，然后告诉他，这是我根据在你们这里收集的信息所判断出来可能性最大的情况，除此之外也许还有一万多种可能，不过概率都比这个小得多。
但是他坚持要我保证，如果我不保证阻塞IRC就一定能解决问题，那他就不能让我这么干。
以前看过一本老外写的书，里面讲到，计算机安全事故发生的时候，网络管理人员其实并不欢迎安全人员的到来。我想现在他一定非常需要我的失败来挽救他可怜的自尊心，虽然我并不讨厌救人，不过不太喜欢这种救法。而且这个活儿本身也非同一般，不是销售找来的，是大Boss直接打电话来的，我必须一击必中，秒杀，不能冒险。
于是我算了一笔帐：
1、现场只有我一个人，而对方有十来个各个部门的人围着，多数人是迫切希望解决问题的，还有一些也许更希望看笑话。
2、既然现在网络访问中断的情况还没有出现，那么找出问题的把握就要小一些。
3、即使我现在找到了问题，并且解决了，怎么printf呢？如何证明我找到的问题就是事情的原因呢？如何证明后来没有出问题是因为事情解决了而不是碰巧今天就没事呢？
总的来说，我要做的不是解决这里的问题，而是让在场的所有其他人明确知道是绿盟科技解决了这里的问题。没有任何悬念，也不让任何人有扯淡的余地。所以我应该做的是等待，等待问题出现。
于是我开始和他谈一些关于量子物理学中不确定性原理的知识，告诉他这个宇宙中没有什么是可以保证的。大概过了半个小时，网络如期中断，我一看差不多了，就对他说：虽然我不能保证一定是我说的那个问题，不过现在我们可以去确认一下是不是那个问题。
他们的防火墙是用一台redhat做的，2003年的时候我几乎不懂linux，不过好在我工作的时候没什么表情，所以看起来总是很熟练的样子，而且我在Windows上用ethereal的时候顺便看了一下tethereal的用法。于是我用了一个IRC通信的过滤参数开始Sniff。很快就在屏幕上看到了一个IP，而且通信数据很明显，就是IRCBot的指令。于是我让他们去把那台机器的网线给拔了。然后网络访问就正常了。
这时候形势陡然发生了变化，围着的那些人也变得忙碌起来。一般来说，有朋自远方来，倒杯水总是应该的。这时候我终于等到了这杯水。“你能保证吗”觉得tethereal简直太神奇了，问了我很多关于这个的问题，并且试图想搞清楚我为什么能一下子就猜到是这个问题，还把他们部门的人都叫了过来，最后甚至让一个孩子去翻.bash_history，用圆珠笔把我刚才敲的几行命令抄下来，等等。我简直哭笑不得，李汝珍笔下的两面国看来还是有事实依据的。
五年过去了，“你能保证吗”这句话一直到今天，仍然是我们办公室的流行语，不出意外的话，恐怕还会一直流行下去。
via t0mbkeeper的微博
==========
“你能保证吗？”
有这么一句话：“会画画儿的是画家，不会画画的都是艺术家”。为什么呢，因为画家不好蒙，艺术家好蒙。再怎么低要求，也起码得能拿铅笔画出瓣儿大蒜来才能叫画家吧？艺术家就简单了，往屁股上抹点红墨水儿，印个苹果就是艺术家。
郭德纲也说过，有人四处冒充相声大师，没人冒充戏曲大师。为什么呢，因为相声好蒙，唱戏就不同了，没个几年功夫，连龙套都跑不了，一上台就让人看出来。
和文学艺术相比，我更喜欢自然科学，就是因为这些不好蒙。在所有的自然科学里我更喜欢计算机就是因为这玩意非常不好蒙，jmp $6一定是jmp $6，我说BOOL tag现在是1，你说做人不能太绝对嘛，难道不会是0嘛？好，printf。
所以我虽然非常热爱电影，但却不爱写影评。主要就是因为这玩艺不能printf。不能printf的东西容易好蒙，好扯淡。
说个故事。
2003年，一个客户那里出了怪事，连续一周每天下午四点半，网络准时瘫痪。几层楼的人都上不了网。我去转了一圈，看了看他们的办公环境，问了诸如第一次出现这个现象之前你们干了些什么，你们的网络拓扑是什么样的之类的问题。我发现那个地方的网络结构很神奇，总出口下面是四个大Hub。再往下总共连着三百多台机器。Hub这种东西一荣俱荣，一损俱损；一人超生，全村结扎。所以我对他说了我的想法：可能是某台电脑被安装了IRCBot造成的。
然后我告诉他，这么多机器，不太可能一台一台检查。我们可以尝试在防火墙上把对IRC的访问阻塞，很可能网络访问中断的问题能就此解决。
然后他问了我一个此前从来没人问过，至今也没人再问过的问题：“你能保证吗？！”
