by kxlzx
聚合采集器是个采集网站新闻,blog文章RSS的工具。
WEB2.0后,很多网站提供了RSS搜集功能。
之后,就有很多采集RSS的工具出现,著名的有很多“周博通采集器,GOOGLE采集器等”。
采集器通过对这些站点的RSS页面轮训,获得页面中某些固定数据。
一旦采集的程序没有对引进的内容过滤,可能导致XSS攻击。
[……]
by kxlzx
聚合采集器是个采集网站新闻,blog文章RSS的工具。
WEB2.0后,很多网站提供了RSS搜集功能。
之后,就有很多采集RSS的工具出现,著名的有很多“周博通采集器,GOOGLE采集器等”。
采集器通过对这些站点的RSS页面轮训,获得页面中某些固定数据。
一旦采集的程序没有对引进的内容过滤,可能导致XSS攻击。
[……]
前言
文章的开始,先诱惑下那些不研究applet的朋友。
Java Applet需要安装java环境才能执行。很多朋友不研究的主要原因,是自己认为普通上网用户不会安装java环境。但是大家真的知道目前都有哪些人安装了java环境么?你当然知道有这些人:“java开发人员”、“因工作需要使用java软件的人”,他们安装了java环境。但是你不知道的是,还有一群无辜的用户也在不知不觉中安装了。
中国使用盗版软件的人有多少?所有的人都在用(别误会,我不打击盗版)。那么你知道使用盗版操作系统的人有多少么,你知道盗版的操作系统是哪里来的么?经常安装操作系统的人,还有经常到电脑城挑盗版盘的人,都或多或少的听过以下这些名字:“雨林木风”,“番茄花园”,“电脑公司版”,“深度”等等。。。这就是那些研究如何让操作系统方便各种人群的使用,把操作系统制作成系统盘,供大家下载的一些人。而那些出盗版系统盘的商家,先从这些地方下载,之后经过刻盘,卖给普通用户。作者经过一些调查,了解到以下一些操作系统版本,自带JAVA环境:
雨林木风 ——- 集成微软 JAVA 虚拟机。
番茄花园 GHOST XP SP2 v 3.1 —– 集合 MS JAVA 虚拟机
深度GHOSTXP SP3快速装机专业版V9.0(NTFS) ———- 集成MSJAVA虚拟机
GhostXP SP3电脑公司完美特别修正版 v9.1 ——- 修正JAVA虚拟机不能启动的BUG
999宝藏网 GhostXP SP3 活力版 V3.0 ——– 微软 JAVA 虚拟机
电脑市场 GhostXP SP2装机版 v3.0
小路工作室 GhostXP P2008贺岁版[装机版]
深度技术 GHOST XP SP3 快速装机专业版 V8.1
。。。。。。
以上操作系统都附带java虚拟机,国内的操作系统安装盘最流行的,也就这几家了,都有一些版本在支持java环境。那么你现在再回答我,中国有多少机器上安装了java环境?
在作者以前的文章里曾说到,研究applet安全,至少能祸害一部分人。但是总有很多朋友不喜欢研究,好像这玩意大家都不用似的。任何一个Exp的成功率都不是100%,大家只想研究如何用别人的EXP去搞站,何不自己研究点实实在在的技术呢?几天前,在“刺”的blog上看到他说“国内好像没人关注GIFAR啊,我白辛苦码这么多字了”,深感痛心,国内的人都去做什么了?刚巧作者研究了一段时间applet的安全性,看到这个漏洞很兴奋。刺在自己的blog上发了两篇GIFAR的文章,作者跟帖讨论一直跟到50多篇,可是反过来看看,好像就我们两个人在讨论相关技术。原来是刺的文章写的太专业,大多数不了解applet的朋友可能看不太懂,为了让这个东西更普及,更菜鸟化,就有了这篇GIFAR详解。
[……]
【IT168专稿】引言
因为一个0day,让作者对java applet心血来潮,随着不断的失败,发现了一个又一个安全特性。本文提醒大家,除了activeX,还有这么一种东西,一旦出现了安全隐患,也会帮大家做些什么。如果你要找“0DAY”,请掠过;如果你要找“如何使用APPLET下载木马”,请看下集;如果你喜欢研究“applet可能存在的安全隐患 ”,请从这里开始。
[……]
今天过来星巴克体验下,饮料挺贵的、、、不过看在能上网的份上
谁知道这里居然是个电信的chinaNET,要帐号才能上
我没有帐号,无奈
发现上面有个免费体验30分钟
用手机发了个短信,果然可以上
于是每个朋友发了一遍
目前正在上网
有N个帐号了
死电信[……]
/文 空虚浪子心
web开发应用程序(网站),是目前应用最广泛的程序。但是开发者的水平参差不齐,导致了各种各样web漏洞的出现。本文站在分层架构的角度,分析一下如何在java web程序中找到经常出现的种种漏洞。
本文讨论的只是web程序上的漏洞,和其它漏洞,是相对独立的。这句话看似废话,实际上[……]
http://www4.it168.com/jtzt/shenlan/safe/ajax
专题:全面剖析ajax安全
IT168专题,以我写的文章为主做的。
小小的臭美下。。。哈哈![……]
作者:空虚浪子心
【IT168 专稿】关于Ajax的执行,开发人员是这样想的“Ajax要做到,在用户浏览网页时应该感觉不到的它的执行(异步),不需要等待页面刷新就可以自动完成验证数据”,比如用户名是否可以注册等。每当我想到“感觉不到的它的执行”这句话,就会联想到还有很多网络安全相关的东西([……]
来源:IT168 作者:空虚浪子心
【编者按】本文为了能够更为清晰的表述SQL注入在Ajax时代依然是安全隐患,在互联网上随机搜索到存在此类安全漏洞的网站。
这个例子也证明了SQL注入并非是Web1.0时代的专利,当新兴技术如Ajax发展促使互联网演进到2.0时代时,这种入侵方法依[……]