50 评论

TrueCrypt 使用经验[2]:关于加密盘的密码认证和 KeyFiles 认证

  接着前一篇《关于加密算法和加密盘的类型》的话题,今天说说 TrueCrypt 的两种认证方式:老式的“口令认证”和新式的“Key Files 认证”。

★如何用好“密码认证”?


  用过电脑的同学,肯定对密码(口令)的使用非常熟悉了。所以俺就不用再解释基本概念了,只是重点聊一下密码认证的潜在风险和防范措施。

◇对于加密盘,弱密码的危害更大


  关于“弱密码的危害”,想必很多同学都听说过。但是有个细节,可能很多人没有意识到。那就是:弱密码对磁盘加密的危害更加明显
  咱们拿“操作系统口令”和“加密盘口令”进行对比。
  如果某个操作系统做过安全加固,通常会在系统中设置“无效登录的上限”。只要攻击者尝试的无效口令超过这个上限,该用户就会被锁定。但是对于磁盘加密工具而言,无法像操作系统那样,限制无效口令的次数。因为针对加密盘的暴力破解,前提通常是:攻击者已经拿到存储介质(比如 硬盘、U盘、等)。在这种情况下,攻击者可以使用自己的工具进行密码尝试(不会有次数限制)。
  所以,你的加密盘一旦用了弱口令,就很容易遭到暴力破解。

◇攻击者如何暴力破解密码


  针对加密盘的暴力破解有很多种,本小节所说的是针对"用户密码"的暴力破解。

  对于短密码
  假如你的加密盘仅仅使用口令认证,而且你的口令比较短(比如说小于6个字符)。那么攻击者只要尝试所有的6字符组合,就必然可以试出你的口令。顺便说一下,很多网友用的口令只有小写字母和数字,那么6字符的口令,只有(26+10)的6次方。这个数并不算大,可以被穷举。

  对于特定形式的密码
  所谓的“特定形式密码”,比较典型的例子就是日期(尤其是生日)。这是很多菜鸟常用的坏习惯。
  很多不懂技术的同学会有一个错觉:误以为用日期做口令,好像长度还比较长(如:2000-01-01 有10个字符),似乎很保险。
  其实捏,用日期做口令是很危险的。因为常用的日期,大部分都分布在最近100年的范围内,也就是说,可能性小于 365*100;即使对每一个日期考虑不同的写法格式(比如 yyyymmdd、yyyy-mm-dd、mm/dd/yyyy、等等)顶多再乘以20倍,连一百万都不到。对于暴力穷举,这属于小儿科。

◇如何构造强密码


  要构造一个又好记又复杂的密码,简直称得上是一门艺术。这里面涉及很多技巧,并不是每个人都懂这些技巧。
  关于这方面的技巧,俺在2010年专门写过一篇《如何防止黑客入侵[3]:如何构造安全的口令/密码》。那篇旧文写得比较详细。你只要掌握其中的2到3种技巧,就可以构造出比较复杂又比较好记的密码。所以本文就不再啰嗦了,以免把篇幅拉得太长。

★KeyFiles 认证的优点


  说完密码认证,再来说说 KeyFiles 认证。相对于“密码认证”,这种方式比较新颖,俺多费点口水介绍。

◇大大降低暴力破解的风险


  前面提到:使用密码的认证方式,如果密码太简单或太短,就是容易遭暴力破解。而 KeyFiles 认证就避免了这个风险。

◇好记


  对于密码认证,为了对抗暴力破解,需要把密码设置得很复杂又很长。但是万一哪天你自己忘了,那就歇菜啦。
而使用 KeyFiles 进行认证,你只需要记住某个或某几个文件。相对而言,记忆的难度小多了。

◇可以同时设置多个


  针对同一个加密盘,只能设置一个密码,但是可以指定多个 KeyFile 文件。

  因为上述这些优点,俺强烈建议:能用 KeyFile 的场合,尽量用 KeyFiles。如果同时用 KeyFiles 和密码,当然更好。

★KeyFiles 认证的缺点


  凡事都有两面性。说完 KeyFiles 的优点,再来说说缺点。

◇有些场合没法用 KeyFiles


  (在前一篇博文俺有提到)当你用 TrueCrypt 加密系统分区的时候,只能用口令,没法用 KeyFile

◇偷窥的风险


  对于传统的密码方式,当你输入密码的时候,屏幕上显示的是星号(或圆点)。这种情况下,即使有人偷看你的屏幕,也只能知道密码的长度,而无法知道密码的内容。但如果使用 KeyFiles 方式,在打开加密盘的时候就需要指定某些 KeyFiles,万一有人偷看你的屏幕,就糟糕啦。
  (后面会介绍,如何降低偷窥的风险)