我稍微愣了一下，然后告诉他，这是我根据在你们这里收集的信息所判断出来可能性最大的情况，除此之外也许还有一万多种可能，不过概率都比这个小得多。
但是他坚持要我保证，如果我不保证阻塞IRC就一定能解决问题，那他就不能让我这么干。
以前看过一本老外写的书，里面讲到，计算机安全事故发生的时候，网络管理人员其实并不欢迎安全人员的到来。我想现在他一定非常需要我的失败来挽救他可怜的自尊心，虽然我并不讨厌救人，不过不太喜欢这种救法。而且这个活儿本身也非同一般，不是销售找来的，是大Boss直接打电话来的，我必须一击必中，秒杀，不能冒险。
于是我算了一笔帐：
1、现场只有我一个人，而对方有十来个各个部门的人围着，多数人是迫切希望解决问题的，还有一些也许更希望看笑话。
2、既然现在网络访问中断的情况还没有出现，那么找出问题的把握就要小一些。
3、即使我现在找到了问题，并且解决了，怎么printf呢？如何证明我找到的问题就是事情的原因呢？如何证明后来没有出问题是因为事情解决了而不是碰巧今天就没事呢？
总的来说，我要做的不是解决这里的问题，而是让在场的所有其他人明确知道是绿盟科技解决了这里的问题。没有任何悬念，也不让任何人有扯淡的余地。所以我应该做的是等待，等待问题出现。
于是我开始和他谈一些关于量子物理学中不确定性原理的知识，告诉他这个宇宙中没有什么是可以保证的。大概过了半个小时，网络如期中断，我一看差不多了，就对他说：虽然我不能保证一定是我说的那个问题，不过现在我们可以去确认一下是不是那个问题。
他们的防火墙是用一台redhat做的，2003年的时候我几乎不懂linux，不过好在我工作的时候没什么表情，所以看起来总是很熟练的样子，而且我在Windows上用ethereal的时候顺便看了一下tethereal的用法。于是我用了一个IRC通信的过滤参数开始Sniff。很快就在屏幕上看到了一个IP，而且通信数据很明显，就是IRCBot的指令。于是我让他们去把那台机器的网线给拔了。然后网络访问就正常了。
这时候形势陡然发生了变化，围着的那些人也变得忙碌起来。一般来说，有朋自远方来，倒杯水总是应该的。这时候我终于等到了这杯水。“你能保证吗”觉得tethereal简直太神奇了，问了我很多关于这个的问题，并且试图想搞清楚我为什么能一下子就猜到是这个问题，还把他们部门的人都叫了过来，最后甚至让一个孩子去翻.bash_history，用圆珠笔把我刚才敲的几行命令抄下来，等等。我简直哭笑不得，李汝珍笔下的两面国看来还是有事实依据的。
五年过去了，“你能保证吗”这句话一直到今天，仍然是我们办公室的流行语，不出意外的话，恐怕还会一直流行下去。
via t0mbkeeper的微博
没啥好办法。
一出现伤害医生的事件，网民们就想起来要“增加保安”、“增加安检”。加人、加设备都得花钱，对吧？然而现在总的思路是医院不该挣钱。那么加人、加设备的钱从哪儿来？让财政部拨款，搞专项资金，是吗？
via t0mbkeeper的微博
一出现伤害医生的事件，网民们就想起来要“增加保安”、“增加安检”。加人、加设备都得花钱，对吧？然而现在总的思路是医院不该挣钱。那么加人、加设备的钱从哪儿来？让财政部拨款，搞专项资金，是吗？
via t0mbkeeper的微博
CrowdStrike 引发蓝屏的事情逐渐从网络安全圈开始往外扩散。于是一些人又说这证明了必须“自主可控”。
“自主可控”有很多好处，比如能自主，比如能可控。这几年美国也在搞“自主可控”。拜登批了 200 亿美元，要把美国港口的中国产龙门吊全换成美国产的。不过“自主可控”最大的好处是能约谈。 库克、贝索斯、扎克伯格、皮柴都被国会约谈过。CrowdStrike 如果是中国的，那咱们肯定也要约谈，要求写一份“举一反三”的整改报告。
但是，但是，但是，“自主可控”并不意味着更好的软件质量、更高的运营水平、更低的事故率。这一点，应该是常识。
via t0mbkeeper的微博
“自主可控”有很多好处，比如能自主，比如能可控。这几年美国也在搞“自主可控”。拜登批了 200 亿美元，要把美国港口的中国产龙门吊全换成美国产的。不过“自主可控”最大的好处是能约谈。 库克、贝索斯、扎克伯格、皮柴都被国会约谈过。CrowdStrike 如果是中国的，那咱们肯定也要约谈，要求写一份“举一反三”的整改报告。
