摘要：
XSF即Cross Site Flash。很多网站的Flash播放器都会有XSF风险，因为这些播放器需要能够灵活加载第三方Flash资源进行播放。不过这样的XSF风险其实非常小，因为浏览器直接访问Flash文件时，安全沙箱的限制是很严格的。所以，下面分析的nxtv flash player只需了解思路即可，这样的XSF漏洞在这样的场景下毫无价值，有价值的是思路。漏洞文件：http://video.nxtv.cn/flashapp/player.swf分析方法分为静态分析和动态分析。1．静态分析我们可以使用SWFScan图形化界面或者用swfdump命令行工具进行反编译得到ActionScrip 阅读全文
摘要：
浏览器的同源策略古代的楚河汉界明确规定了楚汉两军的活动界限，理应遵守，否则必天下大乱，而事实上天下曾大乱后又统一。这里我们不用管这些“分久必合，合久必分”的问题，关键是看到这里规定的“界限”。Web世界之所以能如此美好地呈现在我们面前，多亏了浏览器的功劳，不过浏览器不是一个花瓶——只负责呈现，它还制定了一些安全策略，这些安全策略有效地保障了用户计算机的本地安全与Web安全。注：计算机的本地与Web是不同的层面，Web世界（通常称为Internet域）运行在浏览器上，而被限制了直接进行本地数据（通常称为本地域）的读写。同源策略是众多安全策略的一个，是Web层面上的策略，非常重要，如果少了同源策略 阅读全文
摘要：
Cookie安全Cookie是一个神奇的机制，同域内浏览器中发出的任何一个请求都会带上Cookie，无论请求什么资源，请求时，Cookie出现在请求头的Cookie字段中。服务端响应头的Set-Cookie字段可以添加、修改和删除Cookie，大多数情况下，客户端通过JavaScript也可以添加、修改和删除Cookie。由于这样的机制，Cookie经常被用来存储用户的会话信息，比如，用户登录认证后的Session，之后同域内发出的请求都会带上认证后的会话信息，非常方便。所以，攻击者就特别喜欢盗取Cookie，这相当于盗取了在目标网站上的用户权限。Cookie的重要字段如下：[name][va 阅读全文
摘要：
6.6.2 常见的并发网络服务程序设计方案W. Richard Stevens 的《UNIX 网络编程（第2 版）》第27 章“Client-ServerDesign Alternatives”介绍了十来种当时（20 世纪90 年代末）流行的编写并发网络程序的方案。[UNP] 第3 版第30 章，内容未变，还是这几种。以下简称UNP CSDA方案。[UNP] 这本书主要讲解阻塞式网络编程，在非阻塞方面着墨不多，仅有一章。正确使用non-blocking IO 需要考虑的问题很多，不适宜直接调用Sockets API，而需要一个功能完善的网络库支撑。随着2000 年前后第一次互联网浪潮的兴起，业 阅读全文