秋天博客，零点空间

国外采购商对国内供应商报价方案的建议

秋天 — Mon, 26 Jul 2010 10:53:08 +0000

匈牙利职业买家对中国供应商报价的建议，从中可以知道买家尤其是职业买家希望在第一时间看到什么信息。

很多人抱怨自己邮件发了，报价方案做了，但对方就是不理不睬。除了价格等客观因素，仔细分析一下自己的邮件内容和报价同样是非常必要的。

As a sourcing agent and buyer I can tell you what is a good quotation for me: it includes all relevant information! My job is to find a reliable supplier at a reasonable price in the shortest time possible.

It is very possible that I will choose a supplier whose price is a few percent higher but the quotation is complete. That means, it includes: – FOB (!!!) price, with seaport marked! (I often get FOB quotes without location. Obviously for me in Europe a FOB Shanghai price is higher than a FOB Xiamen price, since shipping rates are different).

- delivery time (so far no Chinese supplier was able to keep the promised delivery time for my projects – 90% delay, 10% early)
- package unit (carton details)!!! Carton weight, size, volume, content, material. It is very important!!! Usually this point is simply left out by suppliers. But I – and most full-time buyers – have just simply no time to beg for any details separately!!! If a quotation misses this, I simply delete it. I have no time to ask for these points, but I can only calculate my shipping cost with this info!!!
- payment conditions must be exactly discussed.

I hope suppliers will consider these points in the future. If you include all relevant information, you can really help your partner in his decision. And for the supplier, it is a job done once, you needn’t work out each detail separately.

可见职业买家非常看重一份报价的完整性，除了要有常规的产品规格、描述和价格外，还需要包括港口和贸易条款、交货期、包装细节、付款方式等细节。信息一次到位方有进入买家视野的可能，否则有可能只是顺手一点的功夫，你辛辛苦苦做的方案和写的邮件就付诸垃圾箱了。

近况：为了早日实现自己的小小理想，在不懈努力工作中，此刻自愿加班中。希望各位兄弟一切都好。

轻松片刻，昨天在看《三联生活周刊》时发现一张插图，看了让人忍俊不禁，今天特意在网上找了一下。

        实际上是佳能摄影大赛的一副参赛入围照片，标题为《妈妈，我再也不淘气了》。
        拍摄背景：图片作者（父亲）带着孩子外出游玩，遇母子三猴，其中一小猴几次想投入母猴的怀中，但都被推开。
        孩童问父亲：为什么另外一只小猴子不在妈妈的怀抱里？
        父亲答曰：因为那只小猴太淘气了，妈妈这样做是为了让它以后听话。
        孩童：我要爸爸抱，我没有淘气。

账号安全–预防身边的邮箱间谍

秋天 — Thu, 15 Jul 2010 02:50:15 +0000

        屏幕前的你有没有遇到过邮箱失窃、邮件离奇失踪等事件？看完了这篇文章你可能会有一个更好的了解。
       文章发表于可能吧，原作者：bizlai，发表时间：2010.4.21，文中所提及的一些时效内容同指，原文地址在此。
       PS：可能吧遭封杀是都知道的事情，刚才秋天用架设在GAE上的代理访问可能吧时访问失败，而且在随后的若干秒内GAE代理都不能访问，换言之如果访问可能吧那么代理也将受到牵连。

===========================我是性感的分割线===========================

如果说中国走在网络战争的前沿，你可能觉得胡扯。发动网络战争并不复杂，一般有三种类型：攻击基础设施、窃取机密数据、瘫痪网络服务。而本文，将重点谈及中国窃取机密数据的邮箱情报攻击，几乎从来没有哪个国家能像中国因维稳不惜任何代价而秘密地监听国内外的敏感人士。

对于电子邮箱攻击，你注意到国外媒体批露的中国攻击事件与日俱增，如本月9号，纽约时报记者声称他们的邮箱被攻击，而Twitter上的敏感人士开始越来越多的抱怨。你可能会质疑，有何事实数据可证明他们的邮箱确被攻击？这是一个好问题，因为他们无法跟踪攻击来源与防御被攻击，那么，常见的攻击手法是怎样的？我们如何跟踪攻击来源？又如何防御邮箱间谍的攻击？

一、你是局外人，还是受害者？

1月，Google向中国提出没有审查机制的G.cn，并声称有人试图入侵中国维权人士的Gmail，14日，McAfee就IE 0day的分析，将此次大规模的窃取机密数据（知识产权）攻击称为极光行动。尽管Google事件余波已去，我想说的是：极光行动为什么没有攻击国内邮箱？——显然！国内的邮箱具有过滤审查机制，这可以解释你的邮箱为何会丢信，更重要的是，一纸红头文件可未经用户许可泄露邮件数据，若有不从，以涉黄之名拔网线威胁。

普通的用户会这样认为：我不是敏感人士，我不会遭到电邮攻击。这样的想法很美好，让我们谈谈”话语权“吧。在三皇五帝的古代，骂皇帝是要砍头，而40年代末的建国期，是红色的革命语，时间回溯现在的极权主义国家，一切已然不一样了，尽管今天的新闻媒体仍在中宣部的约束之下，但互联网是一次革命，这个开放的网络空间，人人都是媒体，可在Twitter报导新闻，可用Wordpress发出声音，意识形态的大军是无法击溃互联网。

你会不会遭到电邮攻击？与你是不是敏感人士无关，而是视乎你在网络空间的声音、行为，以及现实生活中身份有关系。也不能说所有的电邮攻击都与政府脱不了干系，更有那些充满好奇心、乐于恶作剧的骇客。

二、攻击手法

你的Yahoo邮箱没有点击任何链接，但攻击者无需密码便控制住你的邮箱，这是什么回事？你的Gmail密码相当复杂，但为何收到密码重置的邮件？你登陆网易邮箱，点开邮件即重定向登陆入口，但网址却是真实的，这是为何？最后，来自国外越来越多的电邮失窃的新闻越来越多，你仍质疑中国没有能力侵入他国政要邮箱账户？

1、XSS钓鱼

这种攻击仍是目前最行之有效的方法，除了Gmail目前不存在XSS漏洞外，其它的Yahoo、Hotmail、网易、腾讯、搜狐、新浪等都存在XSS漏洞。XSS漏洞是啥？它的全称是Cross-site scripting，即跨站攻击，存在此漏洞的网站，能够被恶意攻击者劫持，它还派生了XSRF等等形式的利用，可谓Web木马。