但是，但是，但是，“自主可控”并不意味着更好的软件质量、更高的运营水平、更低的事故率。这一点，应该是常识。
via t0mbkeeper的微博
和这个故事（网页链接）差不多的时间，北京排名前十的一家券商，某天上午电脑大面积蓝屏。重启还蓝，一直蓝。前一个故事里的公司也是券商，但他们出问题是在休市之后，而这次是开市的时候，对券商的影响可想而知。这家券商的老板也找了当时我所在公司的 CEO 帮忙。CEO 让我去看看。
我去的时候发现屋里已经站了一堆人。这家券商把他们所有供应商都叫来了。电脑供应商、软件供应商、网络集成商，等等，好像连数据库供应商都来了。我印象最深的是两位 IBM 的工程师，穿着西装，戴着工卡，抱着 ThinkPad，站得笔直。和其余那些灰头土脸的售后工程师一比，简直鹤立鸡群。
我看了看蓝屏的情况，找券商的网管要了一根串口线。网管说你是不是要网线。我说不是，就是串口线，然后指了指电脑上的串口。网管自己还没这东西，跑去机房才找来一根。我拿出了我的 ThinkPad，用串口线把 ThinkPad 和蓝屏的电脑连到了一起，开始双机内核调试。
很快，我发现问题出在 3721 的一个驱动上。考虑到出事的那天正好是微软发布补丁的日子，应该是微软的系统更新和 3721 冲突导致的。出问题的位置很靠前，所以连安全模式都进不去。
我又摸出一张 Windows PE 盘，用这张盘引导系统，删掉 3721 驱动，果然系统就正常启动了。于是我现场给 Windows PE 加了自动删 3721 驱动的命令，做成一个光盘映像，让券商的网管刻盘下发到各个部门，每人用这张盘引导一下系统，然后问题就解决了。
当然，这种问题本来就不是一般售后工程师能解决的，不能怪他们。但是能顺利帮客户解决问题，看着各家供应商派来的一屋子人束手无策，还是很有成就感的。
我在乙方圈子的名声主要是靠做的那些技术研究，在甲方的口碑则是这样一个事件一个事件积累起来的。
via t0mbkeeper的微博
我去的时候发现屋里已经站了一堆人。这家券商把他们所有供应商都叫来了。电脑供应商、软件供应商、网络集成商，等等，好像连数据库供应商都来了。我印象最深的是两位 IBM 的工程师，穿着西装，戴着工卡，抱着 ThinkPad，站得笔直。和其余那些灰头土脸的售后工程师一比，简直鹤立鸡群。
我看了看蓝屏的情况，找券商的网管要了一根串口线。网管说你是不是要网线。我说不是，就是串口线，然后指了指电脑上的串口。网管自己还没这东西，跑去机房才找来一根。我拿出了我的 ThinkPad，用串口线把 ThinkPad 和蓝屏的电脑连到了一起，开始双机内核调试。
很快，我发现问题出在 3721 的一个驱动上。考虑到出事的那天正好是微软发布补丁的日子，应该是微软的系统更新和 3721 冲突导致的。出问题的位置很靠前，所以连安全模式都进不去。
我又摸出一张 Windows PE 盘，用这张盘引导系统，删掉 3721 驱动，果然系统就正常启动了。于是我现场给 Windows PE 加了自动删 3721 驱动的命令，做成一个光盘映像，让券商的网管刻盘下发到各个部门，每人用这张盘引导一下系统，然后问题就解决了。
当然，这种问题本来就不是一般售后工程师能解决的，不能怪他们。但是能顺利帮客户解决问题，看着各家供应商派来的一屋子人束手无策，还是很有成就感的。
我在乙方圈子的名声主要是靠做的那些技术研究，在甲方的口碑则是这样一个事件一个事件积累起来的。
via t0mbkeeper的微博
Media is too big
VIEW IN TELEGRAM
我以前以为郭律师讲的案子都是自己编的。看了这个我相信应该是真的。这个事不了解我们行业情况的人绝对编不出来。//@来去之间:转发微博
via t0mbkeeper的微博
- 转发 @郭庆梓律师: 悬赏五万让找漏洞，防火墙打穿被追责 #武汉律师事务所##律师说法#武汉·湖北尊而光(洪山)律师事务所郭庆梓律师的微博视频
via t0mbkeeper的微博
今天的盲猜关注列表活动开始啦！//@Legends-Of-The-Fall:所以宁愿被人拿枪指着，也不愿意自己搞一把枪是吗？自己跪着就跪吧，看你爹开枪的时候会不会可怜你这种哈巴狗
via t0mbkeeper的微博
- 转发 @t0mbkeeper: CrowdStrike 引发蓝屏的事情逐渐从网络安全圈开始往外扩散。于是一些人又说这证明了必须“自主可控”。