★关于 KeyFiles 的生成


  关于 KeyFiles 的使用,可以有两种方式:
1. 选择已有的文件作为 KeyFiles
2. 让 TrueCrypt 帮你生成 KeyFiles

  下面分别说说这两种搞法。

◇选择已有的文件当 KeyFiles


  理论上,任何一个文件都可以拿来当 KeyFile。但是从密码学角度而言,有的文件适合拿来做 KeyFile,有的不合适。
  要达到好的加密效果,KeyFile 至少满足如下特征:
1. 文件内容最好是杂乱无规律(套用信息学的术语,“熵”要尽量大)
2. 最好是二进制文件(一般来说,“二进制”格式的杂乱度比较大)
3. 文件至少超过 1KB(TrueCrypt 的用户手册要求至少 30 字节。但是考虑到你挑选的文件,“熵”未必足够大。所以俺个人建议至少 1KB 比较保险)

  虽然俺建议 KeyFile 至少超过 1KB,但并不是越大越好。因为 TrueCrypt 最多只提取 KeyFile 开头一兆字节(1MB)的内容进行处理。所以用太大的文件没意义(文件尺寸在几兆以内足矣)。
  综合考虑这几个因素,日常碰到的文件中,可以考虑用来做 KeyFile 的主要有:某些图片文件(比如 JPG、PNG、GIF、但不要用 BMP)、某些音乐文件(比如 MP3、WMA、但不要用 WAV)、各种压缩包(ZIP、7Z、RAR、TGZ、BZ2、等等)。
  上述这几类文件格式,其内容都是基于压缩的,所以“熵值”足够大,适合用于作 KeyFiles;俺特别注明 BMP 和 WAV 不适合作 KeyFile,因为这两种格式通常是不压缩滴。

◇让 TrueCrypt 生成 KeyFiles


  让 TrueCrypt 生成 KeyFiles,操作其实很简单——在 TrueCrypt 主菜单点“Tools”然后再点“KeyFile Generator”菜单项。会弹出一个对话框,你会看到里面有很多数字在自动变化。这时候你要随机并迅速地移动你的鼠标(因为 TrueCrypt 会通过鼠标位置进行采样,以增加随机性)。大约半炷香之后(时间越长,随机性越好),你就可以点对话框下面的“Generate and Save KeyFile”按钮,然后会弹出一个“文件保存对话框”,让你保存刚生成的 KeyFile 到某处。

下面是这种方法的优缺点分析。

  优点
  它生成的 KeyFiles 必定符合刚才所说的——具备足够好的加密效果。

  缺点1
  为了让“熵值”足够大,TrueCrypt 采用某种随机算法来生成 KeyFiles(对密码学感兴趣的同学可以参见 TrueCrypt 手册的“Random Number Generator”章节)。因为是随机生成的,所以这个 KeyFiles 几乎一定是全新的。
  这里的缺点在于,如果随机生成的 KeyFile 没做备份而且搞丢了,你就惨啦。口令忘了还可以使劲回忆,KeyFile 搞丢了基本上就没辙啦——加密盘就废了,再也打不开。

  缺点2
  TrueCrypt 生成的 KeyFile 都有个特点,文件大小固定是64字节。这就不利于隐蔽(关于 KeyFiles 的隐蔽性,下面会聊到)。

◇哪种方式比较好?


