沉于思考,默默学习!

你不能预知明天,但你可以利用今天。你不能样样顺利,但你可以事事尽力!

  博客园 :: 首页 :: 博问 :: 闪存 :: 新随笔 :: 联系 :: 订阅 订阅 :: 管理 ::
  63 随笔 :: 0 文章 :: 692 评论 :: 0 引用

公告

2014年5月18日 #

摘要: Base64编码,是我们程序开发中经常使用到的编码方法。它是一种基于用64个可打印字符来表示二进制数据的表示方法。它通常用作存储、传输一些二进制数据编码方法!也是MIME(多用途互联网邮件扩展,主要用作电子邮件标准)中一种可打印字符表示二进制数据的常见编码方法!它其实只是定义用可打印字符传输内容一...阅读全文
posted @ 2014-05-18 23:04 程默 阅读(21838) 评论(0) 编辑

2013年6月6日 #

摘要: 做web开发,我们经常会做代码走查,很多时候,我们都会抽查一些核心功能,或者常会出现漏洞的逻辑。随着技术团队的壮大,组员技术日益成熟。 常见傻瓜型SQL注入漏洞、以及XSS漏洞。会越来越少,但是我们也会发现一些新兴的隐蔽性漏洞偶尔会出现。这些漏洞更多来自开发人员,对一个函数、常见模块功能设计不足,遗留下的问题。以前我们能够完成一些功能模块,现在要求是要安全正确方法完成模块才行。 接下来,我会分享一些常见功能模块,由于设计原因导致漏洞出现。下面,我们先看下,读取文件型功能漏洞。 我们先看下下面一段代码,通过用户输入不同目录,包含不同文件<?php///读取模块名称$mod = isset(阅读全文
posted @ 2013-06-06 22:56 程默 阅读(3539) 评论(3) 编辑

2013年6月5日 #

摘要: 看我上两篇,我们知道,上存漏洞常见有,文件名检测漏洞,还有就是文件格式检查漏洞。 另外还有个一个,就是保存文件存在漏洞。这类漏洞,主要是可以读取用户传入路径名称,采用不正确的过滤方法,导致恶意用户,将文件上存到非预期的地方,带来安全隐患。其实,我们抓住几个地方即可,我们先来分析下,既然用户要上存文件,而且文件将是多种多样格式;可能有的文件内容与用户传入格式不一致,有的文件内容还夹杂木马代码。 那么,我们让用户上存文件,跟站点文件做一个分别授权,做隔离。让保存上存目录独立开来,目录权限只读不能执行这一步从系统设计加以授权,无论你上次什么文件,都不可能执行到。就算我不做任何检测,你的文件都上存到这阅读全文
posted @ 2013-06-05 18:40 程默 阅读(884) 评论(0) 编辑

2013年6月4日 #

摘要: 通过上一篇文章,我们知道wed上存漏洞,最常见一种是文件名检测漏洞,接下来,我们看看另外一种漏洞,上存文件类型漏洞,这也是一种较为容易出现问题。我当时就想,既然我知道我需要允许上存什么样的文件,那么,我就只允许你上存该文件。只要我文件类型判断准确了,你想上存能够执行的代码。我都给阻止掉,不就行了吗? 这确实,是个好的方法,但是我们再做的时候,往往会出现下面一些问题。这里我们看下常见实现的php代码。 这里,常见两个问题是:1.读取文件type,直接做文件类型判断2.通过工具分析文件格式,以此来确认文件类型问题一:读取文件type,判断文件类型if(isset($_FILES['img&阅读全文
posted @ 2013-06-04 14:38 程默 阅读(952) 评论(0) 编辑

2013年6月3日 #

摘要: 我们通过前篇:web上存漏洞及原理分析、防范方法学习,已经知道后端获取服务器变量,很多来自客户端传入的。跟普通的get,post没有什么不同。下面我们看看,常见出现漏洞代码。1、检测文件类型,并且用用户上存文件名保存if(isset($_FILES['img'])){ $file = save_file($_FILES['img']); if($file===false) exit('上存失败!'); echo "上存成功!",$file;}function check_file($img){ ///读取文件 if($img[阅读全文
posted @ 2013-06-03 09:08 程默 阅读(831) 评论(1) 编辑