“自主可控”有很多好处，比如能自主，比如能可控。这几年美国也在搞“自主可控”。拜登批了 200 亿美元，要把美国港口的中国产龙门吊全换成美国产的。不过“自主可控”最大的好处是能约谈。 库克、贝索斯、扎克伯格、皮柴都被国会约谈过。CrowdStrike 如果是中国的，那咱们肯定也要约谈，要求写一份“举一反三”的整改报告。
但是，但是，但是，“自主可控”并不意味着更好的软件质量、更高的运营水平、更低的事故率。这一点，应该是常识。
via t0mbkeeper的微博
今天的盲猜关注列表活动又开始啦！//@codingmonkey15516:挺正常的，恨国的那一批，关注列表也基本恒定[二哈]//@t0mbkeeper:今天的盲猜关注列表活动开始啦！//@Legends-Of-The-Fall:所以宁愿被人拿枪指着，也不愿意自己搞一把枪是吗？自己跪着就跪吧，看你爹开枪的时候会不会可怜你这种哈巴狗
via t0mbkeeper的微博
- 转发 @t0mbkeeper: CrowdStrike 引发蓝屏的事情逐渐从网络安全圈开始往外扩散。于是一些人又说这证明了必须“自主可控”。
“自主可控”有很多好处，比如能自主，比如能可控。这几年美国也在搞“自主可控”。拜登批了 200 亿美元，要把美国港口的中国产龙门吊全换成美国产的。不过“自主可控”最大的好处是能约谈。 库克、贝索斯、扎克伯格、皮柴都被国会约谈过。CrowdStrike 如果是中国的，那咱们肯定也要约谈，要求写一份“举一反三”的整改报告。
但是，但是，但是，“自主可控”并不意味着更好的软件质量、更高的运营水平、更低的事故率。这一点，应该是常识。
via t0mbkeeper的微博
我还处理过一件诡异的网络异常。
这家公司也是金融行业的，总部在香港，他们是北京分公司。那时候还没有办公协同的概念。他们和总部之间的主要通信方式就是邮件。有一天这至关重要的邮件忽然出了问题，但总部那边说服务器一切正常。他们自己折腾来折腾去也搞不清楚是怎么回事。于是这个公司的一位副总找了我们 CEO。CEO 又把我派去了。
我过去一看，邮件确实有点问题，也不是完全不正常，能发，但不能收。我问是不是所有电脑都这样，他们说是的。我说你们在家里上网也是这样吗？他们说是的。
我打开 Wireshark，用 nc 试着连了一下他们邮件服务器的 POP3 和 SMTP。果然，POP3 连不上。然后我看了一眼 Wireshark。哦呦！这熟悉的不同寻常的快速到来的 TTL 对不上的 RST 包！
然后我就知道怎么回事了。我告诉他们邮件协议出现这种情况应该是误伤，但也没地方说理去。我建议他们让香港那边的网管给服务器再加个 IP，然后给 POP3 和 SMTP 都套一层 SSL，避免再出现这种情况。
后来那个副总请我吃饭，还要给我介绍女朋友。她说了要介绍的姑娘的若干优点，又加了一句：“就是长得不大好看”。于是我告诉她：“我年纪还小，事业为重，暂时不考虑个人问题”。
via t0mbkeeper的微博
这家公司也是金融行业的，总部在香港，他们是北京分公司。那时候还没有办公协同的概念。他们和总部之间的主要通信方式就是邮件。有一天这至关重要的邮件忽然出了问题，但总部那边说服务器一切正常。他们自己折腾来折腾去也搞不清楚是怎么回事。于是这个公司的一位副总找了我们 CEO。CEO 又把我派去了。
我过去一看，邮件确实有点问题，也不是完全不正常，能发，但不能收。我问是不是所有电脑都这样，他们说是的。我说你们在家里上网也是这样吗？他们说是的。
我打开 Wireshark，用 nc 试着连了一下他们邮件服务器的 POP3 和 SMTP。果然，POP3 连不上。然后我看了一眼 Wireshark。哦呦！这熟悉的不同寻常的快速到来的 TTL 对不上的 RST 包！
然后我就知道怎么回事了。我告诉他们邮件协议出现这种情况应该是误伤，但也没地方说理去。我建议他们让香港那边的网管给服务器再加个 IP，然后给 POP3 和 SMTP 都套一层 SSL，避免再出现这种情况。
后来那个副总请我吃饭，还要给我介绍女朋友。她说了要介绍的姑娘的若干优点，又加了一句：“就是长得不大好看”。于是我告诉她：“我年纪还小，事业为重，暂时不考虑个人问题”。
via t0mbkeeper的微博
