摘要： “会话标识未更新”是中危漏洞，AppScan会扫描“登录行为”前后的Cookie，其中会对其中的JSESSIONOID（JSP）或者 ASP.NET_SessionId（ASP）进行记录。在登录行为发生后，如果cookie中这个值没有发生变化，则判定为“会话标识未更新”漏洞。 阅读全文

摘要： 作为一个python的菜鸟，最近在用python读取html文件内容。由于文件本身存在乱码（应该是保存到本地产生的），所以使用以下代码读取时，读取到乱码处就无法返回了。html = open(filename).read()查找了stackoverflowhttp://stackoverflow.com/questions/7297220/cant-get-python-to-read-until-the-end-of-a-file说在python的帮助文档中有关于read()的说明（我没有找到）：Also note that when in non-blocking mode, less d 阅读全文

摘要： 说明如何在tomcat中配置日志记录X-Forwarded-For中的来源IP，并进行实验比较。 阅读全文

摘要： 最近一直刷新AppScan的下限，对于Appscan报出的中危漏洞“启用不安全的HTTP方法”。分析了其扫描机制，以及处理方法和绕开方法。如果不耐烦看分析过程，请直接跳到文章最后看处理方法。 0. 漏洞背景 “启用了不安全的 HTTP 方法”属于“中”危漏洞。漏洞描述是：根据APPSCAN的报告，APPSCAN通过OPTIONS请求，当响应中发现DELETE、SEARCH、COPY等方法为允许方法时，则认为是漏洞。 详见下图： Web服务器（以IIS为例）在没有任何设置是，使用OPTIONS命令，可以返回所有能够响应的HTTP方法，如OPTIONS, T... 阅读全文

摘要： 最近开发java控制台项目，由于用了第三方库，必须使用utf8字符。当然在开发环境eclipse下，显示是正常的： 但是windows的控制台，却是输出乱码。 虽然不改，程序逻辑是正确，作为偏执狂还是翻阅了各种资料： http://www.cnblogs.com/QQParadise/articles/1685177.htm http://dustin.iteye.com/blog/77551 网上各种文章，不是用chcp改变控制台编码，就是建议修改程序编码为GBK。 参考了stackoverflow的一篇文章，找到一种使用Windows内核API的方案... 阅读全文

摘要： 继【图解漏洞】图解跨站请求伪造（CSRF）原理，再整理了一幅图说明CSRF的原理。CSRFCS=Cross Site,跨站，从b.com发起RF=Request Forgery，利用已经验证的a.com的cookie，从b.com向a.com中的某个页面performclick.aspx发起页面的请求，由于在同一个浏览器中共享cookie，因此这个请求看起来像a.com自己发出的，因此是请求伪造。CSRF有一些特点：1 b.com是从前端攻击，即从用户的浏览器发起的，因为其他地方（例如b.com的后端）就无法通过共享cookie来伪造请求2可以伪造的请求，与a.com存在CSRF漏洞的页面有关 阅读全文

摘要： 图解漏洞之二：CSRF如何攻击的参考资料：https://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF)http://en.wikipedia.org/wiki/Cross-site_request_forgery 阅读全文

摘要： 根据百度百科的描述：XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意脚本代码，当用户浏览该页之时，嵌入其中Web里面的脚本代码会被执行，从而达到恶意攻击用户的特殊目的。XSS属于被动式的攻击，因为其被动且不好利用，所以许多人常忽略其危害性。为了向老板解释跨站脚本攻击（XSS）是什么，做了一张扫盲图，请按照编号阅读。参考wikipedia：http://en.wikipedia.org/wiki/Cross-site_scripting百度百科 ：http://baike.baidu.com/view/50325.htm 阅读全文

摘要： 为了测试漏洞，我在本地部署了一个站点，为http://localhost/app，并且有登录页面。但是尝试多次，都无法记录登录页面。此时尝试了在hosts文件中，自定义了一个域名127.0.0.1 mytest.com然后再次尝试“记录”登录 ，就成功了，这估计是localhost会被特殊对待，具体原因还有待查阅资料。若还无法记录登录请求的，请参见这里的官方说明：https://www-304.ibm.com/support/docview.wss?uid=swg21508423 阅读全文

摘要： 近日使用IBM Rational AppScan 8，发现在导出报告时，选择目录后运行完成，但是在目录中无法找到报告。在如下界面点击“保存报告”，但是在目标目录为空。经过反复试验，结论是如果出现此状况，很可能是因为选择了带空格的目录，因此导出为空（不会提示导出失败） ，只要导出在没有空格的目录就好了。 阅读全文