新！ 及时知道最新的app security alert，请在twitter上follow @2sec

应用安全漏洞 [选录]
-------------------
2009-4

这个月严重漏洞较多，比如Adobe Reader、Linux Kernel、Oracle的，Joomla和Pligg的漏洞也不少，赶紧修补。

Adobe Reader 8.1.4-9.1 GetAnnots() Remote Code Execution Exploit    29-04-2009
Adobe 8.1.4-9.1 customDictionaryOpen() Code Execution Exploit    29-04-2009
Symantec Fax Viewer Control 10 (DCCFAXVW.DLL) Remote BOF Exploit    29-04-2009
Linux Kernel 2.6.x SCTP FWD Memory Corruption Remote Exploit    28-04-2009
Opencart 1.1.8 (route) Local File Inclusion Vulnerability    27-04-2009
ECShop 2.5.0 (order_sn) Remote SQL Injection Vulnerability    27-04-2009
Norton Ghost Support module for EasySetup wizard Remote DoS PoC    23-04-2009
Joomla Component rsmonials Remote Cross Site Scxripting Exploit    22-04-2009
Oracle RDBMS 10.2.0.3-11.1.0.6 TNS Listener PoC (CVE-2009-0991)    21-04-2009
Pligg 9.9.0 (editlink.php id) Blind SQL Injection Exploit    20-04-2009
MS Internet Explorer EMBED Memory Corruption PoC (MS09-014)    20-04-2009
Linux Kernel 2.6 UDEV Local Privilege Escalation Exploit    20-04-2009
Microsoft Media Player (quartz.dll .wav) Multiple Remote DoS Vulns    17-04-2009
Microsoft Media Player (quartz.dll .mid) Denial of Service Exploit    17-04-2009
Microsoft GDI Plugin .png Infinite Loop Denial of Service PoC    17-04-2009
Apache Geronimo <= 2.1.3 Multiple Directory Traversal Vulnerabilities    16-04-2009
Oracle APEX 3.2 Unprivileged DB users can see APEX password hashes    16-04-2009
MS Windows Media Player (.mid File) Integer Overflow PoC    15-04-2009
OpenBSD <= 4.5 IP datagram Null Pointer Deref DoS Exploit    14-04-2009
PowerCHM 5.7 (Long URL) Local Stack Overflow PoC    14-04-2009
OpenBSD <= 4.4 IP datagram Null Pointer Deref DoS Exploit    14-04-2009
Cisco ASA-PIX Appliances Fail to Properly Check Fragmented TCP Packets    10-04-2009
Joomla Component Maian Music 1.2.1 (category) SQL Injection Vuln    08-04-2009
Joomla Component MailTo (article) SQL Injection Vulnerability    08-04-2009
Joomla Component Cmimarketplace (viewit) Directory Traversal Vuln    08-04-2009
Linux Kernel < 2.6.29 exit_notify() Local Privilege Escalation Exploit    08-04-2009
GOM Player 2.1.16.6134 Subtitle Local Buffer Overflow PoC    08-04-2009
UltraISO <= 9.3.3.2685 .ui Off By One - Buffer Overflow PoC    06-04-2009
Amaya 11.1 XHTML Parser Remote Buffer Overflow PoC    06-04-2009
Joomla Component com_bookjoomlas 0.1 SQL Injection Vulnerability    06-04-2009
Mozilla Firefox XSL Parsing Remote Memory Corruption PoC #2    06-04-2009
UltraISO <= 9.3.3.2685 CCD-IMG Universal Buffer Overflow Exploit    03-04-2009
IBM DB2 < 9.5 pack 3a Malicious Connect Denial of Service Exploit    03-04-2009
IBM DB2 < 9.5 pack 3a Malicious Data Stream Denial of Service Exploit    03-04-2009
Oracle WebLogic IIS connector JSESSIONID Remote Overflow Exploit    01-04-2009