08年，国内的邮箱都存在HTML标签跨站，漏洞都很弱智，比如插在邮件标题、邮件内容、邮件附件处即可弹出一个可爱的alert。接下来，进步一点了，还是以HTML标签为主，搞个数据包工具看哪个变量没过滤、以及编码转换。09年，又升级了，主要是国外的邮箱Gmail、Yahoo、Hotmail改以语法过滤，能利用的是CSS标签跨站，Gmail非常狠，除了早期存在Google Docs附件跨站攻击，基本把恶意代码过滤得惨不忍睹。Yahoo在09年亦漏洞不断，但很负责，隔三差五地不断升级，而Hotmail令人失望，居然1day过了一年都不补。

腾讯圈了一批牛人，忘记是Ph4nt0m还是80sec的，比其它的网易、搜狐、新浪的邮箱安全性好一点，搜狐与新浪最烂，透露一下，它们其中一个仍存在字符集的跨站漏洞。那么，XSS攻击到底是怎样的形式呢？用一个08年截获的新浪的HTML标签XSS漏洞说明，此漏洞是失效了，这年头基本没人直接公开0day，都养家糊口来着。

此漏洞的形成在于新浪邮箱没有过滤空格，即过滤了javascript，但稍变形为jav ascript，便使得其后的恶意代码得以执行。这段代码有两个功能，获取Cookie并延长有效时间，并用父窗口windows.parent.location重定向至钓鱼网站。完整的攻击流程是，将上述XSS代码插入至邮件内容，以HTML模式发送邮件至受害者邮箱，受害者点开邮件时，会迅速转向sina钓鱼网站，而转向过程中，因采用parent，转向时，网址不会有变化，即不会显示钓鱼网址，而受害者在钓鱼网站输入密码提交之，钓鱼网站截取密码再转回真实的邮箱，由于控制了Cookie，受害者因怀疑会再次点开那封攻击邮件，但并不会再次跳转，这令受害者产生一种错觉，它以为邮箱仍是安全的。

2、窃取Cookie

你可以理解为窃取会话。你有过很多这样的经历，使用账户登陆某个网站，如Youku.com，关闭浏览器，再次打开youku.com，则不需要输入密码，这便是Cookie的作用。为什么会有Cookie呢？由于Http是无状态协议，为了在各个会话传递信息，因而需要Cookie或Session来标记访客者的状态，这里的Session是浏览器的Cookie里带了一个Token来标记，而服务器取得Token检查合性后便把服务器上存储的对应状态和浏览器绑定。总的意思就是：我只要窃取你的Cookie并保持了Session不过期，便可无须密码访问你的电子邮箱内容。

如果你要查看自己的Cookie，给Firefox装个HttpFox扩展即可，如下图。

窃取Cookie很简单，可将上面的Javascript稍加改装即可：，然后在stealer.php写个保存接收的Cookie记录的代码即可，如果你想让Session不过期，自己写个工具搞惦，每隔30秒请求一次目的页面。09年，Yahoo就被一帮人折腾了很多邮箱，不知道修复了没有，国内几个邮箱也能被利用。

3、恶意软件

即木马、病毒、后门、间谍、键盘记录器……这些软件，最常见算是doc、pdf病毒了，好好的一个文档，挟带了木马，双击一打开，你就完了。最容易受到攻击的是西藏人士、维权人士，然而，我不得不承认，这是一种非常阴险的手段，因为这毫无任何技术含量。这个攻击流程是，xxx部门获取经费收购或买断木马软件、捆绑软件，一般外包给中国公司，然后这些公司的报价奇高，各省xxx部门买了后，按照说明书配置木马上线，再用捆绑工具与可信的文件捆在一起，再用Google挑目标，比如找到abc.com网站，将该网站电子邮箱地址都整理出来，再用邮箱批量群发器不管三七十一把这些病毒通通发过去，再泡上一杯茶盯着木马软件等着目标上线。

这种没有采用鱼叉式攻击所导致的后果是，买的木马软件、捆绑软件很快就无效了，因为一顿乱发，被安全软件给盯上或用户举报查杀掉了，这个例证就是最近的IE 0day及PDF 0day很快曝光，估计这前后都不到一年。而在前文，尽管中国没有比美国更好的网络战争实力，但是不差钱，他们不需要关注技术细节，只需要知道谁有0day，谁会挖掘0day，然后招安，买断一堆的0day，比如Discuz!、Wordpress、Firefox漏洞，照着教程去攻击。

那么如何防御这种恶意附件的攻击？当你再次在邮箱看见一堆的PDF、DOC、HTM压缩包时，简单的方法是，下载后不要打开，直接上传至Google Docs，要是显示一片空白或无关的内容，不管三七二十一提交到VirusTotal网站上。

4、社会工程学

这个方法很简单，先跟你套近乎下，然后东问问西问问获得碎片信息，基本就是掘地三层把目标的信息全收集起来，完了后，评估一下你的弱点在哪里，再从弱点入手，这种攻击通常是雇佣了职业黑客来完成，因为过程比较复杂。举例子，攻击者有目标的邮箱，然后放到Google搜索，看目标注册了哪些网站，把这些网站整理，逐个把这些网站入侵了并下载数据库，从中找到目标的网站密码，再用网站密码试邮箱密码，要是目标只用一个密码，那么他的邮箱就完了。

总体上来说，你在网络上的信息越少，便能够降低被入侵的威胁。但事实并不情人愿，Web2.0的社交网络流行，你注册了Twitter，天天叽叽喳喳，一不小心把家世、住址、约会全都泄露了，你注册了豆瓣，天天左看右瞧还加了攻击者为好友，结果，他就知道你上网习惯与兴趣爱好，然后再用策略和你聊的特别欢，某一天，他跟你讲：我找到一个非常牛B的电影了，你在Verycd下载瞧瞧。你一看，还真不错，真是你喜欢的。然后他又讲，能不能帮我登陆下Gmail下载个文件看看是啥内容？我网速比较慢，我发你登陆密码。你听了，这小忙是得帮的，马上速度登陆对方的Gmail下载了压缩包，结果打开压缩包的文档发现啥都没，到了第二天，你就很神奇地发现，哦哦~我的豆瓣、twitter全都登陆不了……

