Q-Zone跨站入侵漏洞的详细分析与利用
[ 2006-04-08 15:38:29 | 作者: admin ]
技术点：CSS跨站漏洞 用户输入过滤方式 修改IE提交数据 跨站盗取COOKIE
前不久，腾讯新推出的网络空间“Q-ZONE”暴出了存在跨站漏洞，很难想象，一项新推出的业务居然如果脆弱，不由不让人佩服腾讯的开发能力，下面便我们来了解一下“Q-ZONE”的这一跨站漏洞吧。
Q-Zone跨站漏洞的分析
1、Q-Zone对用户输入的过滤
进入Q-Zone后，依次点击“设置→空间设置→QQ空间名称”，在这里将可以修改空间的显示名称。如果我们写入一段可执行的脚本代码，只要过滤不严格的话，同样会被保存在首页中，通过调用执行代码，达到攻击浏览者的目的。下面我们先测试一下这个输入框中能否写入跨站脚本：
在“输入空间名称”输入框中输入上面的代码“<script>alert("测试")</script>”时，发现在输入框中限制了输入字符的长度，总共只能输入24个字符。而且当我们输入许可长度的代码，点...
阅读全文…
前不久，腾讯新推出的网络空间“Q-ZONE”暴出了存在跨站漏洞，很难想象，一项新推出的业务居然如果脆弱，不由不让人佩服腾讯的开发能力，下面便我们来了解一下“Q-ZONE”的这一跨站漏洞吧。
Q-Zone跨站漏洞的分析
1、Q-Zone对用户输入的过滤
进入Q-Zone后，依次点击“设置→空间设置→QQ空间名称”，在这里将可以修改空间的显示名称。如果我们写入一段可执行的脚本代码，只要过滤不严格的话，同样会被保存在首页中，通过调用执行代码，达到攻击浏览者的目的。下面我们先测试一下这个输入框中能否写入跨站脚本：
在“输入空间名称”输入框中输入上面的代码“<script>alert("测试")</script>”时，发现在输入框中限制了输入字符的长度，总共只能输入24个字符。而且当我们输入许可长度的代码，点...
阅读全文…
Win2003 下不支持flv，mp4，f4v文件的在线播放提示404问题，iis缺少mime
[ 2006-04-08 15:34:43 | 作者: admin ]
FLV格式文件上传服务器后不能播放因为国内大多都是Win2003的主机.默认是没有指定输出FLV这种格式的虽然FTP里面可以看见,但无法通过http访问,也就无法播放了.
[原因：WIN2003加强了IIS6的MIME验证，一切未注册扩展文件格式统统显示404错误。手动在IIS中HTTP头->MIME添加MIME影射关系，MIME类型: video/x-flv 扩展名:.flv，即可通过Flash7+客户端Load进来播放]
[办法解决“虚拟主机都不支持Flv格式文件”的问题：比如你的Flv文件名称是a.flv,在虚拟主机上建一个名为“a.flv”的目录，在此目录下放你的Flv格式文件，将其改名为：index.htm,这样就行了，播放器中的文件名保持原样不动 ]
mime常见格式
阅读全文…
[原因：WIN2003加强了IIS6的MIME验证，一切未注册扩展文件格式统统显示404错误。手动在IIS中HTTP头->MIME添加MIME影射关系，MIME类型: video/x-flv 扩展名:.flv，即可通过Flash7+客户端Load进来播放]
[办法解决“虚拟主机都不支持Flv格式文件”的问题：比如你的Flv文件名称是a.flv,在虚拟主机上建一个名为“a.flv”的目录，在此目录下放你的Flv格式文件，将其改名为：index.htm,这样就行了，播放器中的文件名保持原样不动 ]
mime常见格式
.flv 的MIME类型 application/octet-stream
...阅读全文…
杀毒软件：AVG
以前用的是Norton AV，安装后速度的确有一定影响。直到去年：Ralph介绍使用免费的AVG，的确能查出一些Norton查不出来的木马程序，而且自动更新的速度也很快。
下载地址：http://free.grisoft.com/doc/Get+AVG+FREE/lng/us/tpl/v5
以前用的是Norton AV，安装后速度的确有一定影响。直到去年：Ralph介绍使用免费的AVG，的确能查出一些Norton查不出来的木马程序，而且自动更新的速度也很快。
下载地址：http://free.grisoft.com/doc/Get+AVG+FREE/lng/us/tpl/v5
浮动框架iframe的src控制
[ 2006-04-06 17:09:42 | 作者: admin ]
dvbbs论坛在升级到7.1.0 Sp1后无法注册了
[ 2006-03-23 18:58:06 | 作者: admin ]
question:论坛在升级到7.1.0 Sp1后无法注册了，注册时候提示为：
Microsoft VBScript 运行时错误 错误 '800a01a8'
缺少对象: 'XMLDom.documentElement'
/bbs/reg.asp，行 164
answer: 后台 注册过滤字符 提交一下设置就可以了。
Microsoft VBScript 运行时错误 错误 '800a01a8'
缺少对象: 'XMLDom.documentElement'
/bbs/reg.asp，行 164
answer: 后台 注册过滤字符 提交一下设置就可以了。
我一直在问自己为什么用vc，而不用borland的delphi,bcb呢
那一天我突然明白了，因为borland太复杂，变化太多，控件太多，我看不过来，我眼花缭乱，所以在头痛前还是用了vc.