Source: bugsearch.net

包含四个部分：

• 盲注特点
• 盲注分析与临时解决办法
• 代码检查
• 恶意JS分析

Source: http://www.wabei.com/news/200904/195329.html

摘录一些。

古永锵属马，张朝阳属龙。

古永锵给未来设定了3个前提：“要做互联网；要做创业公司；要做自己有兴趣的事。”

技术、产品、内容、热点、媒体、营销

一把手要决定战略跟文化

在一个既定方向之下，在一定文化背景之下，去把一个事情做好。

“我们也经常有不同意见。意见一致好说，意见不同我们就关起门来PK，最后如果他还是不听我的，那我根据他的执行，因为公司是他的。”

“老张一直以来的性格，比如两三个人聊天，他是非常内向的；在1000人面前讲话，他又是非常外向的；五年十年前的古永锵恰恰相反，两三个人我非常健谈，站在1000人面前，我肯定不如他。”

“你以前碰的钉子多，以及你的团队更多元化，这些都是抗风险的条件。”

运营和资本运作，可能越走到高层，这两个是最关键的。

我也理解，所有东西都有规律，有一个时间表，有些东西是急不了的，但是当一个东西比我的预期慢了，我会急。

“平时我喜欢跟家人在一起，宝宝醒着的时候，我一般不工作。他睡着了，我邮件就出来了。”

“一个人应该有闭关的时间，去思索，去看自然风景。你很难在忙碌状态去感悟，什么东西都放下来的时候，才可以吸收一些东西。”

“想想吧，当CEO一个季度都不在，这个公司还可以正常转，优酷那会儿可就厉害了。”

Source: http://www.wabei.com/news/200904/194156.html

摘录一些。

在过去数年间，贝恩全球合伙人Darrell一直关注对创新的研究。

贝恩的一项全球调查显示，全球有76%的CEO认为，比起降低成本，创新更重要。在亚洲，该数字是84%，比全球的平均值更高。

在Darrell看来，CEO们关于创新的迷惑，主要在发明、创造和创新的区别上。

创新与发明和创造的最主要区别在于：创新能够带来盈利，而发明创造只停留在一个点子或产品上。

“只有不到20%的公司专利会成为真正的产品，而其中又只有20%~50%新产品的制造能够使投资获得回报。”

“创新只能在一个交界点找到——那就是客户机会、有特色的能力(比如更低成本)，以及强势竞争力。任意拿掉这里的一个元素，你将不能实现创新。”

“为了成功实现创新，必须做两件事。其一必须产生新想法，其二是要把想法商业化，使它们带来盈利。”

Darrell强调，对于企业而言，创新实际是一个系统。在市场营销、消费者购买、产品分配和运输、顾客服务等每个环节上，创新都正在和将要发生作用。

在过去的企业实践中，Darrell发现，在一些组织中，创新没有发挥效用，其中的部分原因在于有创新能力的员工和商业人员的分离。

“比较经典的一种测量和管理创新的方法是阶段把关法，从新产品想法的产生到筛选，然后到发展，再到试商用和商用。”

“我们所强调的创新，不仅仅是产品层面的创新，更多的是商业模式和经营上的创新。”

“贝恩对创新的测量和管理，并不关注企业创造了多少个专利，而是重视对其进行商业评估。”

仔细分析每个国际安全会议的参展商，能得到一些有趣的东西。



Data Source: http://www.infosec.co.uk/page.cfm/Action=ShowCategory/ShowCatID=1

Anti Spam	24
Anti Virus	27
Application Security	51
Biometrics	11
Business Continuity/Disaster Recovery	28
Cloud Security	16
Content Monitoring/Filtering	26
Data Leakage Prevention	61
Email/IM Security	38
Encryption/PKI/Digital Certificates	65
End Point Security	40
Firewalls	35
Governance Risk & Compliance	90
Identity & Access Management	58
Internet Security/Network Security	121
Intrusion Prevention/Detection	44
IT Forensics	32
IT Helpdesk and Support	11
Legislation and Standards/BS7799/Certification	18
Managed Security Services	46
Patch Management	13
Penetration Testing/Risk & Vulnerability Assessment	35
Physical Security	15
Remote Access	37
Security Policy	57
Security Training/Awareness/Education/Recruitment	36
Security Web Services/Security as a Service	28
Single Sign On / Security Tokens	23
Smartcards	11
Storage Security	33
Unified Threat Management	23