  对于普通的网友,使用方案1(现有文件作 KeyFiles)是比较合适滴。再次啰嗦一下,如果你使用现有文件,一定要按照前面说的经验,以确保你选择的 KeyFiles,其内容的“紊乱度”(熵值)足够大
  对于安全性有特殊需求的同学,可以考虑使用方案2(让 TrueCrypt 生成 KeyFiles)。这种方式有一些特殊的用处。比如在本文末尾有提到,还可以用来对付酷刑逼供哦。

★关于 KeyFiles 的存放


◇本机存储 VS 外部存储


  总的来说有两种方式存放 KeyFiles:
1. KeyFiles 跟加密盘在同一个电脑中
2. KeyFiles 跟加密盘不在同一个电脑中(比如放在外置的U盘)

  一般来说,第二种方式虽然稍微麻烦,但安全性更好——即使攻击者偷走你的电脑也拿不到 KeyFiles。
  如果你考虑用外置存储的方式放置 KeyFiles,手机是一个不错的选择。用手机存放 KeyFiles 有如下优点:
1. 手机总是随身携带
2. 如今大部分手机都支持 U盘模式

◇KeyFiles 的伪装和隐蔽


  前面说了,使用现有的文件当 KeyFiles,隐蔽性比较好。而且也说了,使用手机做外部存储比较好。
  下面就来说说,这种情况下,如何增加隐蔽性。

  以音乐文件为例
  很多人的手机上都会存放一些歌曲(比如MP3)。如果是智能手机,存储空间动不动就是几个 GB,可以轻松存放上千首(甚至上万首)歌曲。那么你可以从这些歌曲中挑选某几首,来作为你的 KeyFiles。挑选的歌曲最好是让你印象深刻的(可以是特别喜欢的,也可以是特别讨厌的)。这么干有如下几个优点:
1. 隐蔽性足够好(手机上存储音乐文件是很普通的,即使你被六扇门逮捕,朝廷走狗检查你的手机,也不会起疑心)
2. 印象深刻的歌曲,不容易记错。
3. 在成百上千首歌曲中挑选某几首歌曲做 KeyFiles,穷举的难度非常大(下面会提到)。

  虽然俺举的是音乐文件的例子,但在实际操作过程中,你可以自己变通一下——比如把音乐文件换成图片文件,效果也差不多。

◇KeyFiles 的个数


  前面说了,TrueCrypt 支持同一个加密盘用多个 KeyFiles。那么,KeyFiles 的个数设定为几个比较好捏?俺个人建议,设定为 5至10 个。
  增加 KeyFile 的个数,在某种情况下会加大攻击者的难度。还拿刚才那个例子来说事儿:
  假设你的手机上有一个音乐目录,里面有300首歌曲(这不算多),然后你任意挑选其中6个做加密盘的 KeyFiles。再假设攻击者(通过某种方式)知道你用这个目录里的音乐文件作 KeyFiles。那么攻击者就企图用穷举方式,尝遍该目录下所有文件的组合。那么他/她需要尝试多少次捏?
  因为攻击者并不知道你选择了几个文件,所以要先穷举1个文件的组合、然后是2个文件的组合、3个文件的组合......(直到穷举成功或放弃)
  如果俺没记错的话,计算排列组合总数,算式大概如下
300挑1的组合——这个不用算,就是300种
300挑2的组合——(300*299)/(2*1)
300挑3的组合——(300*299*298)/(3*2*1)
300挑4的组合——(300*299*298*297)/(4*3*2*1)
......
  从上面这个例子可以看出:当 KeyFiles 的数目略微增加,排列组合的总数会猛增到天文数字。但 KeyFiles 也不是越多越好——因为还要考虑自己遗忘或记错的风险。所以俺觉得,“5至10个”是一个平衡点。

★KeyFiles 的其它注意事项


◇要确保 KeyFile 的文件内容不变


  因为 TrueCrypt 是根据 KeyFile 的内容来生成认证信息。所以你一定要确保每一个 KeyFile 的文件内容不被修改。如果某个 KeyFile (开头1MB)的内容被改动过,下次你用这个文件登录,就会失败。
  (至于 KeyFile 的文件名和存放位置,可以随便改,没关系)

◇关于“默认 Key Files”


  TrueCrypt 有一个功能叫“Default KeyFiles”。使用这个功能,你可以指定某些文件作为默认的 KeyFiles。指定了之后,你每次打开某个加密盘,都会自动使用这些 KeyFiles 啦。

  优点
1. 提供了便捷性(不用每次打开加密盘都选择 KeyFiles)
2. 防止偷窥

  缺点及解决方法
1. 灵活性不够(所有的加密盘都会依赖于默认的 KeyFiles)。
2. 如果攻击者通过某种方式拿到你的 TrueCrypt 配置文件(位于 %APPDATA%\TrueCrypt 目录下的 Configuration.xml),就会知道你的默认 KeyFiles 放在哪个目录。

  要防止缺点1
  TrueCrypt 的配置文件是基于当前的操作系统用户。可以通过创建多个操作系统用户,来增加灵活性。

  要防止缺点2
  你可以在“默认KeyFiles”的基础上,再为某个加密盘额外指定额外的 KeyFiles。这样一来,即使攻击者知道你的默认 KeyFiles,也无法知道额外的 KeyFiles

★关于 KeyFiles 的高级用法


◇如何用 KeyFiles 应对酷刑逼供?


