各种接口

事件概述

美国时间3月7日，维基解密（WikiLeaks）网站公布了大量据称是美国中央情报局（CIA）的内部文件，其中包括了CIA内部的组织资料，对电脑、手机等设备进行攻击的方法技术，以及进行网络攻击时使用的代码和真实样本。利用这些技术，不仅可以在电脑、手机平台上的Windows、iOS、Android等各类操作系统下发起入侵攻击，还可以操作智能电视等终端设备，甚至可以遥控智能汽车发起暗杀行动。

维基解密将这些数据命名为“7号军火库”（Vault7），一共有8761份文件，包括7818份网页以及943个附件。在公布时，维基解密对文件内容进行了一些删节处理，包括个人真实信息（姓名、邮件地址等），数以万计的IP地址，以及真实的二进制文件。维基解密表示在对文件进行进一步的分析之后，会逐步公开这些被删节的信息。同时，维基解密称此次公布的数据只是一系列CIA机密材料的第一部分，被称为“元年”（YearZero），后续还会有更多资料陆续公布。

泄漏内容

此次公布的数据都是从CIA的内网保存下来的，时间跨度为2013到2016年。这批文档的组织方式类似于知识库，使用Atlassian公司的团队工作共享系统Confluence创建。数据之间有明显的组织索引关系，可以使用模板对多个资料进行管理。很多资料有历史改动的存档，7818份资料中除去存档共有1136个最新数据。943个附件基本上都可以在资料中找到对应的链接，属于其内容的一部分。具体而言，这些资料可以分为如下几类：

1.CIA部门资料，包括部门的介绍，部门相关的黑客项目，以及部门内部的信息分享。

2.黑客项目资料，包括一些不属于特定部门的黑客工具、辅助项目等，其中有项目的介绍，使用说明以及一些技术细节。

3.操作系统资料，包括iOS、MacOS、Android、Linux、虚拟机等系统的信息和知识。

4.工具和开发资料，包括CIA内部用到的Git等开发工具。

5.员工资料，包括员工的个人信息，以及员工自己创建的一些内容。

6.知识库，这里面分门别类地存放了大量技术知识以及攻击手段。其中比较重要的是关于Windows操作系统的技术细节和各种漏洞，以及对于常见的个人安全产品（PersonalSecurityProducts）的绕过手段，包括诺顿、卡巴斯基、赛门铁克、微软杀毒以及瑞星等安全产品。

总的来看，这些数据虽然有组织关系，但是作为工作平台而言，并没有形成严格的规范，很多文件都是随意放置的，甚至还包括asdf这样的测试文件，更像是一个内部的知识共享平台。

典型兵器

在这次公布的数据中，一些比较值得注意的兵器项目如下：

WeepingAngel

WeepingAngel(哭泣的天使)是一款由CIAEmbeddedDevicesBranch(嵌入式设备组)和英国MI5共同开发的针对三星智能电视的窃听软件。三星智能电视使用的是Android操作系统，该窃听软件感染智能电视后，会劫持电视的关机操作，保持程序的后台运行，让用户误以为已经关机了。它会启动麦克风，开启录音功能，然后将录音内容回传到CIA的后台服务器中。考虑到三星智能电视使用的是Android操作系统，推测该恶意软件具备感染Android手机的能力。韩国和美国是三星智能电视的最主要消费国家。

HIVE

HIVE(蜂巢)是CIA开发的远程控制后台项目，该项目负责多个平台的后台控制工作。从泄漏的文件来看，HIVE系统在2010年10月26日发布了第一版，直到2014年1月13日一共更新到2.6.2版本。作为间谍软件最重要的部分，Command&ControlServer就由该项目负责。整体上，植入目标机器中的间谍软件，通过HTTPS协议同后台C&C服务器进行交互，整个通信过程使用了，数据加密，身份鉴权等诸多信息安全高级技术。同时在异常处理和服务器隐藏等关键模块的设计上，也体现出国家队的技术水平。

从架构设计上分析，HIVE分为两层，第一层直接与间谍软件连接，部署在商用的VPS(VritualPrivateServer)上。第一层将所有流量通过VPN加密转发到第二层。转发策略是如果流量经过身份鉴权，确认是目标机器，就会向代号为”Honeycomb”的服务器集群转发，这里会对收集到的信息进行存贮和分析，如果鉴权失败，就会向一个无害的网站转发，达到重要服务器不被暴露的目的。