---

将 RSA 2009 和 Infosecurity EUROPE 2009 参展商结合起来分析，得到下图

Source: http://tech.163.com/09/0426/14/57R7KUU2000915BF.html

摘录一些：

数字媒体绝对是未来。我们要应用数字媒体，采取新的方式做现在的事。

每个人都有空间，但是信息会一直有价值，特别是专业的信息。

我怀揣着对万物的好奇心，我想这能让人保持年轻。

Source: http://tech.163.com/09/0423/23/57KDMGRL000915BE.html

爱立信（NASDAQ:ERIC）总裁兼首席执行官思文凯（Carl-Henric Svanberg）向股东们表示，自2003年起，爱立信以年增长率12%的速度超过市场迅猛发展。

在过去的六年间，爱立信在移动网络和服务领域树立了全球领军企业的地位。据2003年的业界预测，至2008年，爱立信营业额将从1170亿瑞典克朗增长至1300亿瑞典克朗。而事实上，爱立信在2008年的营业额已达2090亿瑞典克朗，平均每个工作日完成销售额近10亿瑞典克朗。

目前我们正在努力构建全新的IP网络，并实现固网和移动网络的融合。我们目前零负债，截至去年年底，我们的净现金量达到350亿瑞典克朗。我们基本上无客户融资，并已广泛开展一系列削减成本的活动。我们是市场领袖，并引领着技术发展。尽管目前世界经济形势动荡，但爱立信的发展势头依旧强劲。

今天，全世界的移动电话用户已达40亿，但其中移动宽带用户还不到10%。在世界上许多地方，加强电信业都被列在政府议程的重要位置。在美国，宽带网络扩展已于近日被纳入该国的经济刺激计划中；在中国，规模空前的电信扩展项目正在展开。

我们目前正在为联合国‘千禧村’搭建移动网络，那里是世界上最贫困的人口居住区。而我们已经看到网络在促进发展上所发挥的巨大作用，即使对于这些非洲贫困地区的运营商来说，这也将是一个巨大商机。

爱立信将继续为实现可持续发展、构建一个‘人人享有通信’的世界而努力。而要实现这些目标，我们必须确保公司始终保持技术领先、市场领先和良好的盈利能力。

Source: http://blog.163.com/syb517/blog/static/86916448200932374839378/

中兴通讯和华为从10年前在设备市场的弱势地位，到今天与国际电信设备巨头爱立信一起三足鼎立市场，其中实现这一转变的关键也在于：华为和中兴更愿意帮助运营商客户解决融资难题。

2003年末，华为与香港移动运营商SUNDAY（2006年被电讯盈科收购）签下首张3G合约，当时华为向它的第一个WCDMA“追求者”SUNDAY提供5亿港元的卖方信贷，用以偿还其贷款，以换得WCDMA设备的独家供应商地位。

境外竞标大都遵循这样的“套数”：先技术标，再商务标，即先参与技术测试，通过后进入运营商控制的“短名单（Short List）”，继而再参与商务标的竞争，中间包括价格因素，以及设备供应商能否提供相应的融资服务，一部分就是卖方信贷。

SUNDAY不仅未给华为的WCDMA设备付款，而且需要华为额外掏出5亿港元用于偿还SUNDAY原先欠设备商和银行的贷款。

华为与SUNDAY的合作，更像华为花钱买了一个大型的试验场所。正是依靠华为在SUNDAY的试验数据，华为才能成功获得欧洲、非洲、东南亚等市场的认可。正因为有了SUNDAY的成功案例，随后，华为相继从阿联酋Etisalat、毛里求斯Emtel、马来西亚TM和荷兰Telfort获得了WCDMA商用网络。