社会工程学攻击永不过时，因为人人都有被利用的心理弱点，不管是好心、私心、同情心啥的，都无法避免这种攻击。不过，这项攻击最大的缺点是，很耗时间，短则几天，长则几月。这项攻击在敏感人士的社区很常见，如Forum、Google Groups等，那些攻击者最常见的手法盗用可信账户发送病毒附件。

5、MIT中间人攻击

以ARP攻击为例，A访问mail.sina.com，但攻击者B通过ARP劫持，可以使得你访问虚假的新浪钓鱼网站，而非真实的新浪。这种劫持通信的手法可适合不同的场合，如劫持ADSL线路，这需要红头文件请本地电信局协助的，然后修改你的数据包返回假的数据包，举例而言，你想从QQ官方下载QQ程序，攻击者修改数据包把QQ程序的下载地址改成木马地址，结果你就可以下载个木马回去了。如果你的通信是明文，没有采用SSL，攻击者可以直接看到你密码。不过，我不太肯定，Gmail虽然采用了SSL，但用户名与密码却在网址中出现，有公司宣称能解开SSL，我现在仍然是半信半疑。

另外一种是hosts文件劫持，典型的例子是，某个家伙在Twitter.com说：无法访问youtube.com？Picasaweb？很简单，修改hosts文件即可马上访问。你一听，哇，这么好，赶紧用记事本打开hosts文件，把对方提供的映射地址粘贴进去，再重新打开youtube.com，哇，真神奇，打开了~~聪明的看客接下来知道会发生啥了。

对于ADSL线路劫持的手法，这种攻击也是行之有效的。另外，我们也得对某些代理软件保持警惕，天知道那些免费的socks5、vpn会干出令人震惊的事吗？

6、暴力破解

有三种，web穷举、smtp穷举、云穷举。在多数的情况下，前两种效率低下，且限制诸多，以Web Gmail为例，它有CAPTCHA限制、重复次数的限制，不过，我倒是碰到过一个Python版的穷举工具，但速度很慢。至于smtp，如果服务器做了限制的话，比如现在网易对溯雪暴力破解工具是免疫的。云穷举，就我目前所知，我想这是最有效率的破解方法，已有安全专家Electric Alchemy利用亚马逊云服务Amazon Ec2运行Elcomsoft工具暴力破解PGP ZIP档案的例子。凭借云计算的超级计算机，以及一个分布式邮箱密码破解工具，暴力破解的速度将更快速。不过，这并不切实际，因为破解的成本太高了，需要很多米米。

暴力破解，这个古老的方法在目前只能针对极少的主流电子邮箱，尽管如此，但它对那些自架设的电子邮局仍然有效，因为它们没有CAPTCHA、重复尝试次数、服务器资源等限制。总的来说，暴力破解对本地的加密文件破解比较有效率，但对网络邮箱账户的破解尚不能达到30%的成功率。

7、浏览器恶意脚本
上过流氓软件的当吧？一旦打开IE，主页被锁定只能访问某个流氓的网站，嗯，没错，浏览器的脚本也能起到钓鱼攻击之用。比如IE的BHO(Browser Helper Object)劫持、Chrome、Firefox扩展钓鱼。就目前而言Chrome、Firefox的扩展钓鱼并不怎么流行，这比较麻烦，攻击者需写一个看似合法可信的扩展，并植入后门，还需要方法让目标安装，这费力不讨好，但BHO容易多了，可以隐秘地安装而不会有提示。要防御这种攻击很简单，检视你的Firefox、chrome是否有陌生的扩展、插件，不要在第三方的网站安装扩展。

8、内嵌登陆表单

这是社会工程学攻击的一种变形。当你打开某邮件，其内容部分嵌入了登陆表单，具体就是，你会看到一个要求你输入用户名、密码的登陆框。恰好RFA的新闻《维权人士邮箱和推特遭窃取、攻击》公布一张攻击实例图片，见下图。

如果你的Gmail收到上述的威胁恫吓邮件，不要担心，请在邮件的右侧点击下拉菜单，选择“这是网络欺诈”，而Gmail将会稍后封锁此攻击者。普通的用户不要误以为这是Gmail的安全漏洞，最简单的方法，选中邮件内容查看源代码，你可以发现并不存在恶意的Javascript脚本，而是HTML标签，你在源代码找到Action位置，将其后的钓鱼网站向Google举报即可。

其它的Gmail用户不需要担心，这种内嵌表单钓鱼方式是通杀Gmail、Hotmail、Yahoo、网易、腾讯、搜狐的邮箱，由于不存在恶意的Javascript，可称之良性HTML标签利用。看到这类威胁恫吓邮件，一是举报钓鱼邮件、钓鱼网址，二是删除该邮件，三是提醒你的朋友警惕。

三、防御

安全不能100%保证，只能最大限度地降低威胁，更来源于用户的安全意识。

1、防御XSS
如果你使用的Firefox浏览器，可安装NoScript扩展来屏蔽恶意的Javascript脚本。但你希望一劳永逸的话，非常简单，注册一个私人Google Groups，并设置Gmail的过滤器，所有邮件一律转发至Google Groups。但如果也不喜欢注册Google Groups，那么你可以再注册Yahoo、Hotmail邮箱，使用Yahoo收取Gmail，再用Hotmail收取Yahoo，在这过程中，特定的XSS代码会分崩离析。

2、防御恶意软件
.txt文本格式永远是无害的（如果你的系统没有被映像劫持）。尽管如此，但我们仍难以避免地与.DOC、.PDF格式打交道，如果你使用的Gmail，那么一律在线查看。而另一种可能是，你会收到RAR、7z等压缩格式，而邮件内容也颇具引诱性，那么你下载之后，请右键解压至单独的文件夹，而你不认识发件人并有疑心时，永不要马上打开，请上传至Google Docs在线查看，或者提交到VirusTotal.com在线查毒。最好也在邮箱的签名行增加一行文字：我只接受.txt格式附件！其它格式附件的邮件一律删除。

3、防御身份盗窃
建议启用数字签名。它可以协助你确认签名者的身份及数据完整性，甚至你发出的邮件，对方能够获得确认，从而避免被第三方攻击者的滥用。与此同时，双方还可以明文约定，即在准确的时间范围内容发送邮件，如一般为每个星期日发送邮件，而未在此时间范围内的邮件而作废。

