- 博客(20)
- 资源 (4)
- 收藏
- 关注
RSS订阅原创 utf-8 和 GBK ——字符集导致的浏览器跨站脚本攻击
这两个概念总是会在不经意之间又被提及，很遗憾的是，我总会忘记他们具体的内容。 这次当我这次需要了解字符集导致的浏览器跨站脚本攻击时，看到gb2312和GBK字符集在IE处理这些宽字符集的时候存在问题，可导致程序的一些安全规则被Bypass，引发严重的跨站脚本安全漏洞，又不甚理解，为什么UTF-8不会产生如此问题。 先讲下原因： 1 Bypass某些js的检查规则 〈HTML> 〈HEAD> 〈TITLE>80sec test〈/TITLE> 〈meta http-equiv="Co
2010-05-31 23:09:00
1132
原创 PCI 资料安全标准
2005年，维萨(Visa)、万事达卡(Mastercard)、美国运通、发现金融服务公司LLC和JCB等五家国际公司联合起草了支付卡行业(PCI)数据安全标准(DSS)。支付卡产业的各个参与机构均应该考虑实施符合性工作，即使是中小型的商户也应该考虑标准的符合性建设，特别是所有的商户（merchants）和服务提供商（Service providers）需要符合该标准的要求。各支付品牌（
2010-05-29 10:27:00
1468
原创 Web防火墙 WAF
第 1 章 背景及目的 1.1 背景 1.1.1 Web安全现状 随着互联网技术与应用的不断发展，新的互联网业务增长点与商业模式不断产生，已深入到社会经济、政治等各个层面。因此，各类组织所面临的Web 应用越来越复杂（如图1所示），安全问题以及衍生出的维护、管理问题也日益突出。 图1 web应用层环境 目前针对Web的攻击，主要包括黑客攻击、蠕虫病毒等，以及各种混合攻击，其对信息网络
2010-05-21 22:46:00
6840
1
原创 ESAPI WAF
这是OWASP ESAPI 项目提供的一个开源WAF，基于J2EE实现，其主要利用XML的配置方式驱动防火墙。安装时，在Web.xml中将ESAPIWebApplicationFirewallFilter配置为filter，在应用程序之前和之后处理输入和输入。 TheESAPI Web Application Firewall (WAF) is driven by an X
2010-05-21 22:02:00
2072
原创 代码签名 signcode.exe authencode
签名常用的四个软件makecert，cert2spc，signcode，chktrust 微软提供了专用的文件签名工具（Signcode.exe）。运行Signcode.exe 后，进入代码数字签名向导界面，按照界面提示即可完成数字签名。我们可以使用Windows命令程序chktrust.exe来查验已经签名的代码信息。对经过合法数字签名后的代码进行验证，其提示信息包括软件
2010-05-20 21:47:00
5922
2
原创 日志截断
详细见：http://www.webappsec.org/projects/articles/082905.shtml 日志截断导致用户访问日志中没有保留完整的url信息，因此黑客攻击将有可能被忽略。需要利用IIS等服务器中相关的插件或者是补丁，规定相关url信息的长度，对超长的url，服务器限制访问。
2010-05-20 00:03:00
539
转载 关于Domain Contamination
转自：http://www.webappsec.org/projects/articles/020606.shtml 文章中对于一些domain被劫持后恢复后依然可能存在攻击情况作了分析，如缓存在服务器和浏览器、代理服务器中的相关页面。文章提出了一些解决方案，比如，对于页面忽略某些header（if-modify-since等），这些主要是解决清缓存。或者邮件，邮件中通过下面的方式，解决浏
2010-05-19 23:54:00
484
原创 DOM-Based XSS
无论怎样，DOM 的XSS攻击需要小心再小心，最好能在客户端做一个过滤。 这个在服务器端解析时，竟然只能解析一个name？ http://www.vulnerable.site/welcome.html?foobar=name=alert(document.cookie)&name=Joe #号后面的某些浏览器传递不到服务器，但是在某些情况下，url解析后，恶意代码
2010-05-18 20:55:00
3245
转载 转义在防止SQL注入中依然不够
转自：http://www.webappsec.org/projects/articles/091007.shtml mysql_real_escape_string对于防止SQL注入还是不够的。对于某些参数的值来说，用引号包含起来是可以的。但是对于某些，比如columns, tables or databases，这些值不能用引号将值包含起来，鉴于mysql_real_escape_st
2010-05-17 21:28:00
2362
转载 双重签名
