手机浏览 RSS 2.0 订阅 膘叔的简单人生 , 腾讯云RDS购买 | 超便宜的Vultr , 免费部署 N8N 的 Zeabur 注册 | 登陆
浏览模式: 标准 | 列表全部文章

IIS下面的用户开权限

Submitted by gouki on 2008, September 2, 11:22 AM

IIS下面的用户开权限
1、新建一个用户，用户归属IIS_WPG组，其他组统统删光
2、建立目录，这个目录的权限统统删光，添加administrators组，和刚才建的用户
3、新建网站，网站的访问权限里，用刚才新建的用户和密码访问。

如果还需要用FTP的话，建议FTP的用户也加入这个组或者这个用户，否则，很有可能无法访问这个WEB目录

Tags: iis, web, 用户权限

Software | 评论:0 | 阅读:24905

让我吃惊的：phpinfo跨站脚本漏洞

Submitted by gouki on 2008, September 1, 11:42 PM

从未想过，phpinfo页面居然有这么大的漏洞，在我想来，这纯粹是一个输出页面，怎么会有漏洞呢？
看了（抽烟的蚊子）写的：http://item.feedsky.com/~feedsky/phpv/~1232318/86146146/1235221/1/item.html，我才知道，原来还有这种事。
原文如下：

漏洞说明： php是一款被广泛使用的编程语言，可以被嵌套在html里用做web程序开发。phpinfo()是用来显示当前php环境的一个函数，许多站点和程序 都会将phpinfo放在自己的站点上或者在程序里显示，但是phpinfo里存在一些安全问题，导致精心构造数据就可以产生一个跨站脚本漏洞，可以被用 来进行攻击。

漏洞成因： phpinfo页面对输入的参数都做了详细的过滤，但是没有对输出的进行charset的指定，而在一些浏览器里如IE7里，你可以让它自动选择编码或者通过一个iframe页面给它指定编码，这样就可以饶过phpinfo的过滤而产生一个跨站脚本漏洞。
漏洞来源: http://www.80sec.com/release/phpinfo-xss.txt
漏洞利用： 利用代码如下：


<html>
<head>
<META HTTP-EQUIV="CONTENT-TYPE" CONTENT="text/html; charset=UTF-7">
</head>
<body>
<iframe src="http://www.80sec.com/phpinfo.php?+ADw-SCRIPT+AD4-alert(document.domain);+ADw-/SCRIPT+AD4-=1">

以上代码在IE7+php 5.2.6测试成功。phpinfo页面的xss甚至比其他页面更加危险，因为如果有phpinfo的存在，恶意攻击者可以利用phpinfo的输出bypass如httponly和一些基础认证。

漏洞影响： 影响所有版本的php和浏览器IE7
漏洞修补： 建议暂时删除站点的phpinfo页面避免被人利用。

太吃惊了

Tags: 漏洞, xss, phpinfo, 脚本, 跨站

PHP | 评论:0 | 阅读:25797

开心网争车位

Submitted by gouki on 2008, September 1, 10:10 AM

当你的车越来越多的时候，是不是感觉车没地方停？没关系，你不是还有两个邻居嘛。。。看不到？没事。

Firefox的话是很方便，打开firebug，在控制台里输入：gotoneighbor(1);运行一下就行了。

IE的话，需要在地址栏里：javascript:gotoneighbor(1);void(); 有的需要void();，有的不需要，自己测试吧。

Tags: 开心网, 争车位, 查看, 隐藏, 邻居

Javascript | 评论:1 | 阅读:27436

图片自动缩放

Submitted by gouki on 2008, August 31, 12:12 AM

图片的大小在不受控制的时候，我们不得不写函数来进行控制，依稀记得目前所有的jQuery图片处理函数里都有类似的函数了。但我在看到网上有人写了这个resize函数之后。不禁还是拿回来加工处理一下。以便以后随时可用。
函数如下：

JavaScript代码
  1. var MAX_WIDTH   = 100;  
  2. var MAX_HEIGHT  = 75;  
  3. function resizeImage( source_image , max_width , max_height){  
  4.     var image = new Image();  
  5.     image.src = source_image.src;  
  6.     if (!max_width || parseInt(max_width) <= 0){  
  7.         max_width = MAX_WIDTH;  
  8.     }  
  9.     if (!max_height || parseInt(max_height) <= 0){  
  10.         max_height = MAX_HEIGHT;  
  11.     }  
  12.     //开始检查图片  
  13.     if(image.width > 0 && image.height > 0 ){  
  14.         var image_rate = 1;  
  15.         if( (max_width / image.width) < (max_height / image.height)){  
  16.             image_rate = max_width / image.width ;  
  17.         }else{  
  18.             image_rate = max_height / image.height ;  
  19.         }  
  20.         if ( image_rate <= 1){  
  21.             source_image.width  = image.width * image_rate;  
  22.             source_image.height = image.height * image_rate;  
  23.         }  
  24.     }  
  25.       
  26. }  

用法很简单，js代码在文件头部加载后，如果遇到有图片需要缩放的，直接在<img>标签里加上：onload="resizeImage(this,300,200);"这样的代码。就可以自动缩小了。
目前并没有加上放大。
当然，我之所有转载并优化这个函数，是因为我想用在jQuery里面的。在使用jQuery的时候，必须把代码放在footer里才行。
代码如下：

JavaScript代码
  1. $('img[@class=test]').load(function(){  
  2.     resizeImage(this,300,200)  
  3. })  
  4. //[@class=test]代表了凡是图片的class是为test的，都将执行这个“自动缩放”函数，当然你也可以用其他的来代替，比如[@name=test]，则代表了如果img标签里，name=test的图片都将执行这个图片缩放程序。  

放大等以后有空再写，本来想写成jQuery的插件的。可是想想好象意义不大。。。

Tags: image, onload, autoresize, rate

Javascript | 评论:7 | 阅读:31588

用PHP取得文件后缀名

Submitted by gouki on 2008, August 30, 10:45 PM

上传的时候，判断文件后缀名，然后再同时生成复杂名字的时候，总是会有烦恼，也确实是，使用PHP取文件后缀名的方法太多了。。这里稍列几个

1、

利用 pathinfo 函数
  1. <?php  
  2. $urlname = 'http://www.neatcn.com/attachment/test.gif';  
  3. $path_info = pathinfo($urlname );  
  4. echo $path_info['extension'];  
  5. ?>  
2、discuz里面利用strrchr取得后缀名
PHP代码
  1. function fileext($filename) {  
  2.     return trim(substr(strrchr($filename, '.'), 1, 10));  
  3. } 
  4. //个人建议在$filename上加上basename()，这样可以对路径也处理一下
3、利用end函数
PHP代码
  1. $filename = 'http://www.neatcn.com/attachments/test.gif';  
  2. echo(end(explode(".",$filename )));//split之类的都可以  
最早以前判断都是判断strpos取得最后一个.的所在位置，现在都用strrchr了，毕竟它可以安全的操作二进制文件。

还可以通过finfo::file($filename);来取得文件的类型，然后再进行处理，不过。这已经不算是取文件名了。

大至是以上三种，其他一些方法类似的就不一一列出了

Tags: 文件, 后缀名, basename, pathinfo, end

PHP | 评论:0 | 阅读:37571

Records:3137«‹577578579580581582583584585586›»