4、防御数据失窃
正如前文所提，你应该使用TrueCrypt加密附件。这款经典的加密工具备受赞誉，你应该保持经常使用的习惯。

5、防御身份泄密
你的密码提示问题应该是模棱两可，比如“天下有多少颗月亮？”。而在个人注册信息处，不要留下你真实家庭地址、身份证号、电话号码、出生日期等信息，当你的邮箱被攻破，这些信息能够证明你的身份。不要将这些信息设置为公开，而是保密，并阻止在Google Profiles可见。

6、使用Chrome浏览器
在TippingPoint第三届Pwn2Own黑客大会，Apple’s Safari, Mozilla’s Firefox和Microsoft’s Internet Explorer 8全部阵亡，你应该接纳黑客们的建议，使用Chrome浏览器，我不能保证Chrome会一直安全的，因为安全是个伪命题，就目前而言，Chrome是个不错的选择。当然，下一届的Pwn2Own王者可能会是Firefox，不管如何，IE不是个好选择，因为中国的黑客正在折腾它。

7、使用Gmail
在我长达半年的测试，我仍然无法拿下Gmail，它太安全了，这使我郁火，当然，我也不能保证它也是最安全的，至少目前我没有听到Gmail存在安全漏洞的消息。

8、每月密码老化
微软声称，定期改密码没有用，只会浪费时间与金钱。我反对这种说法，当然，他们的调查结果是针对美国企业。我的建议是，密码请设置为12位，每月更改电子邮箱密码。间谍与黑客不一样，间谍才不会愚蠢地删除你的邮件并更改你的密码，那不可能，他们会暗中的监视你的邮件来往情况，伺机获得可起诉的把柄。

四、反跟踪

在你尚未成为他人的鱼之前，先搞翻这位渔人。

1、阻止邮件中的媒体

如果你不想攻击者获取到你的IP地址、浏览器、操作系统等信息，你应该阻止邮件中图片显示。这是为什么？显示图片则意味着你访问了该图片的服务器，而该服务器则记录了你的访问数据。如果你已经安装了IIS、Apache，那么你可以打开http://localhost，再去查看它们的日志信息，看看到底有没有记录你的访问信息。

而如果你没有装上IIS、Apache无法测试的话，你可以打开间谍猪：http://www.spypig.com/ 向自己的邮箱发送测试邮件。如果你使用的Gmail，那非常好，Gmail默认是阻止图片显示的。

2、跟踪发件人的来源
如果你用的Foxmail客户端，那很简单：邮件——邮件信息——原始信息，即可看到发件人的IP地址。如果你使用的Gmail，你可以在邮件的右侧点击三角形的下拉框，选择Show Original查看邮件头，要是看的头晕，可直接找”Received”那一行，将其后的IP地址放到www.myip.cn进行查询，以确认发件人来自哪里。

3、质询
陌生人可能发送热点事件的邮件，诸如玉树地震死亡名单，维权人士名单，他试图激起你的好奇心以及人道主义、爱心等。你不应该马上查看，而是澄清你的疑问，这份名单的出处来自哪里？你为什么拥有这份名单？你发送给我的理由是什么？要是对方无法消除你的疑问以及无回复，我建议你将这封邮件的附件下载，交提交到VirusTotal上报病毒。

4、搜索
搜索对方的邮箱地址，看看在互联网是否有迹可寻。如果你使用Gmail，可在邮件中点击“Show details”看看此封邮件是否为群发邮件，如果是，直接回复所有人询问：这封邮件带有病毒吗？

5、检查过滤器
现在登陆你的Gmail，进入设置项，选择“Filters”标签，检查是否存可疑的邮箱地址，如果有，请迅速删除，否则，你的邮件全被偷了。

五、反思

从陆战、水战、空战、网战、太空战，全球各国都在试图提升各个空间作战实力，显然，在网战这块，中国是大小通吃，吃完之后还坚决反对没吃。以Google事件为例，华尔街日报昨天的报道《谷歌攻击者获得用户识别软件代码》，提及攻击者使用了谷歌工程师的工作站作为跳板，尽管我不能核实其真实性，但在《挑战五毛党》这篇分析文也提及Google中国区被安插内鬼。接下来，北京政府将如何应对Google后续事件呢？吃？抑或没吃呢？

学历门-唐骏“西太平大学”博士文凭之真伪

秋天 — Fri, 09 Jul 2010 02:07:30 +0000

唐骏其人，“打工皇帝”的名号自不必说，加上他的一贯高调，知道的人就更多了，这里秋天不再赘述。

最近科普作家、学术打假人方舟子揭露唐骏的学历多有造假嫌疑，并提出了证据；唐骏立马出面反驳，试图为自己澄清事实。这就是近来网上热传的“学历门”事件。

且看方舟子先生7.7的一篇博文“唐骏当着全国人民的面说假话”（原文地址）。

====================华丽丽的分割线，博文开始====================

       自从唐骏在美国的履历被我质疑以来，唐骏一直采取的是“懒得理睬”的态度。昨天突然先后在中国之声电台和中央电视台东方时空接受电话连线，为自己的履历辩护，倒也是个进步。唐骏指责我打假者先造假，央视没有给我回应的机会，我就在网上针对唐骏的自辩，一一回应如下，看看究竟是谁在造假。
       一、唐骏在央视上声称，他从来没有说过自己是加州理工学院（或大学）的博士，也从来没有说过自己曾经在加州理工学院做博士后研究，在其《我的成功可以复制》一书中从来没有这些内容，是我捏造出来的，并说我从来没有看过这本书，是先造假再打他的假。
       我当然看过《我的成功可以复制》一书的相关内容。在当当网、新浪读书、腾讯读书等网站有该书的电子版。根据我对国内图书出版情况的了解，该电子版是书出版时出版社送交网站用作宣传用的，不是本人的捏造，也不是其他人输入的。在该书第56节最后一段唐骏称自己获得加州理工学院的计算机科学博士学位：