我要用vc做什么呢，数据库应用吗，哈哈，是的，或许一开始我只是想用这个，但是现在我也不知道，学的越多就越觉的在vc中迷失，在mfc-atl-stl的过程中迷失了.
不过有一点，做com还是得用vc
那一天我突然明白了，因为borland太复杂，变化太多，控件太多，我看不过来，我眼花缭乱，所以在头痛前还是用了vc.
我要用vc做什么呢，数据库应用吗，哈哈，是的，或许一开始我只是想用这个，但是现在我也不知道，学的越多就越觉的在vc中迷失，在mfc-atl-stl的过程中迷失了.
不过有一点，做com还是得用vc
网络这个玩意应该在虚幻中度过，和底片一个性质，一旦过分真实就会暴光，惹上无尽的麻烦。
Blog这个东西也是，如果大家都知道你是现实中的哪个人，你还会写真实的自己吗，当然要穿上厚厚的一个太空服，换个大面具，写着违心的话，哈哈，这就是现实。
2005年，中国blog如火如荼，全民bloger。sina好象也乘机拉点人气了，搞什么名人blog,到底是不是他们自己写的就无从知道了。但是一旦成为周知人物，那么就没有什么意味了，心理话当然是不会说的，无非说点琐事，评价一下大事而已，自己在想什么又怎么可能会说出来，blog本来应该是日记，但是现在它不是了，因为大家都在看。大家都可以看的东西，你认为它是日记吗？里面会有真实的东西吗？从一个名人的blog中，你绝对看不到对。。。不利的东西，没有什么对自己有伤害的东西，不会有什么感情世界，这就是非日记的效果。
...
阅读全文…
Blog这个东西也是，如果大家都知道你是现实中的哪个人，你还会写真实的自己吗，当然要穿上厚厚的一个太空服，换个大面具，写着违心的话，哈哈，这就是现实。
2005年，中国blog如火如荼，全民bloger。sina好象也乘机拉点人气了，搞什么名人blog,到底是不是他们自己写的就无从知道了。但是一旦成为周知人物，那么就没有什么意味了，心理话当然是不会说的，无非说点琐事，评价一下大事而已，自己在想什么又怎么可能会说出来，blog本来应该是日记，但是现在它不是了，因为大家都在看。大家都可以看的东西，你认为它是日记吗？里面会有真实的东西吗？从一个名人的blog中，你绝对看不到对。。。不利的东西，没有什么对自己有伤害的东西，不会有什么感情世界，这就是非日记的效果。
...
阅读全文…
无论谁都没有办法不说，马云基本已经算是个成功的cxo了！
他成功的创办了alibaba.com和taobao.com。
马云有一次在看电视的时候看到诚信315，便立即打出了诚信通并建立贸易通，此举让alibaba在b2b站稳了脚跟，b2b终于逐步走向垄断了。为了把客户从eachnet的手心里抢过来，大打不败的免费仗，并构建taobao旺旺，即时通讯工具wangwang使taobao的人气彪升，远超ebay,ebay老商家也因为价格成本和客户交流的难易问题逐步流向taobao.从我个人看来，免费和旺旺让ebay永远不能翻身,c2c终于逐步走向垄断了。我个人感觉马云是个不喜欢权利分流的人，喜欢把控制权都掌握在自己的手中，对所有的事情都想要一个全盘的把握，所以他并不喜欢渠道这个方式，这从他诚信通的推广可以看出来，虽然不少专业渠道商对此感兴趣，但马云不为所动，宁可少占领市场，也不希望市场出现价格混乱，渠道纷争的局面。
...
阅读全文…
他成功的创办了alibaba.com和taobao.com。
马云有一次在看电视的时候看到诚信315，便立即打出了诚信通并建立贸易通，此举让alibaba在b2b站稳了脚跟，b2b终于逐步走向垄断了。为了把客户从eachnet的手心里抢过来，大打不败的免费仗，并构建taobao旺旺，即时通讯工具wangwang使taobao的人气彪升，远超ebay,ebay老商家也因为价格成本和客户交流的难易问题逐步流向taobao.从我个人看来，免费和旺旺让ebay永远不能翻身,c2c终于逐步走向垄断了。我个人感觉马云是个不喜欢权利分流的人，喜欢把控制权都掌握在自己的手中，对所有的事情都想要一个全盘的把握，所以他并不喜欢渠道这个方式，这从他诚信通的推广可以看出来，虽然不少专业渠道商对此感兴趣，但马云不为所动，宁可少占领市场，也不希望市场出现价格混乱，渠道纷争的局面。
...
阅读全文…
