关于腾讯财付通签名证书被利用，有几个疑问，请360官人帮忙解答，谢谢！

yesha08

yujiakun 发表于 2011-7-17 23:22
这个贴发得比较晚

如果不晚的话，我也不会再引用别人的帖子了

心碎乌托邦

这都不懂,那还有懂的价值吗?对于小白,看不懂就看不懂好了啊...字面意思理解不就可以了啊?我表示也看得不是很懂...只知道确实可能存在着这种情况...难道这还不够吗?

tokthoo

yesha08 发表于 2011-7-17 23:19
请问有多少用户能完全看懂360的那份报告呢？难道看不懂的就是小白吗》？你是代表你自己还是代表360还是 ...

看不懂归看不懂，报告中有没有说明又是另外一回事

leisong

做技术的和玩概念的确实不一样，做技术的发现签名被利用，玩概念表示不知情并质疑。
做技术的每个月都有新技术推出到客户端，玩概念的跨年度的更新将共有的技术炒成新的名词，但真正的技术无力模仿

Tron

leisong 发表于 2011-7-17 23:41
做技术的和玩概念的确实不一样，做技术的发现签名被利用，玩概念表示不知情并质疑。
做技术的每个月都有新 ...

说的好，赞一个睡觉去

conan1229

leisong 发表于 2011-7-17 23:41
做技术的和玩概念的确实不一样，做技术的发现签名被利用，玩概念表示不知情并质疑。
做技术的每个月都有新 ...

你说的话，太彪悍了。你让毒霸情何以堪啊

左手

leisong 发表于 2011-7-17 23:41
做技术的和玩概念的确实不一样，做技术的发现签名被利用，玩概念表示不知情并质疑。
做技术的每个月都有新 ...

厉害。。支持L君

郑伟用户

用事实说服对手要比楼上某位这样说比较好

另外，发现枪不是兵工厂产的，，而是论坛的产物，哈哈哈【也包括我自己，我们一起改正吧】

-oAo-

到360官网论坛去问吧

junyangxie

尊敬的楼主：
您好！
你的帖子刚看到。现在才回复，让你久等了。
我是看到很多用户对此事件的质疑，想找专业的安全公司一起验证此事件（就想新浪微博被利用事件一样）。
由于对方的官方一直不回复，给你，也给广大网友带来了疑惑。
就你的疑惑，我一个一个来回答。我这里有录屏、分析报告和样本。
我回答完您的问题后，也请你到对方板块去验证，并将验证结果发给大家。
你看这样可否。（当然你可以选择沉默，这是你权利）

一、腾讯签名证书被利用，此事是否是事实？（请谨慎回答，不然让木马作者笑话咱们不专业）
答：腾讯签名确实被利用，360知会腾讯后，已经做了积极修正。

二、360是否已经获取相应的木马样本？能否发到样本区大家一睹为快？
答：我这里有样本。由于是根证书被利用，只要知道方法，什么文件（包括木马）都可以签。此样本不能外泄，因此，我可以找卡饭上的热心网友来验证。热心网友的机器必须要有财付通的根证书。

三、360是否已经有有分析报告？能否和大家共享一下根证书被利用原理和危害？
答：有分析报告。之前大家看到的信息，就是报告的浓缩版。
根证书被利用的危害是：由于安全厂商担心误报，都会提高对签名文件的信任级别，一旦木马过了特征（云和本地）引擎，木马后面干活都会畅通无阻，包括网银钓鱼。有人说，

四、此木马出现了多久？大概影响了多少腾讯财付通用户？
答：这个情况，确实是刚发现，不像某些阴谋论说的那样。影响的用户可以见之前的信息。

五、360产品如何应对此木马？
答：我们对相应木马进行了查杀，并积极知会了当事方。他们也很快修正了漏洞，非常值得肯定。

另外，我这里有录屏（里面可以看到某杀毒和卫士对样本无视），如你感兴趣，可以私信告诉我QQ，我远程给你看。

谢谢你的认真和执着！