　　“办到第二家公司，我差不多已放弃了学业。但凭借语音识别方面的应用性研究成果，我最后还是拿到了加州理工学院的计算机科学博士学位。”
    在该书第46节倒数第二段，唐骏声称自己在加州理工学院做博士后研究：
    “这趟环美长途旅行花了我一个月的时间，最后确定在加州理工学院电子工程系继续我的博士后研究。”
（当当网已删掉了该书的电子版，但在其他网站还可以找到，大家做个检索即可）
       唐骏在央视节目中声称，他不知道电子版为何有这些内容，要追查是否有人陷害他，但是纸质版没有这些内容。节目主持人也拿着一本书证实印出的书中没有说唐骏是加州理工学院的博士。
       在这里唐骏耍了个花招。主持人拿的是新版本的书，这些内容被删掉了。在最初的版本（第一版第一次印刷）中，这些内容都有。其中关于其获得加州理工的博士学位部分在书中第70页，其在加州理工做博士后研究的部分在书中第58页。请看由全国图书馆参考咨询联盟提供的这两页的扫描件：

《每日经济新闻》记者周洲在其报道中也证实，该书有两个版本，早期的版本有这些内容，后来的版本将其删去。该书去年年初出版时，我们在新语丝网站上已据此质疑唐骏的学位，所以该书重印时被删去了。
不仅是这本书，网上有关唐骏的中文简历很多都声称他是加州理工大学的计算机科学博士。较早的一份简历是2004年7月9日CCIF中国卡通产业论坛-数字内容高峰论坛对嘉宾唐骏的介绍，称他：

1990-1993 美国加州理工大学计算机专业博士学位

http://yule.sohu.com/2004/07/09/08/article220930805.shtml

当时我还没听说过有唐骏这么个人，我是直到去年有网友给新语丝投稿举报唐骏的学历造假时我才知道有这号人。难道唐骏认为网上的这些简介都与他无关，都是我要陷害他早早就捏造出来的？
北美最大的专业人士社交网络linkedin上的简介通常是自己填写的。其中的唐骏主页有盛大前法务总监Greg Pilarowski在2009给唐骏写的公开推荐，应是唐骏本人的主页。该主页写的也是唐骏获得了加州理工的博士学位：

California Institute of Technology
Ph.D. , Computer Science , 1990 — 1993

http://cn.linkedin.com/pub/jun-tang/18/ba/296

二、唐骏在央视上声称，他拿的是美国西太平洋大学（Pacific Western University，应译为太平洋西部大学）的博士学位。在我指出该大学是个卖文凭的野鸡大学之后，唐骏指责我不懂美国教育体制，说西太平洋大学有两个，在夏威夷的是野鸡大学，而他读的是加州的西太平洋大学，那是正规的大学，是获得认证的，虽然是三、四流的大学，但是绝对不是野鸡大学。
实际上，夏威夷的和加州的西太平洋大学是同一所学校的两个分校。加州的西太平洋大学同样是没有获得认证的、卖文凭的野鸡大学，被称为“文凭工场”。美国总审计局（GAO）在2004年对“文凭工场”进行调查，其中就包括加州的西太平洋大学（Pacific Western University (Los Angeles, California)），并调查出加州的西太平洋大学买卖文凭的价格为：学士，$2,295；硕士，$2,395；博士，$2,595。一次性交钱。

http://www.gao.gov/new.items/d04771t.pdf

       西太平洋大学的夏威夷分校已因多项欺诈行为在2006年被政府关闭。西太平洋大学的加州分校则在2004年转手，改名California Miramar University，在2009年6月6日获得了远程教育的认证，不提供博士学位。在那之前，该校都是没有获得认证的野鸡学校，不管叫的是什么名字。
       美国正规大学的博士生都是有导师、要做研究课题、发表博士论文的。唐骏说他读的西太平洋大学是正规大学，那么请问他在该大学的导师是谁，做的什么研究课题，博士论文的题目是什么，发表在哪里？
       三、唐骏在央视上声称，他由于没有在日本获得博士学位，感到很遗憾，所以要在美国读一个博士学位。在《我的成功可以复制》一书中，唐骏也提到他放弃了将到手的日本名古屋大学博士学位去了美国。
       但是在盛大公司2004年在纳斯达克上市时公布的招股书中，称唐骏是太平洋西部大学电子工程和日本名古屋大学电子学的双料博士：

Mr. Tang holds a doctorate degree in electrical engineering from University of Pacific Western, a doctorate degree in electronics from Nagoya University, Japan

http://ipo.nasdaq.com/ViewFiling_frames.asp?filename=0001145549-04-000388.txt&filepath=\2004\04\02\

       如果唐骏并没有名古屋大学的博士学位，却在招股书中声称是名古屋大学的博士，那么是向美国证监会SEC提供了虚假信息，依据美国法律，将会被追究什么样的法律责任？
       四、唐骏声称，他在1990～1993年间在洛杉矶创办的三家公司的英文名字分别是Intertex、First Immigration Service Company、Hollywood Entertainment Company，并称其公司当年组织过邀请姜昆等人到美国表演的活动，可以向姜昆等人核实。
       我是找不到姜昆等人的，只能向加州政府的公司注册数据库核实，却找不到有人在1990年代在洛杉矶一带注册过这些公司。据唐骏《我的成功可以复制》一书中的说法，他是在1990年7月获得去美国做博士后研究的签证的。拿这种签证的人不能在校外工作，更何况是创业自办公司，号称招了许多雇员，雇员的年薪6万美金！他这不是打黑工，而是明目张胆地办黑公司。
       唐骏在书中又声称，他当年邀请姜昆等人赴美演出签证受阻，于是以“选民”的口气给各个美国议员写信求助。此时唐骏根本就不是美国公民，没有选举权，以“选民”自居，这是不是欺骗？
       五、唐骏承认他没有大头贴照相机、卡拉OK打分机的专利，但是声称把“专利的雏形”分别卖给了日本、韩国公司。主持人问他有没有转让协议可以证明，唐骏说有，只是时隔十几年一时找不到了，但是他可以证明他的确发明了这些东西，因为他知道它们的原理，可以给大家讲一讲。
        这些东西的专利都是公开的，任何人看了专利全文都能知道其原理，难道都是发明人？“西太平洋大学”的博士文凭唐骏能很快找出来，怎么含金量要高得多的专利转让协议却找不到了？能不能先透露一下买他专利雏形的日本公司和韩国公司的名称，让我们跟它们核实一下？

2010.7.7.