回复@Allen-199201:小明的家离学校有 400 米远。小明离开家 2 分钟后，小刚来到小明的家里，说小明在学校晕倒了。请问小刚说的是真话吗？//@Allen-199201:TTL对不上的RST包，这是出了什么网络问题？服务器端发现TTL不对，把tcp通信断掉了？
via t0mbkeeper的微博
- 转发 @t0mbkeeper: 我还处理过一件诡异的网络异常。
这家公司也是金融行业的，总部在香港，他们是北京分公司。那时候还没有办公协同的概念。他们和总部之间的主要通信方式就是邮件。有一天这至关重要的邮件忽然出了问题，但总部那边说服务器一切正常。他们自己折腾来折腾去也搞不清楚是怎么回事。于是这个公司的一位副总找了我们 CEO。CEO 又把我派去了。
我过去一看，邮件确实有点问题，也不是完全不正常，能发，但不能收。我问是不是所有电脑都这样，他们说是的。我说你们在家里上网也是这样吗？他们说是的。
我打开 Wireshark，用 nc 试着连了一下他们邮件服务器的 POP3 和 SMTP。果然，POP3 连不上。然后我看了一眼 Wireshark。哦呦！这熟悉的不同寻常的快速到来的 TTL 对不上的 RST 包！
然后我就知道怎么回事了。我告诉他们邮件协议出现这种情况应该是误伤，但也没地方说理去。我建议他们让香港那边的网管给服务器再加个 IP，然后给 POP3 和 SMTP 都套一层 SSL，避免再出现这种情况。
后来那个副总请我吃饭，还要给我介绍女朋友。她说了要介绍的姑娘的若干优点，又加了一句：“就是长得不大好看”。于是我告诉她：“我年纪还小，事业为重，暂时不考虑个人问题”。
via t0mbkeeper的微博
给去澳门的朋友推荐个餐厅：澳门·PADRE Modern Cuisine
店不大。里面的工作人员都不是中国人，所以不太会说普通话，勉强能说粤语。但菜不错，甜品做的也好。
via t0mbkeeper的微博
店不大。里面的工作人员都不是中国人，所以不太会说普通话，勉强能说粤语。但菜不错，甜品做的也好。
via t0mbkeeper的微博
CrowdStrike 的创始人 George Kurtz 大学学的是会计专业，毕业后去了普华永道。他一边当会计，一边当黑客。我以前推荐的《黑客大曝光》一书就是 George Kurtz 在这个时期写的。写完这本书后不久，他和另外几个人于 1999 年创办了安全公司 Foundstone。我直到今天偶尔还会用一下当年 Foundstone 的小工具。
2004 年，Foundstone 被 McAfee 以 8600 万美元收购。这次收购收的其实主要不是业务，而是人。几年后，George Kurtz 和 Foundstone 的另一位创始人 Stuart McClure 各自离开 McAfee，分别成立了 CrowdStrike 和 Cylance。
CrowdStrike 和 Cylance 走的都是终端安全、高级威胁防护的方向，也都成长为了独角兽。不过 CrowdStrike 发展的更好一些。2019 年，CrowdStrike 上市首日股价就暴涨了 70%。现在市值 740 亿美元。同年，Cylance 被 BlackBerry 以 14 亿美元收购。
这次事故虽然导致 CrowdStrike 股价大跌，但市场的理性应该很快会回来。
via t0mbkeeper的微博
2004 年，Foundstone 被 McAfee 以 8600 万美元收购。这次收购收的其实主要不是业务，而是人。几年后，George Kurtz 和 Foundstone 的另一位创始人 Stuart McClure 各自离开 McAfee，分别成立了 CrowdStrike 和 Cylance。
CrowdStrike 和 Cylance 走的都是终端安全、高级威胁防护的方向，也都成长为了独角兽。不过 CrowdStrike 发展的更好一些。2019 年，CrowdStrike 上市首日股价就暴涨了 70%。现在市值 740 亿美元。同年，Cylance 被 BlackBerry 以 14 亿美元收购。
这次事故虽然导致 CrowdStrike 股价大跌，但市场的理性应该很快会回来。
via t0mbkeeper的微博