Source: http://tech.163.com/09/0311/12/544IGAM5000915BF.html

葛珂表示，反病毒技术发展到今天，互联网化是一种必然趋势。最早提杀毒行业的互联网化主要是营销模式的互联网化，即产品免费，服务收费，如果用户觉得好就付费，比较典型的互联网化方式，也可以说是安全互联网化的第一步；第二步就是大家都在讲的云安全，云安全可以说是产品技术、产品运营的互联网化。

第三就是服务，我们之前的客服比较被动，我们与用户缺少互动，我们理想中的服务是未来跟用户进行一对一的服务。也许是一个简单的电脑问题、中毒问题，用户可以通过电话、可以通过IM 、远程的形式来解决，也就是说未来的客服已经超出了原来的简单的电话中心的概念，这种服务概念一定是在互联网技术的基础上。

原来客服仅是成本中心，我们希望未来能够转变成利润中心。原来我们是卖产品，后期卖服务，但这里提到的服务比较片面，主要是病毒升级，我们未来谈的服务的真正的服务收费，未来靠互联网服务理念，为用户提供真正有价值的服务。这也将是未来安全软件的赢利模型。

在进入2009年，金山毒霸的互联网转型开始了最后一公里的完结篇——客户技术支持的远程协助与线上支持。 这一步实现后,金山软件才算实现互联网化。这是金山软件互联网转型的最后一站。

#RSAC 2009，EMC 信息安全事业部 RSA全球总裁亚瑟•科维洛（Arthur W. Coviello）先生为大会开幕发表了主题演讲。

科维洛先生警告说，全球网络威胁正在不断升级，网络诈骗者比以往更加有组织化、协作化和高效化。经济与新兴技术等推动力量正促使信息安全行业不断发展和调整，并为行业开展创造性合作、有效的进行信息基础架构的重组提供了机遇。

科维洛先生列举了推动信息安全产业不断发展和调整的三大推动因素，它们包括：网络犯罪威胁所带来的挑战；响应企业与政府让衰退经济恢复价值的需要；以及基于新兴技术和趋势，例如虚拟化、云计算和社会网络化，从而重新思考实现安全的机遇。他主张这三个主要推动力使得行业处于一个至关重要的转折点，提供了一个从零开始重新架构信息基础设施的机会，他警告企业应避免重蹈错误的覆辙。

我们必须紧紧围绕共同的开发过程，为当今世界构建更为安全的信息基础架构。着眼于未来，我们才能确保未来的新技术架构是围绕这一开发过程而进行的，确保该过程是基于信息风险管理，而非强制执行该过程基于技术的组合。

科维洛先生呼吁业界围绕三大举措充分开展创造性合作，并举例阐述了 RSA 就此所做出的努力：

• 共同协作制定行业标准
• 实现技术共享
• 基础架构中的直接技术集成和嵌入控制

科维洛先生提醒：“我们必须建立一个比欺诈犯罪更加强大、更加健康的产业生态系统，保障全球经济发展所倚赖的信息能够流畅与无障碍的交流。这并非改变比赛，而是为了赢得比赛。”

Jeremiah Grossman(WhiteHat Security CTO)在博客上写了 Top Ten Web Hacking Techniques of 2008

Top Ten Web Hacking Techniques of 2008!

