拍拍尘土

@在c#中为强制不转义 的符号,在里面的转义字符无效
string str1 = "abc\n"; // 这里\n当然默认转为换行符
string str2 = @"abc\n" // 这里\n不自动转为换行符号,相当于 str2 = "abc\\n"

ps:原来vs.net默认就支持单字符串分行写,不过ide不支持这种语法的排版.
string str1 = "aaaa
                    bbbb
                    ccccc";

（作者：刘彦青编译　2001年02月28日 13:51）

　　多少年来，许多的编程语言和工具都包含对规则表达式的支持，.NET基础类库中包含有一个名字空间和一系列可以充分发挥规则表达式威力的类，而且它们也都与未来的Perl 5中的规则表达式兼容。

　　此外，regexp类还能够完成一些其他的功能，例如从右至左的结合模式和表达式的编辑等。

　　在这篇文章中，我将简要地介绍System.Text.RegularExpression中的类和方法、一些字符串匹配和替换的例子以及组结构的详细情况，最后，还会介绍一些你可能会用到的常见的表达式。

应该掌握的基础知识
　　规则表达式的知识可能是不少编程人员“常学常忘”的知识之一。在这篇文章中，我们将假定你已经掌握了规则表达式的用法，尤其是Perl 5中表达式的用法。.NET的regexp类是Perl 5中表达式的一个超集...

阅读全文…

oblog3.12的一个跨站漏洞

议题作者：虫虫
信息来源：邪恶八进制信息安全团队（www.eviloctal.com）

还是首次在这里发主题,格式不知道对不对.见谅!

最近在分析OBLOG的漏洞,分析中发现oBlog的过滤还是做的不错的.
发文章的页面把Flash和script也过滤掉了,手动发送也貌似不可以.(实验还没有做的很彻底)
但是可以使用一个小技巧,使其存在跨站的漏洞.做法就是这样:

CODE:
<IMG SRC="JAVA&115;CRIPT:ALERT('HAHA');"></IMG>
[Copy to clipboard]

这样就能绕过过滤,使脚本执行..
当用户浏览该文章的时候,就会在其浏览器上运行这段代码.至于能实现什么功能想各位也能想到.

如果能够在首页上也插入一段代码使其被执行的话危害会更大,但是我还没有找到这种方法.
解决方法还没有写,因为还在寻找在首叶跨站的方法.
...

阅读全文…

IIS4和5的 内幕
Internet Information Services 有问必答，可以回答有些限制和一般遇到的问题，非常不错了
https://www.netscum.dk/china/technet/community/columns/insider/default.mspx


微软的iis技术支持在这里，看别人不如直接看微软的东西，比较详尽
http://msdn.microsoft.com/library/default.asp?url=/library/en-us/dnanchor/html/anch_iis.asp

关于 sp_dropextendedproc
在 SQL Server 2005 中，sp_dropextendedproc 不会删除系统扩展存储过程。但系统管理员应拒绝 public 角色对扩展存储过程的 EXECUTE 权限。在 SQL Server 2000 中，sp_dropextendedproc 可用于删除任何扩展存储过程。


关于 xp_cmdshell
SQL Server 2005 中引入的 xp_cmdshell 选项是服务器配置选项，使系统管理员能够控制是否可以在系统上执行 xp_cmdshell 扩展存储过程。默认情况下，xp_cmdshell 选项在新安装的软件上处于禁用状态，但是可以通过使用外围应用配置器工具或运行 sp_configure 系统存储过程来启用它，如下面的代码示例所示：
...

阅读全文…

p.s.在开始之前，如果服务器是阿里云服务器，您需要先将计算机名全部改大写字母，不然安装sql2000会报错。

win2003作为Web服务器安全配置的内容步骤如下：

配置之前安装好全部服务器软件（sql+sp4 / serv-u / 诺顿 / iis6+php5+fastcgi），然后升级好补丁。

1 修改远程桌面终端服务默认端口号：3389
更改原因：不想让非法用户连接到服务器进行登录实验。当这台服务器托管在外时更不希望发生这种情况，呵呵，还没忘记2000的输入法漏洞吧？
更改方法：
　　(1)、第一处[HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Control \ Terminal Server \ Wds \ ...

阅读全文…

Scripting.Dictionary 依赖 %systemroot%\system32\scrrun.dll 组件,

所以当我们把fso静止调了,那么Scripting.Dictionary 也无效了,但是现在的客户都用这个组件,也没有办法.

今天有客户反映图片上传问题,经查看是 guests组无scrrun.dll的访问权限,而他的程序就用倒了Scripting.Dictionary, 加上guests的访问后解决问题.

cacls %systemroot%\system32\scrrun.dll /e /d guests //禁止guests使用 fso
cacls %systemroot%\system32\scrrun.dll /e /g guests //启用guests使用 fso

对于不支持Scripting.Dictionary,还有替代办法,下面是各例子
...

阅读全文…

有客户反映登陆成功,但提示过期,我看了下时间正确,客户机没有问题,
再仔细看服务器设置,果然将缺省的应用程序池中的 web园设置成了2,立刻该为1,搞定.