摘要：
很久没有写东西了，一直要开始，一直没有动手，在线工具24mail推出有尽8个年头了，chacuo.net工具更新很少，期间经常收到一些朋友询问与咨询，对站点一些工具给与肯定，本身作为码农的我，线上很多工具都是来自于工作需求，想想码农的我需要使用，大家肯定也需要的。啰嗦了，今天介绍一款 最新工具 24log.chacuo.net 在线dump http request raw工具。先说说使用场景把，... 阅读全文
摘要：
Base64编码，是我们程序开发中经常使用到的编码方法。它是一种基于用64个可打印字符来表示二进制数据的表示方法。它通常用作存储、传输一些二进制数据编码方法！也是MIME（多用途互联网邮件扩展，主要用作电子邮件标准）中一种可打印字符表示二进制数据的常见编码方法！它其实只是定义用可打印字符传输内容一... 阅读全文
摘要：
做web开发，我们经常会做代码走查，很多时候，我们都会抽查一些核心功能，或者常会出现漏洞的逻辑。随着技术团队的壮大，组员技术日益成熟。 常见傻瓜型SQL注入漏洞、以及XSS漏洞。会越来越少，但是我们也会发现一些新兴的隐蔽性漏洞偶尔会出现。这些漏洞更多来自开发人员，对一个函数、常见模块功能设计不足，遗留下的问题。以前我们能够完成一些功能模块，现在要求是要安全正确方法完成模块才行。 接下来，我会分享一些常见功能模块，由于设计原因导致漏洞出现。下面，我们先看下，读取文件型功能漏洞。 我们先看下下面一段代码，通过用户输入不同目录，包含不同文件<?php///读取模块名称$mod = isset( 阅读全文
摘要：
看我上两篇，我们知道，上存漏洞常见有，文件名检测漏洞，还有就是文件格式检查漏洞。 另外还有个一个，就是保存文件存在漏洞。这类漏洞，主要是可以读取用户传入路径名称，采用不正确的过滤方法，导致恶意用户，将文件上存到非预期的地方，带来安全隐患。其实，我们抓住几个地方即可，我们先来分析下，既然用户要上存文件，而且文件将是多种多样格式；可能有的文件内容与用户传入格式不一致，有的文件内容还夹杂木马代码。 那么，我们让用户上存文件，跟站点文件做一个分别授权，做隔离。让保存上存目录独立开来，目录权限只读不能执行这一步从系统设计加以授权，无论你上次什么文件，都不可能执行到。就算我不做任何检测，你的文件都上存到这 阅读全文
摘要：
通过上一篇文章，我们知道wed上存漏洞，最常见一种是文件名检测漏洞，接下来，我们看看另外一种漏洞，上存文件类型漏洞，这也是一种较为容易出现问题。我当时就想，既然我知道我需要允许上存什么样的文件，那么，我就只允许你上存该文件。只要我文件类型判断准确了，你想上存能够执行的代码。我都给阻止掉，不就行了吗？ 这确实，是个好的方法，但是我们再做的时候，往往会出现下面一些问题。这里我们看下常见实现的php代码。 这里，常见两个问题是：1.读取文件type,直接做文件类型判断2.通过工具分析文件格式，以此来确认文件类型问题一：读取文件type，判断文件类型if(isset($_FILES['img& 阅读全文
摘要：
我们通过前篇：web上存漏洞及原理分析、防范方法学习，已经知道后端获取服务器变量，很多来自客户端传入的。跟普通的get,post没有什么不同。下面我们看看，常见出现漏洞代码。1、检测文件类型，并且用用户上存文件名保存if(isset($_FILES['img'])){ $file = save_file($_FILES['img']); if($file===false) exit('上存失败！'); echo "上存成功！",$file;}function check_file($img){ ///读取文件 if($img[ 阅读全文
摘要：
通过上一篇，获取用户Ip地址通用方法常见安全隐患(HTTP_X_FORWARDED_FOR)，我们已经意 识到直接从http_x_forwarded_for中读取用户IP，跟我们直接从一个get,post值中读取其实没有两样。web参数检测里面一个基本原则：“一切输入都是有害的”，因此，只要是输入我们就需要进行过滤。安全过滤后的getIP函数 function getIP() { $realip = ''; //设置默认值 if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) { $realip = $_SERVER[' 阅读全文
摘要：
分析过程这个来自一些项目中，获取用户Ip，进行用户操作行为的记录，是常见并且经常使用的。 一般朋友，都会看到如下通用获取IP地址方法。function getIP() { if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) { $realip = $_SERVER['HTTP_X_FORWARDED_FOR']; } elseif (isset($_SERVER['HTTP_CLIENT_IP'])) { $realip = $_SERVER['HTTP_CLIENT_IP']; } else 阅读全文
摘要：
我还是觉得自己开辟搭建一个独立blog平台，我常用linux服务器，因此选择php环境。 这样，我可以选择的开源博客系统会有很多。这里不对博客系统进行纵向对比。我说下，对wordpress认识过程，一些自己的体会。纯属代表个人意见，欢迎讨论！刚开始，下载一套wordpress 3.5，然后一路安装下来，比较简单，跟常见其它一些开源平台查不到。 只要配置好数据库连接，然后一路下一步，分把钟就可以做好。 也是由于，对wordpress 早已经有所耳闻，而且感觉它名气很大，这类系统中佼佼者。首先看看它数据库结构吧11张表，实现了强大的博客功能，首先表示不简单。现在很多cms 基本上都是40-50个表 阅读全文
摘要：
前言：作为工作比较久的人员，经常会带一些新人。 怎么样快速让新人能够上手，很够很快成长。是作为管理者需要考虑问题。 一个新人，成长快慢，除了自身因素外，他的导师传递知识方式方法，我认为非常重要。你是给他鱼，还是渔呢？ 好的方法，好的事例，能够听着轻松愉快。 其实，写一篇技术博客，表述你的思想，以此给人知识，也是一样道理。怎么样写好这篇博客，能够让读者轻松，愉快读完；又能收益，确实是门学问。以下是我一些观点，欢迎交流！如果感兴趣欢迎阅读另外一篇（写博客好处）1. 技术博客，站到读者角度去写技术类博客很常见，教大家某些软件、工具使用，然后读者可以图文结合，一步一步的做，最后成功了！我们会发现，现在 阅读全文