2013年5月31日 #

摘要: 通过上一篇,获取用户Ip地址通用方法常见安全隐患(HTTP_X_FORWARDED_FOR),我们已经意 识到直接从http_x_forwarded_for中读取用户IP,跟我们直接从一个get,post值中读取其实没有两样。web参数检测里面一个基本原则:“一切输入都是有害的”,因此,只要是输入我们就需要进行过滤。安全过滤后的getIP函数 function getIP() { $realip = ''; //设置默认值 if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) { $realip = $_SERVER['阅读全文
posted @ 2013-05-31 16:41 程默 阅读(3521) 评论(3) 编辑

2013年5月29日 #

摘要: 分析过程这个来自一些项目中,获取用户Ip,进行用户操作行为的记录,是常见并且经常使用的。 一般朋友,都会看到如下通用获取IP地址方法。function getIP() { if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) { $realip = $_SERVER['HTTP_X_FORWARDED_FOR']; } elseif (isset($_SERVER['HTTP_CLIENT_IP'])) { $realip = $_SERVER['HTTP_CLIENT_IP']; } else阅读全文
posted @ 2013-05-29 23:30 程默 阅读(32550) 评论(1) 编辑

2013年5月27日 #

摘要: 我还是觉得自己开辟搭建一个独立blog平台,我常用linux服务器,因此选择php环境。 这样,我可以选择的开源博客系统会有很多。这里不对博客系统进行纵向对比。我说下,对wordpress认识过程,一些自己的体会。纯属代表个人意见,欢迎讨论!刚开始,下载一套wordpress 3.5,然后一路安装下来,比较简单,跟常见其它一些开源平台查不到。 只要配置好数据库连接,然后一路下一步,分把钟就可以做好。 也是由于,对wordpress 早已经有所耳闻,而且感觉它名气很大,这类系统中佼佼者。首先看看它数据库结构吧11张表,实现了强大的博客功能,首先表示不简单。现在很多cms 基本上都是40-50个表阅读全文
posted @ 2013-05-27 11:27 程默 阅读(18183) 评论(4) 编辑

2013年5月24日 #

摘要: 前言:作为工作比较久的人员,经常会带一些新人。 怎么样快速让新人能够上手,很够很快成长。是作为管理者需要考虑问题。 一个新人,成长快慢,除了自身因素外,他的导师传递知识方式方法,我认为非常重要。你是给他鱼,还是渔呢? 好的方法,好的事例,能够听着轻松愉快。 其实,写一篇技术博客,表述你的思想,以此给人知识,也是一样道理。怎么样写好这篇博客,能够让读者轻松,愉快读完;又能收益,确实是门学问。以下是我一些观点,欢迎交流!如果感兴趣欢迎阅读另外一篇(写博客好处)1. 技术博客,站到读者角度去写技术类博客很常见,教大家某些软件、工具使用,然后读者可以图文结合,一步一步的做,最后成功了!我们会发现,现在阅读全文
posted @ 2013-05-24 00:32 程默 阅读(2048) 评论(0) 编辑

2013年1月17日 #

摘要: 前面的话 学习linux 的同人,都知道linux shell文本处理能力非常强大。有一组强大的文本处理工具:grep,sed,awk 。 其中grep 经常用作查找匹配文本、sed用作文本编辑替换、awk也是最强大的,经常用作报表生成! 它的处理效率非常高,一个几百M文件 ,也能在秒秒钟完成!查阅资料,你会发现它不光可以命令行快速处理文本。它还可以编写awk文件,使用自己专用的语法函数,实现非常...阅读全文
posted @ 2013-01-17 23:08 程默 阅读(20408) 评论(2) 编辑