回复@CashWu2:还有fport，世界上第一个 Windows下的端口-进程关联工具。我之前说的另一个故事的主角当年就是分析了这个工具的实现，从而进入了网络安全圈子： 评论配图 //@CashWu2:原来fscan来自这[求饶]
via t0mbkeeper的微博
- 转发 @t0mbkeeper: CrowdStrike 的创始人 George Kurtz 大学学的是会计专业，毕业后去了普华永道。他一边当会计，一边当黑客。我以前推荐的《黑客大曝光》一书就是 George Kurtz 在这个时期写的。写完这本书后不久，他和另外几个人于 1999 年创办了安全公司 Foundstone。我直到今天偶尔还会用一下当年 Foundstone 的小工具。
2004 年，Foundstone 被 McAfee 以 8600 万美元收购。这次收购收的其实主要不是业务，而是人。几年后，George Kurtz 和 Foundstone 的另一位创始人 Stuart McClure 各自离开 McAfee，分别成立了 CrowdStrike 和 Cylance。
CrowdStrike 和 Cylance 走的都是终端安全、高级威胁防护的方向，也都成长为了独角兽。不过 CrowdStrike 发展的更好一些。2019 年，CrowdStrike 上市首日股价就暴涨了 70%。现在市值 740 亿美元。同年，Cylance 被 BlackBerry 以 14 亿美元收购。
这次事故虽然导致 CrowdStrike 股价大跌，但市场的理性应该很快会回来。
via t0mbkeeper的微博
回复@笑笑哥:读WinDBG帮助文件。//@笑笑哥:想学下这个串口双机内核调试😆
via t0mbkeeper的微博
- 转发 @t0mbkeeper: 和这个故事（网页链接）差不多的时间，北京排名前十的一家券商，某天上午电脑大面积蓝屏。重启还蓝，一直蓝。前一个故事里的公司也是券商，但他们出问题是在休市之后，而这次是开市的时候，对券商的影响可想而知。这家券商的老板也找了当时我所在公司的 CEO 帮忙。CEO 让我去看看。
我去的时候发现屋里已经站了一堆人。这家券商把他们所有供应商都叫来了。电脑供应商、软件供应商、网络集成商，等等，好像连数据库供应商都来了。我印象最深的是两位 IBM 的工程师，穿着西装，戴着工卡，抱着 ThinkPad，站得笔直。和其余那些灰头土脸的售后工程师一比，简直鹤立鸡群。
我看了看蓝屏的情况，找券商的网管要了一根串口线。网管说你是不是要网线。我说不是，就是串口线，然后指了指电脑上的串口。网管自己还没这东西，跑去机房才找来一根。我拿出了我的 ThinkPad，用串口线把 ThinkPad 和蓝屏的电脑连到了一起，开始双机内核调试。
很快，我发现问题出在 3721 的一个驱动上。考虑到出事的那天正好是微软发布补丁的日子，应该是微软的系统更新和 3721 冲突导致的。出问题的位置很靠前，所以连安全模式都进不去。
我又摸出一张 Windows PE 盘，用这张盘引导系统，删掉 3721 驱动，果然系统就正常启动了。于是我现场给 Windows PE 加了自动删 3721 驱动的命令，做成一个光盘映像，让券商的网管刻盘下发到各个部门，每人用这张盘引导一下系统，然后问题就解决了。
当然，这种问题本来就不是一般售后工程师能解决的，不能怪他们。但是能顺利帮客户解决问题，看着各家供应商派来的一屋子人束手无策，还是很有成就感的。
我在乙方圈子的名声主要是靠做的那些技术研究，在甲方的口碑则是这样一个事件一个事件积累起来的。
via t0mbkeeper的微博
“万无一失”是可能的。可靠性到 99.995%，不就是万无一失吗。人类可以做到四个九。但 100% 是不可能的。这个宇宙里就没有 100% 的可靠性。
这次 CrowdStrike Falcon 的事情，当然可以在软件质量管理、运营体系建设之类的层面找一找问题，总结总结经验。但想杜绝类似问题再次发生也是不可能的，无非是下一次在五年后还是十年后。微软最近两年开始用 Rust 重写内核，也号召大家用 Rust 写驱动。我们实验室试了一下，Rust 固然不容易产生 C/C++ 的那些问题，但 Rust 有自己的问题，该蓝屏还是蓝屏。
那么我们能从事故中学到些什么呢？