====================华丽丽的分割线，博文结束====================

阅毕，不知各位有何感想。

写在最后：世界杯马上就要总决赛了，而秋天迄今只看过一场，乃是驾考的前一晚在宾馆里看的一场巴西对战科特迪瓦的重播。这一切归功于宿舍TV没了信号成为摆设，深层次的原因在于我对体育赛事提不起很高的兴致，不知这算不算杯具。

海关总署33号令实施–出口货样/广告品或将征税

秋天 — Mon, 05 Jul 2010 07:39:42 +0000

今天UPS到公司取件的时候带了一张通知过来，现在出口小件商品/货样/广告品的单位必须具有出口资质，提供10位海关注册编码和HS编码；与此同时之前对完税价格400元人民币（50美金）以下的商品免税的商品现在将可能按照HS编码征收出口关税。仔细一问是刚实行的海关新政。

海关总署通告全文如下（通告地址）：

海关总署公告2010年第33号
2010-05-27

        为规范进出口贸易秩序，加强对进出口货样和广告品的管理，现就有关事项公告如下：

        一、进出口货样系指进出口专供订货参考的货物样品；进出口广告品系指进出口用以宣传有关商品内容的广告宣传品。

       二、进出口货样和广告品，不论是否免费提供，均应由在海关注册登记的进出口收发货人或其代理人向海关申报，由海关按规定审核验放。

      三、进出口货样和广告品属于国家禁止进出口或者进出口实行许可证件管理的商品，应按照国家有关管理规定办理。

      四、进出口无商业价值的货样和广告品准予免征关税和进口环节海关代征税，其他进出口货样和广告品一律照章征税。

      五、本公告自2010年7月1日起实行。原《中华人民共和国海关对进出口货样、广告品监管办法》（〔86〕署货字第496号）、《关于修改〈海关对进出口货样、广告品监管办法〉第七条的通知》（署监一〔1990〕698号）同时废止。

       特此公告。

二○一○年五月二十五日
办公厅

UPS对此的解释：

公告正式实施后会对进出口快件带来以下影响:

除文件和个人物品外，所有进出口快件向海关申报时均需要提供中国境内收、发货人在海关注册登记的进出口收发货人注册编码（即海关10位注册编码）。未在海关注册的收、发货人，需委托在海关具有”海关注册登记编码”的代理人进行申报。

取消了400元人民币以下货样、广告品免税的规定，海关将依据商品编码（H.S. code）计算关税。因此，完税价格在400元人民币以下的快件将有可能产生相应的关税、增值税和消费税。

为尽可能减小海关新政策对进出口快件的影响， UPS 提醒您在如下方面做好准备给予配合：

请尽快办理海关进出口收、发货人注册登记或委托在海关注册登记的进出口收、发货人为代理人。

您需要在收、发货时提供快件商品编码（H.S. code），以及准确详细的货物描述，海关对该商品要求的相关证件。如需查询商品编码(H.S. code)，可登录海关网站：”http://www.customs.gov.cn/default.aspx?tabid=9409

秋天按：国内通过货样/广告品的名义出口避税的情况客观存在，海关总署此公告应是针对此加强监管；但政策仍然有漏洞：通过低报货品价值一样可以避税，比如货值$300的商品在呈现给海关的发票中只申报成$30或者更低$10，这样即使真的征税税额也非常有限。由于出口小件商品数量巨大，海关不可能一一详细盘查；而且承运人在具体执行上也会打折扣；如此一来此公告所能起到的真实作用将会变小。

享受强大的HTML5动画效果

秋天 — Thu, 01 Jul 2010 06:08:14 +0000

文章来源：cnbeta

先来了解一下HMTL5与当前流行的HTML4的不同之处：

新的解析顺序新的元素：section, video, progress, nav, meter, time, aside, canvasinput元素的新属性：日期和时间，email, url。新的通用属性：ping, charset, async全域属性：id, tabindex, repeat。移除元素：center, font, strike。
HTML 5有两大特点:
首先，强化了Web网页的表现性能。除了可描绘二维图形外，还准备了用于播放视频和音频的标签。
其次，追加了本地数据库等Web应用的功能。

HTML5 的 Canvas 对象将改变 JavaScript 的使命，使之成为 HTML5 下强大的动画脚本编写工具。本文介绍了 8 个你从未见过的，基于 HTML5 Canvas 和 JavaScript 的动画，这些令人难以置信的效果将使你对 HTML5 彻底折服。需要指出的是，这些都是浏览器的原生动画，无需任何插件。下面是几个国外基于HTML5的动画。

Tunnelers

纯 JavaScript + HTML5 Canvas 生成的交互动画，难以置信。

The Mesmerizer

在格子中移动鼠标，颜色随着改变并扩散到周围的格子，很迷幻。用鼠标点四角的格子，或按键盘，可以看到更奇妙的效果。

Burn

在页面上移动鼠标，或按下鼠标，这样的效果，很难相信是浏览器原生的。

Cheloniidae Live

也是基于纯粹的 JavaScript，不过使用了一个 JavaScript 库。很有趣，你可以通过修改其 JavaScript 代码实现自己的效果（可惜被墙了）。

Canvas 3D engine

一个基于 Canvas 的 3D 引擎。目前只支持预设的图形，纹理及基本交互功能。

Bomomo

很值得一试。

DDD

这个交互动画也很有趣。

Plasma Tree

如果你看过《阿凡达》，那么这个动画绝对会让你难忘。

除了这些国外的炫酷动画外，国内也有一个很棒很全面的HTML5体验页面，推荐使用Chrome浏览以获得更好的体验。

财政部：7月15日起将取消钢材玉米淀粉等406种商品出口退税

秋天 — Tue, 29 Jun 2010 01:33:29 +0000

2010.6.22日，财政部联合国家税务总局发布公告，自7月15日起将取消包括钢材、银粉、酒精、玉米淀粉等涵盖406种商品的出口退税。具体执行时间，以“出口货物报关单（出口退税专用）”海关注明的出口日期为准。

出口退税主要是通过退还出口货物的国内已纳税款来平衡国内产品的税收负担，使本国产品以不含税成本进入国际市场，与国外产品在同等条件下进行竞争，从而增强竞争能力，扩大出口创汇。

中国上一次对出口退税率进行调整是2009年6月，当时为了应对金融危机对出口带来的严重挑战，中国对部分商品实行最高达17%出口退税率，对应产品涉及优势产品、劳动密集型产品、高技术含量产品和深加工产品共计2600多个10位税号商品，据预计可增加退税资金达252亿元。