1. GIFAR
(Billy Rios, Nathan McFeters, Rob Carter, and John Heasman)

2. Breaking Google Gears' Cross-Origin Communication Model
(Yair Amit)

3. Safari Carpet Bomb
(Nitesh Dhanjani)

4. Clickjacking / Videojacking
(Jeremiah Grossman and Robert Hansen)

5. A Different Opera
(Stefano Di Paola)

6. Abusing HTML 5 Structured Client-side Storage
(Alberto Trivero)

7. Cross-domain leaks of site logins via Authenticated CSS
(Chris Evans and Michal Zalewski)

8. Tunneling TCP over HTTP over SQL Injection
(Glenn Wilkinson, Marco Slaviero and Haroon Meer)

9. ActiveX Repurposing
(Haroon Meer)

10. Flash Parameter Injection
(Yuval Baror, Ayal Yogev, and Adi Sharabani)


RSA 2009 大会上，他讲的也是这个。w3 写了个更容易懂的文章，言简意赅，再现雄风。
转载过来，方便以后使用。

1.GIFAR攻击

这个攻击非常有趣。它的思想是将一张GIF图片和一个JAR文件拼在一起，然后命名成 aaa.gif，这个新文件的前一部分是GIF，后一部分是JAR文件。很多WEB服务提供商为了安全只允许上传图片，但对文件内容的检查通常只是简单的 检查一下文件头部分是否符合，因此我们新生成的文件就可顺利通过检查，从而绕过安全限制。这样一个包含有JAR内容的文件就被传上了网站，而Sun的 Java解释器在解析这样的文件时，又十分“智能”的忽略了前面它不认识的GIF文件数据，从而导致JAR文件中的恶意Java脚本可以在客户端浏览器上 被执行。如果这种恶意文件可以传到一些大的WEB服务网站上（例如google.com），则可能产生极大的危害。

2.突破Google Gears的跨域通信机制

Google Gears是Google提供的一个RIA(富客户端)工具。它的跨域安全机制在某些情况下可以被绕过，攻击者可能获取受害用户在另外一个网站上的敏感数据，例如论坛、WEB邮件、社交网站等等的信息。

3.Safari 地毯式轰炸

Safari 是苹果公司开发的WEB浏览器。它在处理一个Content-type无法被浏览器渲染的文件时，会自动将其保存在默认下载目录下(Windows下是桌 面，OSX下是Downloads目录)。但这动作是自动完成的，并没有提醒用户，也没有要求用户确认。恶意攻击者只要创建一个包含大量引用恶意程序的网 页，就可以迅速占满桌面或者Downloads目录，形成地毯式轰炸的效果。

4.点击欺骗

眼见不一定为实，这对于网页浏览也同样适用。利用隐藏iframe的技巧，可以让你以为是在点击一个按钮或者一个链接时，实际上是在允许恶意程序访问你的摄像头或者麦克风，这样恶意网页就可以监视你的一举一动。

5.Opera 跨站脚本漏洞

Opera的opera:historysearch功能存在一个跨站脚本漏洞，通过注入一个IFRAME页面，利用opera:config功能设置email客户端改成执行任意命令，再打开一个包含mailto:的窗口，就可以执行任意命令。

6.HTML 5 结构化客户端存储滥用问题

HTML 5版本引入了几种方式可以允许浏览器在客户端主机上存储大量数据，攻击者可以修改或者读取这些数据。如果一个使用这些数据的web应用程序存在跨站脚本漏洞，攻击者就可以插入恶意代码并让其执行。

7.通过认证后的CSS获取站点登录信息

利用标准的javascript API就可以跨域载入一个stylesheet，然后读取其中的property值。通常用户在登录一个网站前后，property值的内容会有所区别，利用这种技术可以准确的判断用户是否登录某一网站。

8.通过SQL注入实现TCP隧道

结合Squeeza和reDuh工具，可以利用一个存在SQL注入的WEB应用来实现TCP隧道，从而绕过防火墙的的限制。

9.改变ActiveX 控件的意图

ActiveX 控件往往会提供很多强大的功能，如果一旦设计上不够小心，就会带来致命的威胁。演讲者介绍了一个实例，首先诱骗攻击者去访问一个恶意页面，诱使用户进行控 件安装和升级，将一个恶意的配置文件下载到本地，配置文件已将卸载程序改成了一个任意命令，恶意页面则再度调用卸载功能，就会导致任意本地命令的执行。 ActiveX控件的开发者除了要考虑不要出现缓冲区溢出等常见问题之外，也要特别小心不要被攻击者利用其提供的功能进行攻击。