首先，美国赶走了俄罗斯的卡巴斯基，用美国“自主可控”的安全软件 CrowdStrike 加上美国“自主可控”的操作系统 Windows，也还是发生了这样的事情。“自主可控”有很多意义，比如不用担心别人“卡脖子”。但“自主可控”和软件质量、事故率之间没有必然关系。不能因为“自主可控”了，就对宇宙的熵增失去了敬畏之心。
软件故障和运营事故年年有，为什么这次会闹这么大呢？只能说因为 CrowdStrike 生意做的太好了，微软的生意做的太好了。因为生意做的太好，客户众多，以至于运行 Windows 的机器和运行 CrowdStrike 的机器重叠部分都有 850 万之多。机器多了，自然影响就大。如果是用户比较少的厂商出问题，影响面自然也没这么大。但应该因此限制企业服务的客户数量吗？如果这么做，带来的负面影响可能比一两次事故要大得多。
再一个原因就是 CrowdStrike 是 SaaS 模式的。SaaS 在用的时候很敏捷，导致故障的时候自然也很敏捷。但这并不意味着 SaaS 不好，只是甘蔗没有两头甜。对此能做的可能也就是让 SaaS 稍微不那么敏捷一点，做个 Trade Off。比如给用户一个开关，每次更新规则的时候给用户发邮件，让用户自己按按钮。再比如设置不同的更新通道，追求稳定可靠就可以选慢通道，追求第一时间防御最新威胁可以选快通道。这并不能避免问题发生，但可以减轻影响。
中国的政企用户本来就不喜欢 SaaS。这件事情之后，国内的 SaaS 厂商恐怕都需要更新一下产品介绍材料，讲一讲自己为什么不涉及此类问题，或者为防范此类事情做了哪些努力。
从用户这一侧看，能做的可能也就是关键系统要异构。比如某业务有 10 台服务器，是不是可以 5 台用 Windows，另外 5 台用 Linux？至少装的终端安全软件是不是分别用两家的？这样一家出了问题还能剩 50% 可用性。但异构也并不是新话题。只是做异构就意味着增加人力和财力的投入。高可靠和低成本不可兼得。就看怎么算账了。
不过决策链上的老板们被这个事情一吓，没准就愿意多投点资源了。大家要抓住这个找老板批预算的窗口期。
via t0mbkeeper的微博
这次 CrowdStrike Falcon 的事情，当然可以在软件质量管理、运营体系建设之类的层面找一找问题，总结总结经验。但想杜绝类似问题再次发生也是不可能的，无非是下一次在五年后还是十年后。微软最近两年开始用 Rust 重写内核，也号召大家用 Rust 写驱动。我们实验室试了一下，Rust 固然不容易产生 C/C++ 的那些问题，但 Rust 有自己的问题，该蓝屏还是蓝屏。
那么我们能从事故中学到些什么呢？
首先，美国赶走了俄罗斯的卡巴斯基，用美国“自主可控”的安全软件 CrowdStrike 加上美国“自主可控”的操作系统 Windows，也还是发生了这样的事情。“自主可控”有很多意义，比如不用担心别人“卡脖子”。但“自主可控”和软件质量、事故率之间没有必然关系。不能因为“自主可控”了，就对宇宙的熵增失去了敬畏之心。
软件故障和运营事故年年有，为什么这次会闹这么大呢？只能说因为 CrowdStrike 生意做的太好了，微软的生意做的太好了。因为生意做的太好，客户众多，以至于运行 Windows 的机器和运行 CrowdStrike 的机器重叠部分都有 850 万之多。机器多了，自然影响就大。如果是用户比较少的厂商出问题，影响面自然也没这么大。但应该因此限制企业服务的客户数量吗？如果这么做，带来的负面影响可能比一两次事故要大得多。
再一个原因就是 CrowdStrike 是 SaaS 模式的。SaaS 在用的时候很敏捷，导致故障的时候自然也很敏捷。但这并不意味着 SaaS 不好，只是甘蔗没有两头甜。对此能做的可能也就是让 SaaS 稍微不那么敏捷一点，做个 Trade Off。比如给用户一个开关，每次更新规则的时候给用户发邮件，让用户自己按按钮。再比如设置不同的更新通道，追求稳定可靠就可以选慢通道，追求第一时间防御最新威胁可以选快通道。这并不能避免问题发生，但可以减轻影响。
中国的政企用户本来就不喜欢 SaaS。这件事情之后，国内的 SaaS 厂商恐怕都需要更新一下产品介绍材料，讲一讲自己为什么不涉及此类问题，或者为防范此类事情做了哪些努力。