通知如下（原文地址）：

各省、自治区、直辖市、计划单列市财政厅（局）、国家税务局、新疆生产建设兵团财务局：

　　经国务院批准，自2010年7月15日起取消下列商品的出口退税：

　　1. 部分钢材；

　　2. 部分有色金属加工材；

　　3. 银粉；

　　4. 酒精、玉米淀粉；

　　5. 部分农药、医药、化工产品；

　　6. 部分塑料及制品、橡胶及制品、玻璃及制品。

　　取消出口退税的具体商品名称和商品编码见附件。

　　具体执行时间，以“出口货物报关单（出口退税专用）”海关注明的出口日期为准。

　　附件:取消出口退税的商品清单　　　　　　　　　　　　　　

　　　　　　　　　　　　　　　　　　　　　　　　　　财政部国家税务总局

　　　　　　　　　　　　　　　　　　　　　　　　　　二○一○年六月二十二日

7.15日取消出口退税商品清单附件下载

秋天注：从商品清单中可以归纳出初级产品、低附加值产品占比较高，政府此举一方面是为了应对日益升级的国际贸易摩擦，更重要的是逐渐淘汰落后产业，在经历过几轮阵痛之后促进并完成产业结构的升级。

驾考结束，重返博客

秋天 — Sat, 26 Jun 2010 02:05:15 +0000

6月，从10日开始每隔一天都要跟教练出去整天练习上路，直至昨天正式路考。考试之前还是有点紧张的，因为就在前面另外一个驾校的学员被咔嚓了好几个人，有一车3人无一通过。后来真的到了自己上车，出人意料的，考官居然没让转一个弯，车子起步之后直行过了两个路口直接靠边停车，并让下车检查车跟边线的距离。当时想一定over了，连转弯的机会都不给直接赶下车，悲壮啊。实际没上自己检查边线距离有问题的，只是车子稍微斜了一点应该再往前开一段拉直的。再上车发现考官在考试记录上写什么东西，然后就把笔尖转移到驾照换发凭证上面，两联上都写了自己的名字，然后把考试记录递过来让签字—-也就是说考试pass了！当时觉得有点诧异，因为在同车3人中自己是第一个，后面两人都有转弯，其中一个差点转错方向后来考官纠正，另一个兄弟靠边的时候好像忘了打转向灯，但也都给通过了。

考完到休息场跟几个同事一交流方知大多考的很松，而这都归功于驾校的关系。教练说已经提前跟考试中心打过招呼，只要倒桩通过路考几乎就准让过。前面另外一个驾校估计是“关系”没到，所以被咔嚓了那么多人。

本来还对自己的水平有点信心的，知道这些后立马自信心大减。

Anyway，考试结束了，有时间可以全身心返回到工作，博客亦将恢复更新与互访。

Finally, happy weekend all guys!

黑莓正式进入中国市场，个人用户可选购

秋天 — Tue, 15 Jun 2010 07:58:05 +0000

　　据媒体消息，欧美市场在售的第一商务智能手机——黑莓(BlackBerry)将在6月18日正式登陆中国市场，消费者可以在国内购买到行货“黑莓”。苏宁作为全国家电连锁的独销渠道，将在北京、上海等22个城市开设体验店，对黑莓进行重点销售。

　　黑莓从去年年底开始和国内运营商达成了一系列的合作协议，不过中国电信等定制的黑莓机均面向政企集团客户，而非个人用户。在国内市场上，个人用户使用的黑莓手机，仍以水货为主。

　　目前，苏宁与黑莓签下战略协议，在全国家电连锁渠道由苏宁独销。首批上市的两款机型分别为黑莓8310和8910，其中，8310定价3680元，8910定价4880元。目前有两款黑莓旗舰机型在苏宁各大门店已开始接受预订。

===================华丽丽的分割线===================

　　秋天最早了解到黑莓是在07年，在以前的单位中一些欧洲客户邮件结尾有”Sent via BlackBerry by AT&T”字样，后来到网上了解了一番方知其强大。当时换手机的时候在几家电器卖场问过但或被告知无货，或被干脆告知未曾听说过此品牌，后来才入手的诺基亚小6。现在终于等到黑莓行货上市了，等小6退休就计划换成黑莓的。

　　BTW，据悉此前黑莓未能在大陆上市的主要原因是在利润分成上与几大运营商未能谈拢，苹果Iphone未能与CMCC（中移动）成功联姻同样是利润分成谈不拢引起。从新闻中看现在上市的行货手机非常高端，应就是此问题的反应；期待如8820这样的平民机也能有机会在大陆上市。

6月，出差归来

秋天 — Sat, 05 Jun 2010 09:04:59 +0000

时隔10天之后，秋天返回博客与大家见面。

这一次出差去北京主要是为了参加一个行业性展会，简要的日程：5月26日中午到达北京，27日展会开始，30日展会结束，31日下午离京，儿童节当天回到单位。

在京期间除了参展，忙里偷闲逛了王府井、大栅栏、奥体中心、天安门，31日准备撤的时候集体在前门大街享用了一顿全聚德。
在北京印象比较深的感觉有这么几点：消费高，几个吃饭的地方绝大部分连免费茶水都没有，必须单独点；空气不太好，这一点去之前就听说过，一见果然如此，灰蒙蒙的天空；老外多，以前在上海也许是去的地方不够多，在北京遍地外国人，尤其在王府井一片；北京话好听，京片子听起来真的很舒服，而且说话大多比较客气，服务业（宾馆、餐馆）几乎都用“您”这个词；最后就是文化气息很浓，虽然商业发达，但透过高耸的写字楼和广告牌仍然能感觉到作为首都、历代都城所独具的历史和文化内涵。

回来之后的状态可以用满负荷形容。展会上一共收到20多张名片，其中好几个客人都需要及时的报价方案跟进；加上下周有驾照考试，在本来就不多的时间中还要抽空去练车，往往在下班后回到宿舍仍然在继续白天没有完成的工作。今天终于能更新6月的第一篇日志了。