10.Flash参数注入

Flash参数注入是一种新的攻击方式，可以将数据注入到一个HTML页面内嵌的flash电影的全局参数中。这些注入的数据可以让攻击者完全控制该HTML页面的DOM元素，利用flash与HTML页面之间的交互，攻击者可能造成更大的威胁。

公司组团去RSA2009参展，现场报道：http://www.nsfocus.com/event/rsa/

wangwei对参展厂商的类别做了分析，在他分析的基础上，我又简单的分析了一下。

Source: http://tech.163.com/special/000915RB/iresearch2009.html

艾瑞咨询今日通过网易科技独家发布一季度核心数据。09年一季度中国互联网经济受危机影响受阻加剧，网络经济市场规模环比下滑7.1%，除网络游戏获6.9%增长外，其余细分行业均出现不同幅度负增长。

移动增值服务市场规模Q1达到369亿元
网络招聘09Q1营收规模同比减少7.8%
网络游戏09Q1市场规模达61.6亿
网上支付交易额首次突破千亿
中国B2B市场规模一季度下滑7.2%
一季度淘宝C2C扩大优势 京东B2C称雄
谷歌中国市场份额首度突破30%
网络广告市场首现同比下滑 Q1环比下降25%

Source: http://tech.163.com/09/0422/01/57FGEGGM000915BD.html

摘录一些：

在埃里森的主导下，甲骨文就像是处在IT食物链顶端永远饥肠辘辘的猛兽，永远不停地吞噬他者，公司无论大小，都可能是其“猎物”。

埃里森有种不达目的誓不罢休的“猎食者”精神，他不惜发动恶意收购，并与收购对象反复拉锯，而且不能容忍失手。

埃利森的市场哲学是丛林式的：在软件乃至IT行业，只有最大规模、最有实力的公司才能制胜，而消灭竞争对手最好手段之一就是买过来，把对手的客户也全变成自己的。

只要我想吞并一家企业，迄今为止，还没有谁能够逃出我的掌握。不相信？你说说我输掉过哪一次战争？

埃里森认为，软件行业已进入整合期。他还用通用汽车和福特汽车做比喻，他认为虽然福特在早期获得了成功，但通用汽车成功地对汽车市场进行整合，因而变得更强大。

甲骨文喜欢选择那些利润率不高但软件维护业务收入很高的公司，因为它可以通过提高运营效率及削减成本等措施提高并购对象的利润率。而且埃里森对裁员从不心慈手软。

埃利森的用人策略和对于细节的挑剔使得他被形容为“一台榨汁机”。

他是个表里如一的人，极度张扬和富于攻击性。

他斥资约1亿美元在加州硅谷附近建造的一幢占地23英亩、由10栋建筑组成的日式宫廷别墅，是全球有名的奢侈地标。埃里森定制了游艇船队和他的豪宅群、飞机群。埃里森将冒险精神体现在生活的方方面面，他有一架意大利战斗机，曾驾机在太平洋上空和别人进行模拟空战。他还曾指挥自己的游艇“Sayonara”号在帆船赛中夺魁。埃里森后来又与宝马公司共同出资建立了“宝马甲骨文”帆船队，埃里森的出资额为三分之二，达到了9000万美元。埃里森多次辍学也多次结婚，他出现在娱乐杂志上的次数，比出现在财经媒体上的还多。因为他经常参加驾艇比赛、飙跑车，冒险玩命多次而住进医院、骨折都是常事。

崇尚权威和循规蹈矩跟埃里森格格不入，他喜欢引用的名言是 “众人皆败，唯我独赢”。他从不避讳公开炮轰微软、IBM这些巨头。

埃里森更大程度上不是作为一个技术专家而是以市场推销专家取得成功。甲骨文的数据库尽管曾不是最好的，但却抓住了最好的历史发展机遇。埃里森的经历证明，拥有普通技术和一流市场的公司，能够打败拥有一流技术而只有普通市场能力的公司。