找到真不容易了。转帖：http://www.cfca.com.cn/zhishi/zhishi-001.htm 5.双重数字签名 定义：有的场合需要寄出两个相关信息给接收者，接收者只能打开一个，而另一个只需转送，不能打开看其内容。 (持卡人向商户提出订购信息的同时，也给银行付款信息，以便授权银行付款，但持卡人不希望商户知道自己的账号的有关信息，也不希望开户行知道具体的消费内容，
2010-05-15 15:32:00
6587
1
原创 YUI Compressor源代码分析
YUI Compressor是雅虎开发的JavaScript 、CSS的开源压缩工具。该工具的开发语言是Java，需要运行JRE1.4以上。YUI Compressor利用了Mozilla基金会提供的JavaScript引擎Rhino。JavaScriptCompressor.java是比较重要的文件，主要压缩流程都在这里。JavaScriptIdentifier.ja
2010-05-11 20:30:00
1226
原创 bat脚本 删除文件夹中 JS和CSS文件中注释
@set BB=5@rem echo off@echo 请输入文件夹地址@set /p filedir= @rem echo %filedir%@echo 请输入操作文件的类型, js或者css@set /p jscssflag= @if "%jscssflag%" == "js" goto jshandle@if "%jscssflag%" == "
2010-05-10 22:23:00
1384
原创 JSP中混杂HTML、JS、CSS删除各种代码注释
1.1 背景 前端页面往往混杂着JSP、HMTL、JS、CSS代码。这些代码都有着并不一致的注释方式。对于JSP和JS而言，其往往采用C语言是注释方式，如： 1 单行注释。插入单行注释的符号是“//”，举例如下： //********* Code; 2 多行注释。多行注释以"/*"开始，以"*/"结束，举例如下： /* ----------------- */ Code
2010-05-07 23:55:00
9196
1
原创 前端程序性能
关于前端性能的一个好东东，巨牛的yahoo YUI部门 http://developer.yahoo.com/performance/
2010-05-06 23:07:00
448
转载 ActiveX、OLE和COM
转自百度知道：http://baike.baidu.com/view/28141.htm OLE主要是符合文档技术 关于三个概念：ActiveX、OLE和COM 熟悉面向对象编程和网络编程的人一定对ActiveX、OLE和COM/DCOM这些概念不会陌生，但是它们之间究竟是什么样的关系，对许多人还是比较模糊的。 在具体介绍它们的关系之间，我们还是先明确组件（Componen
2010-05-06 22:47:00
441
原创 页面加载方式
页面是按照顺序加载的，对于同一个块，是一起加载的。貌似这是http方式加载页面的标准规定的。用chrome和IE测试了下。 代码一： test function f1() { f2(); alert("f1 done/n"); }f1(); function f2() { alert("f2 done/n"); }
2010-05-06 21:22:00
381
转载 windows 可执行文件 二进制程序机制
本文来自CSDN博客：http://blog.csdn.net/benny5609/archive/2008/06/09/2527838.aspx 操作系统中的文件是一种抽象的机制，提供了一种在磁盘上保存信息而且方便以后读取的方法。在Windows操作系统中，一个用户可以最直接体会到的文件的形式就是以.exe、.dll等为扩展名的可执行文件。伴随着Windows操作系统的不断进步，其可
2010-05-05 21:26:00
2643
原创 页面中几种方式不能用post的方式访问
页面中几种方式不能用post的方式访问top.location.href= "" "" 页面跳转Java sendRedirect
2010-05-05 21:09:00
621
转载 浏览器判断类型
各种浏览器user-agent字段的文章无论是32or64，各种内核，都能通过这个字段有所区别。 转自 http://msdn.microsoft.com/en-us/library/ms537503(VS.85).aspx http://blogs.msdn.com/ie/archive/2009/01/09/the-internet-explorer-8-user-
2010-05-04 20:46:00
500
原创 Mac本
周末小用了下Mac本。外表真是倾国倾城，很难不爱上它。苹果把用户体验做到了难以想象的好。无论是widget，亦或者muti-touch的支持，让人印象深刻。只是了解到的应用程序没有windows这样丰富。
2010-05-03 23:00:00
381
ThinkSNS源码下载
2009-11-01
sslstrip-0.2
2009-11-01
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人