UMBRAGE

UMBRAGE(朦胧的外表)取自英语古语，有朦胧虚无的意思。该项目主要目的是隐藏攻击手段，对抗调查取证。现实世界中，每一个案件，背后无论多么扑溯迷离，在现场一定会留下线索，如果是惯犯，凶手会有一定的作案模式。在网络世界中也是一样的，每一次发动的网络攻击，都会和之前的攻击有着千丝万缕的联系，都能提取出一定的攻击模式。

CIA的RemoteDevicesBranch(远程设备组)，收集维护了一个网络攻击模式库，该模式库总结了之前使用过的攻击方式和技术，例如包含HackingTeam泄漏出的代码和俄罗斯使用的技术。拥有了庞大数量的模式库之后，对于新发起的网络攻击，可以采取模仿，混淆等多种战术，达到迷惑敌人，隐藏自己的目的。UMBRAGE项目包含了恶意软件大部分功能模块，例如：键盘记录器，密码收集器，摄像头控制，数据销毁，提权，反杀毒软件等等。

FineDining和Improvise(JQJIMPROVISE)

"FineDining"（美食大餐）提供了标准化的调查问卷，CIA的OSB(OperationalSupportBranch)部门会使用该调查问卷，用于将办案人员的请求转换为针对特定操作的黑客攻击的技术要求。问卷可以帮助OSB在现有的攻击工具集中选择合适的攻击工具，并将选好的攻击工具清单传递给CIA的负责配置攻击工具的运营人员。OSB在这里充当了CIA运营运营人员和相关技术支持人员的接口人的角色。

调查问卷会让填写者填写诸如目标计算机使用的操作系统、网络连接情况、安装的杀毒软件等信息，随后会由"Improvise"（即兴演出）处理。"Improvise"是一个用于配置、后处理、payload设置和executionvector选择的工具集，可支持所有主流操作系统。"Improvise"的配置工具如Margarita允许NOC（NetworkOperationCenter）根据"FineDining"问卷的要求来定制工具。

"FineDnining"用于收集攻击需求，而"Improvise"用于将攻击需求转化为攻击工具，这两个工具相互配合使用，可以准备、快速的对任何特定目标实施攻击。可见，CIA已经实现了对指定目标的攻击实现了高度的定制和高效的配置。

后续

此次公开的数据庞大，并且还有部分数据未公布。腾讯电脑管家反病毒实验室会持续关注该事件，跟进最新进展；同时继续深入分析现有内容，挖掘其中涉及的安全漏洞、入侵手法和攻击工具，第一时间披露更加具体的细节信息。

同时也在这里提醒广大用户，此次公布的数据中包含大量漏洞信息和攻击工具，可能被不怀好意的人利用，成为他们手中新的武器。希望广大用户最近提高警惕，留心关注最新的安全新闻，注意及时更新电脑、手机上的安全防范措施，避免遭受此次事件的负面影响。

相关新闻

2017-03-15

2017-05-16

2017-05-31

2017-06-06

2017-08-10

随着互联网的发展，越来越多的业务不仅仅由单一节点（或是单一语言）就可承载，而是趋向多语言分布式协同开发（如接入层由Node.js完成，逻辑（数据）层由C++/GO/Python实现）并由此组成大型异构系统。

我们（现SuperTeam）基于 Tars 体系研发出 Tars.js 以便用户在不改变异构系统整体架构的情况下快速搭建（迁移）Node.js服务，并可非常方便的将原来的单一服务拆分为多个（逻辑）子服务。

Tars.js在腾讯内部经过5年多的沉淀与迭代（Node.js@0.10版本即提供支持），广泛运用于腾讯QQ浏览器、腾讯桌面浏览器、腾讯地图、应用宝、腾讯手机管家、互联网+、腾讯医疗、腾讯觅影、保险、彩票等几十个重要业务中，日承担了上百亿流量。

Tars.js包含下述特性：

l 100%由JavaScript编写，不包含任何C/C++代码。

l 多进程负载均衡与管理。

l 代码异常监控与重启。

l 服务日志搜集与处理。

l HTTP(s)服务监控与用量自动上报，并支持用户自定义维度上报（PP监控）。

l 符合 Tars(IDL)规范的编解码模块。

l 支持 TarsRPC调用与染色（模调自动上报）。

l 支持在线发送管理命令、拉取服务配置。

l 独创 LongStackTrace™异常跟踪机制。

l …… 更多特性可访问 @tars/node-agent 了解

设计理念：

»A．高自由度：

l 兼容所有（≥0.10）官方Node.js版本。

l 对 Node.js源码无侵入无修改。

l 底层对上层完全透明，支持各种上层框架，无需变更。

也就是说：

您可以使用任何您熟悉的框架（如 Express.js/Koa.js等，包括但不仅限于Web框架），也无需对框架进行任何修改（无需引入任何中间件）。即可通过Tars.js运行，享受平台提供的各种监控与管理特性。