从用户这一侧看，能做的可能也就是关键系统要异构。比如某业务有 10 台服务器，是不是可以 5 台用 Windows，另外 5 台用 Linux？至少装的终端安全软件是不是分别用两家的？这样一家出了问题还能剩 50% 可用性。但异构也并不是新话题。只是做异构就意味着增加人力和财力的投入。高可靠和低成本不可兼得。就看怎么算账了。
不过决策链上的老板们被这个事情一吓，没准就愿意多投点资源了。大家要抓住这个找老板批预算的窗口期。
via t0mbkeeper的微博
This media is not supported in your browser
VIEW IN TELEGRAM
看了一下判决书，很神奇。这个判决还是讲理的。要不然以后谁都不敢管这种闲事了。你敢管他就犯病，犯病就是你导致的，你就要赔钱。 //@陶侃疫苗:本人就是打赢官司的被告😎，全部判决书在这里→网页链接
via t0mbkeeper的微博
- 转发 @中国妇女报: 【大V曝光男子地铁站内吸烟被控侵权，法院判了！】微博大V陶黎纳曾多次曝光他人在地铁等室内公共场所吸烟的行为。2023年9月，他在自己的账号上不打码曝光了一名地铁站内吸烟的男子张先生的视频。今年，张先生将陶黎纳诉至上海市黄浦区人民法院，认为其侵害了自己的肖像权、名誉权。在6月24日出具的一审判决书中，法院驳回了张先生的全部诉讼请求。法院认定，陶黎纳曝光之举系出于公共利益，未捏造、歪曲事实，也未使用侮辱性言辞，故而驳回了张先生的全部诉讼请求，即使张先生的社会评价降低，亦是因其自身在禁止吸烟的公共场所吸烟的不当行为导致。张先生的代理律师接受媒体采访时谈到，张先生不认可判决，但决定不上诉。（半岛都市报） 中国妇女报的微博视频
via t0mbkeeper的微博
前阵子正好在粉丝群说过这个： 查看图片 //@凯喜博士DrCash:咋会在主业出现这条？😵
via t0mbkeeper的微博
- 转发 @李鸿政: 有读者说神灯可以辅助治疗带状疱疹，我附议，马上就有人撕我了，李医生你得记得你曾经是个医生，现在评论区都乱成这个样子了，神灯都出来了……
他不会以为，这个神灯是阿拉伯神灯吧[允悲][允悲]
这个神灯，是俗称，医院常用器械，百度一下就行了。
via t0mbkeeper的微博
一觉醒来，拜登退选了。
虽然我不太关心一万公里之外的事情，但我也不太希望川普当选。因为如果川普上任，中国的外部压力肯定比拜登时代大，当然比奥巴马时代就更大了。这种压力会进一步压缩已经很逼仄的自由空间。
via t0mbkeeper的微博
虽然我不太关心一万公里之外的事情，但我也不太希望川普当选。因为如果川普上任，中国的外部压力肯定比拜登时代大，当然比奥巴马时代就更大了。这种压力会进一步压缩已经很逼仄的自由空间。
via t0mbkeeper的微博
讲一下中文的奥妙。
“既要 A，又要 B”这种句式，看起来是并列结构，是一个天平。但其实天平的一头放的是绿豆，另一头放的是秤砣。“既要 A，又要 B”的意思其实是“一定要 B”，A 不能影响 B。
再嵌套讲一下中文的奥妙。
"一头放的是绿豆，另一头放的是秤砣"这句是在骂人。因为王八看绿豆，王八吃秤砣。
via t0mbkeeper的微博
“既要 A，又要 B”这种句式，看起来是并列结构，是一个天平。但其实天平的一头放的是绿豆，另一头放的是秤砣。“既要 A，又要 B”的意思其实是“一定要 B”，A 不能影响 B。
再嵌套讲一下中文的奥妙。
"一头放的是绿豆，另一头放的是秤砣"这句是在骂人。因为王八看绿豆，王八吃秤砣。
via t0mbkeeper的微博
好像是浅草寺附近，有个小巷，门对门开了两家寿司店。其中一家服务员全是老太太。我又去另一家看了看，发现里面是几个年纪更大的老太太。//@来去之间:日本这个太夸张了……
via t0mbkeeper的微博
- 转发 @米格战斗飞机联合体: #退休年龄#中国退休年龄男60岁，女工人50岁，干部55岁。这个年龄设置是1950年定的当时。人的寿命比较短，定好了以后70多年没有改变过。目前中国的退休年龄是世界上最低的。日本的退休年龄，现在男女都是都是65岁，美国的退休年龄，男女都是67岁，英国的退休年龄是69岁。延迟退休应该是在60—65—70不同退休年龄给你自己选择，然后不同档次养老金计算公式，甚至更细致一些，从60—70每年都可以自主选择，然后采取不同档次养老金计算公式。#90后退休时间延长到65岁以后##退休##喜欢上班的人有福了#
via t0mbkeeper的微博