Source: http://tech.163.com/09/0422/01/57FFQQV4000915BF.html

1. 能洞察用户需求，对市场极其敏感
2. 志存高远并脚踏实地
3. 最好是两三个优势互补的人一起创业
4. 一定要有技术过硬并能带队伍的技术带头人（互联网项目）
5. 低成本情况下的快速扩张能力
6. 履历漂亮的人优先，比如有创业成功经验的人等会加分
7. 做最肥的市场，选择自己能做的最大的市场
8. 选择正确的时间点
9. 专注、专注再专注
10. 把事情做到极致和业务在小规模下被验证，有机会在某个垂直市场做到数一数二的位置

Source: http://newsroom.cisco.com/dlls/2009/prod_042109.html

2009 RSA 大会，John Chambers 做了 Collaborate with Confidence 的演讲。Cisco 推出了新的安全服务：

• Cisco Security Cloud Services，即SaaS
• Cisco SAFE，即安全蓝图架构（这几年没啥动静，最近好像又重新焕发生机了）
• Cisco IT GRC Services，即通用控制框架，整合安全控制措施，满足合规要求，有效抵御威胁。

Cisco 说，以安全服务提供商的身份与客户一起协作，可以深入的获得需求，来扩展和完善硬件、软件产品线。

土耳其黑客利用SQL注入漏洞进入了新西兰Domainz.net的管理后台，然后修改了一些DNS记录，将一些客户页面做了转向，受影响的有Microsoft, HSBC, Coca-Cola, F-secure, Bitdefender, Sony, Xerox。

更多信息及被黑页面：http://zone-h.org/news/id/4708

Source: http://finance.sina.com.cn/leadership/crz/20090420/00216121279.shtml

摘录一些：

4月11日，正在泰国出席东亚领导人系列会议的国务院总理温家宝，在记者会上回答中信泰富有关问题时表示：“在弄清事实做出处理后，要认真吸取教训。包括经营理念、经营方向、管理水平和加强监管等方面，都有不少教训值得吸取。”

早在2006年，荣智健曾展望了中信泰富的三大主营业务：钢铁、航空、地产。在荣智健看来，未来几年中信泰富将把钢铁业务作为主要增长动力的核心业务，而航空、地产成为了“守成”式的日常营收业务。

2008年中信泰富全年特种钢业务净利润大幅提升68%，盈利达28.44亿港元，成为对中信泰富利润贡献最大的业务，毫无疑问，这体现了荣智健在挑选行业上的睿智。

荣智健似乎忽视了一个最为基本的投资原则：多元化投资要遵循分散性原则。中信泰富的主业中的钢铁、航空、电力、地产，都是强周期性行业，这意味着在经济处于上升周期，其业务就能够获得超额回报，然后一旦经济进入下行周期，增长乏力，甚至出现亏损的弊端就很容易显现。

中信泰富因为“投机”金融衍生品遭受如此大的损失，致使荣智健“非典型谢幕”恰恰是印证了其曾祖父荣熙泰那句“固守稳健、谨慎行事、决不投机”的训诫是多么具有远见卓识。

Source: http://tech.163.com/09/0417/15/5745IUSG00093879.html

原文内容很长，精彩之处实在是太多，只能摘录一部分：

“我们就好比是拳击手，我们用左手来护住我们的头部和心脏，保持好我们的业务；而我们的右手应该出击，应该得分，在增长最快的领域里面赢得增长。” —— 重新担任联想集团CEO刚刚两个月的杨元庆

重新担任CEO的杨元庆希望倚重自己多年的战友们，通过在新兴市场和消费产品上的奋力一搏，复制联想当年在中国市场上的辉煌。当然，最终能否如愿以偿，还取决于包括他自己在内的“老革命”能否解决现在的“新问题”。

事实上，早在2007年4月，“见习”了两年多的杨元庆已经有些按耐不住，他拍板成立了消费业务单元，由自己亲自负责。随后，身为董事长的他到法国、德国等地蹲点，帮助当地的营销团队推广消费业务。于是联想形成了董事长直接负责消费业务、CEO只管理商用业务的类似CO-CEO”（联席首席执行官）的奇怪管理模式。