  本来这篇博文已经写完了。但是看到某读者在前一篇博文的留言,提到说:不管 TrueCrypt 的技术有多好,都无法对付酷刑逼供。所以俺再额外补充一个小节,说说“如何用 KeyFiles 应对酷刑逼供”。

  不管哪种酷刑逼供,要想得手都有一个前提条件——受刑的人确实知道某些信息。
  如果你的加密盘使用 KeyFiles 认证,并且这个 KeyFiles 是由 TrueCrypt 随机生成的。那么,只要你在被捕之前,能够来得及销毁 KeyFiles(包括其备份),之后的酷刑逼供对你就没有用了。因为 TrueCrypt 随机生成的 KeyFiles,连你本人也不知道文件内容。这种情况下,酷刑逼供是没有用滴。
  这个招数的难点在于:如何能够及时销毁 KeyFiles?关于这方面的讨论,属于“社会工程学”领域,已经超出了本文范围。所以俺就不展开了。

回到本系列目录

俺博客上,和本文相关的帖子(需翻墙)
TrueCrypt——文件加密的法宝
扫盲 VeraCrypt——跨平台的 TrueCrypt 替代品
文件加密的扫盲介绍
扫盲文件完整性校验——关于散列值和数字签名
版权声明
本博客所有的原创文章,作者皆保留版权。转载必须包含本声明,保持本文完整,并以超链接形式注明作者编程随想和本文原始地址:
https://program-think.blogspot.com/2013/08/truecrypt-2.html

50 条评论

  1. 回复
    1. 请大家参考:[url=http://www.bannedbook.org/forum23/topic2854.html]广东公安:TrueCrypt加密之后的取证方法[/url]

      删除
    2. TO 王禁书
      多谢分享六扇门针对 TrueCrypt 的取证方法。
      从这篇文章来看,朝廷的走狗在破解 TrueCrypt 方面也没啥新意。
      主要还是依靠:内存 Dump,植入木马、之类的招数。

      从目前安全界的研究现状看,对 TrueCrypt 的破解没有太好的方法。
      内存Dump 和 植入木马 都不是正宗的“破解”

      删除
  2. TrueCrypt 的开发者们有没有考虑增加自毁功能?虽然极端,却也是保护数据的一种方式。

    回复删除
    回复
    1. 关于“自毁功能”,在技术实现上是两难的。
      如果有了“自毁功能”,万一用户操作失当,可能会毁掉数据。

      删除
  3. 学习了 加油! 博主最近好勤奋啊,可惜没有《每周转载》。。。 :(

    回复删除
    回复
    1. 最近几个月,挖坑太多,来不及填。
      所以优先保证“原创博文”的发布。
      《每周转载》毕竟不是原创的。俺不转载,大伙儿也可以从其它途径看到。

      删除
  4. 博主啊!虚拟机隐匿公网ip的单虚拟机和双虚拟机方案都配置对了,ping通了。可是端口转发又给难住了,光猫怎么搞端口转发啊?关于端口转发你还没完善呢。

    另外把KeyFiles用隐写术藏进普通图片里额外加密备份到网盘安不安全呢?

    回复删除
    回复
    1. 顺便普及一下非对称加密和数字签名吧!PGP disk是商业的但gpg是开源的呀

      删除
    2. 实在来不及就砸电脑吧!谷歌blogger的留言太差劲了,不知道怎么贴图和修改刚发的留言,害我连发几条留言太麻烦了

      删除
    3. to 裆中央:我觉得要是一个人能来得及砸电脑的话,那他肯定来得及把keyfile销毁,砸电脑比删除几个文件费时多了。

      删除
    4. TO 裆中央
      俺上次的博文《[url=http://program-think.blogspot.com/2013/01/cross-host-use-gfw-tool.html]多台电脑如何共享翻墙通道[/url]》提到了两种端口转发的方式,你用的是哪种?
      另外,你能够 ping 通说,说明“主机可达”,但未必能说明“端口可达”
      建议再用 telnet 命令测试一下端口是否能联通。
      telnet 的命令格式如下
      telnet IP地址 端口号


