共 3 篇相关文章
这篇讲的是老牌安全厂商卡巴斯基的故事，以及它在中国市场从辉煌到落寞的历程。文章从卡巴斯基近期终于推出免费版切入，回溯了这家源自前苏联技术背景的公司，如何与擅长互联网玩法的奇虎360从合作走向分道扬镳。 核心冲突在于两种商业哲学的对决。一边是以“免费是互联网的基因”为信条的360，通过免费策略快速获取用户，构建了全新的流量变现模型；另一边是坚信“没有免费的杀毒软件”、固守付费软件模式的卡巴斯基。作者指出，卡巴斯基对“软件”而非“服务”与“数据”的执着，使其错失了互联网与移动互联网时代占据用户场景的关键窗口。 文章的一个精彩论断是：**“固执和执着很多时候并不能完全地区隔，很多时候对于胜利者而言可以被称作执着，但对于失败者而言大多则被看作是固执。”** 这不仅是对卡巴斯基商业策略的点评，也引发了关于技术理想主义与市场生存法则的思考。对于技术从业者而言，它揭示了在技术变革期，选择哪种“企业基因”去适应趋势，有时比单纯的技术优劣更能决定命运。
这篇讲的是在云服务环境中，安全沙箱如何被攻击者利用操作系统底层特性绕过文件权限防御机制。作者从一道实际安全挑战赛的题目出发，深入剖析了即使设置了严格的文件读写权限，攻击者依然能通过构造特殊的系统调用序列（比如利用`O_PATH`标志获取文件描述符后，再通过`/proc/self/fd/`路径访问），最终实现在沙箱内读取或篡改受保护的文件。 文章的核心价值在于揭示了操作系统权限模型与应用层安全假设之间的微妙间隙。它点明，传统的基于用户（UID/GID）和权限位（rwx）的防御，在现代Linux内核的某些高级功能面前可能被架空。这对于云服务提供商和开发者构建沙箱环境是一个重要警示：文件权限仅仅是访问控制的第一层，更深层的防御需要结合系统调用过滤、命名空间隔离或安全模块（如SELinux）进行纵深布局。这种绕过技巧的细节展示，为相关安全加固工作提供了非常具体的反面参考。
作者从SAE云服务的一个实际安全漏洞切入，深入剖析了命令执行防御的绕过技术。文章首先说明云安全沙箱本应用于隔离用户代码，限制系统命令的执行，但在实现中过滤机制存在缺陷——攻击者利用特殊字符编码、管道符组合等技巧，能巧妙规避输入检查，从而执行未授权的系统操作。通过逐步拆解绕过步骤，包括从探测过滤规则到构造有效载荷，文章提供了具体的技术细节和示例代码，揭示了漏洞的根因在于防御层次单一且过滤覆盖不全。这个漏洞曾带来潜在的安全风险，但SAE已及时修复，升级了输入消毒和沙箱权限控制，增强了整体防护。从这次事件可以看出，云服务安全需要动态调整策略，不能依赖固定规则，定期审计和补丁管理是防御绕过攻击的关键。