2008年奥运会开幕之前，回到北京的杨元庆没有看到联想在公交车上投放广告后当即大发雷霆，勒令必须在几天之内完成投放。

调整之后的新组织结构更加简单有效，直接向杨元庆汇报的高管不到10人，而原来直接向阿梅里奥汇报的则有将近20人，这将有利于联想针对不断变化的市场环境迅速决策、立即行动。

“我体会到一句话就是治大国如烹小鲜，越大的组织越要注重战略的执行。如果战略没有考虑到可操作、可执行和可管控，那不叫战略。” —— 高级副总裁兼新兴市场总裁的陈绍鹏

通过这次近距离的接触，陈绍鹏知道了要成为一家跨国公司的销售主管需要多大的努力、多强的精力和多丰富的知识面。

“你必须时刻提醒自己‘我这是在哪’，要有多元文化的敏感度。虽然商业和管理是有高度共通性的，但是就每一个具体的业务来说从战略上就有很多的不同，好的领导人不能仅仅知道理论，还要跟当地的业务和团队高度关联起来。”

“对于陈绍鹏的前端集团，我主要考核他的营业额和利润，他不需要考虑产品竞争力的问题。而对于刘军，我将主要考核他对产品竞争力的建设情况，你采取什么样的产品设计模式，采取什么样的服务模式，市场的策略是什么，这些都是刘军需要考虑的问题。”

“以前联想的队伍非常稳定，走个总裁助理都要惊天动地，现在走个副总裁都听不到声响了。”这也让老帅柳传志颇有些痛心疾首，他尽力将这些离职的高管收拢到“联想系”下的其他企业储存起来。

现在的联想又回到了他喜欢的打法上来，有陈绍鹏和刘军左膀右臂的辅佐，有乔健和王晓岩在后台的有力支持，加上这些年来不断涌现出来的像夏立、白欲立、付军华、仪晓辉这些更加年富力强的国际化管理者，他有充分的自信率领联想走出目前的困境，走向新的未来。

联想现在所处的险恶环境使得联想不仅仅需要职业经理人，它还需要找回当初的创业激情，因为无论是开拓新兴市场还是设计Idea产品，对于联想来说都相当于重新创业。

第一要能够激发团队创业，第二我们叫真抓实干和务实的精神。如果你不能面对现实，切实可行地找到解决问题的办法并一步步地建设竞争力，你不可能有未来。我们只要实干家，不要空谈家，不要只会做review的人，而是真正干活的人。

普通员工至少需要拥抱变革、喜欢变革。对于关键的领导来说，则要能够发动变革，因为市场在快速的变化之中，你不能老以为三年前这么做行，今年这么做还行，我们要勇于变革。

在华硕、宏碁推出上网本并高歌猛进的时候，联想却表现得无动于衷；在戴尔、宏碁争先恐后地杀入智能手机市场，寻找新蓝海的时候，联想却将自己积累多年的手机业务剥离出去；在惠普通过收购EDS进军利润更加丰厚的IT服务市场的时候，联想还只能够提供最基本的IT基础设施服务；在同一年创业的戴尔开始享受进军服务器带来的高利润的时候，联想的服务器业务却一直不见起色。

“这是我为什么又回到CEO位置上的原因之一。我相信联想会回到原来那样的状况，我们会对市场反应得更加敏锐、更加快速。我们会把最新的技术、最新的功能和应用带到市场上面，也会对竞争、对后端的变化反应最快速。”

我从来不认为我不听取下属的意见。虽然我会做出很快速和坚决的决策，但是前提是我对所有的东西都有了解，我认为这个判断是足够好的，而这个判断是依赖于充分听取下属的意见，充分的讨论。我认为一个领导人应该要做出快速的决断，坚决果断的决策。但是，你的信息一定要是全面的，你做决定不能是武断，而是果断。