与此同时，Tars.js所提供的模块，也可以根据您的需求引入（如未使用到则可不引入）。

»B．高性能：

Tars.js为高性能与大并发量而设计，使用了大量的前端（V8）优化技巧（如FlattenString/FastProperties等）尽量降低所提供的能力对于业务性能的影响。

经过我们测试（WebServer），默认的旁路上报与监控对服务性能的影响≤5%，常用模块（RPC、日志等）性能位于业界前列。

»C．差异化：

Tars.js根据不同的业务类型提供差异化运营方案：

l 高流量业务：尽力降低框架对业务性能的影响。

l 低流量业务：充分利用硬件资源提升开发体验。

HelloWorld

我们来看Node.js官网的 例子 (如下)，无需任何变更，直接通过Tars.js进行部署，它会拥有哪些特性？

✓ 进程管理

默认基于 cluster 模块进行负载均衡，进程数可以配置为1~max（CPU核心数）、还可配置为auto（物理核心数相同）以减小内存压力提升“性价比”。

与此同时，进程僵死检测也会同时启动，实时监控业务进程。

»案例说明

某服务在论坛UBB代码转HTML时，使用未优化的正则表达式进行XSS攻击过滤，但由于用户发帖时图片采用BASE64编码，导致正则表达式计算时间过长，CPU使用率飙涨到100%：

开启僵死检测后，Tars.js监控到业务进程僵死时，自动重启业务进程，从而缩短了业务无响应时间：

Tars.js虽然无法解决业务代码的问题（BUG），但会尽最大努力保证业务的可用性。

✓ 服务监控

以服务名、接口名（URL-PATH节）为纬度，统计总流量、平均耗时、超时率、异常率：

其中返回码大于400（可配置）作为异常进行上报。

»监控说明

Web服务一般由静态与动态资源（接口）组成，由于静态资源（本地文件）的请求耗时远低于动态资源（业务逻辑），请求量往往又很高，拉低了服务整体耗时。

基于此，Tars.js将请求URL中的PATH节作为接口，每个接口均可查看其总流量、平均耗时、异常率，便于用户全面了解服务性能。

✓ 特性监控

无论您服务的类型是什么，总是会上报下述特性，便于回溯问题与评估性能：

l memUsage：内存用量，将会上报rss、heapUsed、heapTotal这三个用量（单位为字节）

l cpuUsage：CPU用量，将会上报CPU使用率，数据汇总为逻辑单核（单位为百分比）

l eventloopLag：（任务）队列延迟，每隔2秒采样（单位为毫秒）

l libuv：I/O用量，将会上报activeHandles、activeRequests这两个用量

各策略以平均值（Avg）、最大值（Max）、最小值（Min）分节点进行统计：

✓ 日志输出

所有通过Console模块（如console.log）输出的日志，都会输出到服务本地文件内。并附加相关信息（如下），方便定位问题。

日志格式：日期时间|进程PID|日志级别|输出文件名与行号|日志内容

2018-07-0112:00:00|332|DEBUG|app.js:13|Serverrunningathttp://127.0.0.1:3000/

✓ LongStackTrace™

由于Node.js采用异步机制，在发生异常时堆栈不完整，导致定位问题复杂。

鉴于此，我们提供了长链路跟踪技术在产生异常时自动附加前序调用堆栈，同时还支持在异常堆栈中过滤出用户代码部分。

由于开启此特性时会造成性能损耗，故默认关闭，管理平台等性能不敏感业务可直接通过配置开启。

»案例说明

执行上述代码会抛出下述异常：

ReferenceError:ThisMayThrowErrorisnotdefined

atTimeout.setTimeoutas_onTimeout

at_disibledevent="http://superzheng.com/">@SuperZheng 创立于2017年。团队成员均为全栈架构师（Super寓意Superman——无所不能），熟知Web(3D)、终端、后端与大数据计算，并由传统前端向互联网从业者方向发展。欢迎前端牛人加入，共创前端美好未来。