      关于 KeyFiles 隐写到图片中,是一个不错的创意 :)
      主要是隐蔽性比较好,不易引起怀疑。

      删除
    5. TO 裆中央
      gpg(GnuPG)可以加密文件,但是没有加密磁盘(分区)的功能。
      目前开源而且跨平台的磁盘加密工具,TrueCrypt 是首选。

      关于 GnuPG,俺抽空也会普及。
      近期先把之前的欠债(TrueCrypt、保护隐私、TOR、TAILS、等)补上

      删除
  5. TrueCrypt对数据的操作都是在内存(RAM)中进行,因此软件不确定是否在计算机的内存中保存有密码、主密钥和一些未加密的数据。而最新的研究成果显示,即使计算机关机后,内存保存的资料,包括加密程序的安全锁和口令仍未消失,最长可能达数分钟之久,透过冷冻计算机记忆芯片,还可延长内存暂存资料的时间,普林斯顿大学一班计算机保安专家组成的研究小组组长-计算机科学家费尔滕解释:只要以液态氮(摄氏-196度)冷冻计算机芯片,即使电源已中断,内存仍可保持状态至少数小时。然后将芯片安装回计算机,就可读取里面的资料。

    4.4 在使用者机器上安装使用间谍或者监控程序,开机自动运行,利用键盘记录钩子记录TrueCrypt加载卷的密码。此外,还可以利用政策,社会工程学方法(如通过其他途径获得其他帐号密码或者其他方面的信息来分析加密文件的密码)等方式来获取密码,并注意是否可以获取隐藏卷的密码。
    博主这个怎么破?

    回复删除
    回复
    1. 新出的破解軟件,只能針對將密碼和KEY緩存在內存ing..

      删除
    2. TO 6楼的网友
      关于对 TrueCrypt 的“破解”,俺在1楼2单元有回复:
      目前对 TrueCrypt 的取证方法,要么是“内存Dump”,要么是“植入木马”。
      说白了都是偷取加密密钥,不是真正意义上的“破解”。

      到目前为止,还没有发现明显的漏洞可以[b]快速[/b]破解 TrueCrypt 加密盘。
      目前唯一能做的破解,就是暴力穷举(非常非常非常耗时)

      删除
    3. 俺在后续博文中,会专门介绍针对 TrueCrypt 软件本身的攻击方式,也会介绍朝廷六扇门对 TrueCrypt 的取证手法。

      目前对 TrueCrypt 的攻击都有完善的应对措施,
      使用 TrueCrypt 的网友完全不必担心 :)

      删除
  6. 我看过国外有一种主机,只要按下一个按钮就马上可以接通电流将电脑烧毁,有极端需求的同学可以试试这个东东。

    回复删除
    回复
    1. TO Cai Chunmin
      俺之前也在某个 Geek 网站上看到这款硬件。
      非常专业,直接用物理方式破坏存储介质。
      基本没法恢复 :)

      删除
    2. 我想买 哪里可以买得到?!

      删除
    3. TO 2单元的网友
      这款硬件属于高端需求,俺不知道天朝是否有卖。
      就算天朝有卖,也可能存在如下问题:
      1、销售点肯定很少(不论是线上还是线下)
      2、买家有可能被朝廷盯上(有这种极端需求的人,往往也是六扇门关注的对象)

      删除
  7. 博主應該多寫對付毒性拷打,誘供,逼供等的措施出來。

    回复删除
    回复
    1. 写了也是纸上谈兵吧...... 真经历过刑讯逼供的人只怕现在还在牢房里呆着呢......

      删除
    2. TO 草泥馬
      关于应对“刑讯逼供”,俺缺乏这方面的经验,不好写啊。

      删除
    3. 博主要是有經驗,咱就看不到這麽多好文章了,呵呵。

      删除
    4. 我也是想这么吐槽的

      删除
    5. TO 3单元的网友
      俺也一直在庆幸,至今没有落入朝廷走狗的手里 :)

      删除
  8. 我记得KeyFiles上一篇说的是1MB不是1KB,博主是不是笔误?