忍不住插入一个话题，现在的物价真贵，尤其是药价。在京的一周时间一直上火没顾上买药，回来之后到单位附近的药店抓药，下火的药，店员先是拿了两盒不知名的药，18大洋。我说能换一种不能，这个药没听说过；老板又扔过来两盒，注册商标“银不换”，制药商“金不换”，估计这家药厂的老板武侠小说看多了。还是没要，记得以前吃过一种什么金银花的药效果挺好，就让老板帮找找，老板就开始啰嗦开了，这个药如何如何好，吃了包你有效果云云，最后我问了一句：金银花有没有？答曰没有。罢了，没有不买总行吧，事实证明这个决定是正确的，在第二天火气就自动消了下去。
在这家药店买过几次药，无论是治感冒的还是消炎的从没有少于10大洋的，老板貌似还是在一家银行上班的，每天下班之后开着银行的车到店门口；金融+医药真是超级暴利！

连续三周没回去了，今天下班后搭同事的顺风车，跟老爸老妈分享自己第一次到北京的所见所闻，尝一尝老妈做的可口的饭菜；还有讨论一个家庭内部计划。

BTW，这里需要感谢各位期间继续关注小博的兄弟，比如Tony和海天；特别感谢笔头和卢松松的诚心邀请，只是苦于时间有限未能在京小聚实为憾事。他日各位到了江苏请一定联系秋天把酒话博客！

Next week, Helen will arrive. This is really out of my surprise, eventhough real time limited, pleasant time will be unlimited!

5月，出差之前

秋天 — Tue, 25 May 2010 03:09:09 +0000

　　晚上，将在去往北京的列车上度过；之后将有一周左右的时间无暇更新博客，就在今天写下一篇流水文章。
　　首先还是说说博客的事，前几天的流量问题现在采取了根本性解决措施：更换了服务器，月流量由10G增加至15G；国内ping延时平均值也从260降低到只有170，换言之从国内访问速度将比之前更快。更换后遇到一个问题：博客RSS无法正常输出，出现404错误，后来通过删除.htaccess文件再让WP自动生成解决。

　　上周花了很多时间在拜读福步论坛上一位外企买手（Buyer）的文章，受益颇丰，富于励志效果。作者从公司杂务做起，到外贸业务，再到业务经理，跳槽后受客户信赖招致麾下专门负责国内采购，经历过程应该也是很多行业中人希冀的。不仅有作者自己的经验分享，同时在帖子中专门给其他人解答工作中遇到的各种疑惑问题。据信其首开外贸开发信的帖子已经可以成为福步史上的贴王帖子贴子，从4.29发表主题到今天已经有超过660000次浏览，回复超过3400条！

　　同行和其他有兴趣的朋友可以看一看，写的非常棒，秋天从第1页一口气追到190多页（当时只达到190多页，现在总页数已经到了232页）：
　　(原创)新手如何写好开发信，加大成交率？–附上老外的建议和成交案例
　　这篇文章看完，有两点很深的体会：
　　销售中经常提及的一个词：差异化，不仅体现在产品和服务上，也同样要体现在sales自身，一定要做到比别人更专业，更细致，更全面才能脱颖而出。
　　做一个有智慧的人，文明发展到现代人的智商都很高，聪明的人越来越多，而真正拥有智慧的人却不多。MSN上一位客人的签名值得借鉴：”Do the right thing the right way.”

　　前两天在真好的博客上欣喜的看到文章说他和夫人–娇娇喜结连理，正式领取了结婚证。在此秋天谨示以最美好和衷心的祝福，相信你们会是非常幸福的一对，天生才子佳人配，只羡鸳鸯不羡仙。
　　当然，到现在仍然保持单身的各位同志需要从思想上提高认识了，不能到了放假的时候总一个人窝在家做宅男宅女，每年的11.11空发感慨。

　　最近感觉越来越依赖枕头，晚上熬夜的能力大不如以前，最多到午夜0点多一点就支撑不下去了，是自己太累还是真的过了25这个坎身体各方面素质就开始下滑了？

　　前两天偶然间发现国外一作曲家雅尼(Yanni)的纯音乐听起来非常舒服，著名的曲目《with an Orchid》(《兰花相伴》)就是他的作品，收录于专辑《If I Could Tell You》中。

　　聆听Yanni的音乐，也许可以找寻到一份久违了的轻松和休闲。音乐飘逸、洒脱，有着海风的清新、清爽，海港的宁静、温馨。《和兰花在一起》(With an Orchid)是雅尼的经典作品之一。这是一首需用心去倾听和感受的曲子，有伤感，有无奈，还有渴望和期盼，听后让人沉醉不能自已。
　　在这首令人沉醉的曲子声中，依稀可见一个兰花般的清凉而寂寞的世界，漂浮着一天一地的冷艳空气。和兰花在一起。这曲名里没有世俗里包藏的小家碧玉情怀，也没有小情小调的忧伤与做作。只有一股子清新扑面而来，仿佛超越了许多尘土与狂躁，有一点所谓净化灵魂的功效。可爱而可哀的岁月，就这样的流逝，不着痕迹。天空没有痕迹，而鸟儿已经飞过。千江有水千江月，万里无云万里天，还给世界一派清明和寂寞，和兰花在一起，心酸眼亮的那一刻，也许会有片刻的彻悟吧。

　　文末，一起静静聆听这首《With an Orchid》和专辑同名曲《If I Could Tell You》。
And, you will be missed during my out days, Helen.

圣诞前最后一文( 20 )
即将到来的国庆节( 19 )
驾考结束，重返博客( 17 )
我是藕粉我疯狂–记收到Opera礼品【多图】( 25 )
让80后感怀时光的歌曲–《lilei&hanmeimei》（李雷和韩梅梅）走红网络( 27 )
无题( 13 )
马斌，秋天喊你回来读报！( 12 )
完成Apache+php+Mysql+phpMyAdmin本地架设( 9 )

秋天博客，零点空间

国外采购商对国内供应商报价方案的建议

相关文章

账号安全–预防身边的邮箱间谍

相关文章

学历门-唐骏“西太平大学”博士文凭之真伪

相关文章

海关总署33号令实施–出口货样/广告品或将征税

相关文章

享受强大的HTML5动画效果

相关文章

财政部：7月15日起将取消钢材玉米淀粉等406种商品出口退税

相关文章

驾考结束，重返博客

相关文章

黑莓正式进入中国市场，个人用户可选购

相关文章

6月，出差归来

相关文章

5月，出差之前

相关文章