    回复删除
    回复
    1. 多谢提出质疑 :)

      请注意,俺博文的原话是:
      “虽然俺建议 KeyFile 至少超过 1KB,但并不是越大越好。因为 TrueCrypt 最多只提取 KeyFile 开头一兆字节(1MB)的内容进行处理。所以用太大的文件没意义(文件尺寸在几兆以内足矣)。”

      俺认为 1KB 是下限,小于 1KB,可能会导致“熵值不够大”。
      大于 1MB,没有意义。因为 TrueCrypt 只提取开头 1MB

      删除
  9. to 楼主:如何用truecrypt来创建多个随机keyfile的操作过程,以及生成文件的生成位置,还有如何将多个文件作为keyfile来用的操作过程,你都没有讲,我用了半天,还是创建不出来(或许是创建成功了但不知道文件在哪里),所以还是没有弄成像你说的那样,希望指点一下如何操作,truecrypt的使用手册是英文的,看不懂。

    回复删除
    回复
    1. 多谢提醒 :)
      考虑到某些网友对洋文界面不熟悉,俺刚才又把博文补充了一下,详细说明“生成 KeyFile”的操作过程

      删除
  10. to 楼主:gpg是一款优秀的开源非对称加密软件,希望你趁着写这个系列的时候顺便介绍一下这款软件的使用方法和使用场景,这样也可以进一步的提高大家维护信息安全的能力,了解更多关于加密的知识和技术。

    回复删除
    回复
    1. 多谢给俺提建议 :)
      前面 5楼 也有一位读者提出类似建议。
      请看俺在 5楼5单元 的回复。

      删除
  11. to 楼主:有六本电子书,我已经发给你了,邮件主题分别为"关于民主转型的书"、"批判中共统治新闻界的书"、客观评价各个年代的系列书籍"、"一本军事理论书籍"、"一本批判俄国共产主义文化的书",请查收一下,还有,顺便问一下,上次我发给你的那两本书看的如何了?

    回复删除
    回复
    1. 老熟人,你好:
      前几天已经收到这六本书。
      前几天也给你回信了。
      再次感谢你的大力支持 :)

      删除
  12. to 楼主:wingdows系统限制无效登陆的次数在哪里设置?

    回复删除
    回复
    1. 打错字了,应该是"windows系统",我的是win7的,也请介绍一下xp下如何设置

      删除
    2. 帐户锁定策略

      删除
    3. 对于 Vista 之前的系统(Win200、WinXP、Win2003)
      进入“控制面板”,进入“管理工具”。
      里面有一个“本地安全策略”

      对于 Vista 之后的系统(Vista、Win7)
      进入“控制面板”,进入“系统和安全”,进入“管理工具”。
      里面有一个“本地安全策略”

      删除
  13. to 楼主:如果要系统全面的学习密码学(是学习理论而不是应用软件),应当具备哪些基础?要看些什么书?

    回复删除
    回复
    1. 能否先说一下:你想“全面的学习密码学”,主要是为了啥?

      删除
    2. to 楼主:主要是为了彻底的了解现有算法的加密过程,并希望在学习之后能把一些自己的想法加入到算法里去,尝试开发一些新的算法。

      删除
    3. TO 2单元的网友
      如果你学习密码学是为了自己设计新算法,俺觉得必要性不大。
      因为如今已经有很多成熟的加密算法。适合于各种用途。
      你自己的设计的算法,(99% 以上的可能性)是无法超越现有的成熟算法。
      而且,要设计好的加密算法,对某些数学领域的要求很高。

      另外,在信息安全的保密性环节中,加密算法只是其中一环。
      光加密算法牛B,是远远不够滴

      删除
  14. 奇怪,以前那位沦陷区居民去哪里了,好久没看到他了,话说他转载的一些文章还是很值得读一下的。

    回复删除
    回复
    1. 沦陷区居民的文章,到哪里下载呢?我也看看。。。
      估计他发动沦陷区居民了,最近有点忙。祝平安!!!

      删除
    2. 其实在他的好多评论里面就有啊,不过都很长哦:-)

      删除
    3. TO 15楼的网友
      “沦陷区居民”确实有段时间没来了,不知道是啥原因。

      删除
    4. TO 1单元 和 2单元
      可以使用右侧栏的“博客站内搜索”,可以搜“沦陷区居民”发布的所有留言。

      删除