08月 16th, 2008
今天在我的QQ好友里头，发现一个不认识的，于是聊起，原来是做风险评估、渗透测试的哥们。
由于我也有过一次风险评估的经验，所以聊的还算可以。看到他BLOG上一篇关于渗透测试的文章，写的不错，看来风险评估就是要报告写的好，就算没有检测出漏洞也要写的专业，呵呵。
下载了Acunetix Web Vulnerability Scanner企业版试用，感觉还不错，虽然第一次用英文有些陌生，但多用几次就好，其实里面的功能真的还挺多的，显的非常专业。
提供破解版下载地址（用迅雷下载）：thunder://QUFodHRwOi8vc3RlbDEuMzgwMGhrLmNvbS8yMDA4MDMvMDgwMzA3dnVsbmVyYS5yYXJaWg==
最常见的功能就是扫描，它分析页面链接最后形成一个目录结构，如果有页面错误会有提示的；有一个功能HTTP Fuzzer，不太会用；有一个Authentication tester功能，主要是用字典来匹配用户名和密码进行登录测试，但是大多数系统都有验证码，所以这个功能要是能加上验证码识别功能就好，或者加个插件功能来支持更多的系统。
另外，这些功能都是可以配置的，甚至软件本身的工作方式也可以配置，比如代理、数据库、证书等。
关于检测SQL Inject以及XSS这块，目前还没看到，或者我还不太会用这个东西：）
Tags:
WEB安全, 渗透测试, 风险评估 Posted in WEB安全 3 Comments »
08月 16th, 2008
在南通，路过一个报刊亭，发现有黑客防线三四本，买了两本没买过的，回宾馆的路上感想颇多。
火影忍者，黑客防线，刘德华，这些年来都一直影响着我，与我的生活发生着许多的联系。
回到深圳，稍做休息，想不到周六被一个突然的想法给打乱，分析了一套系统，名字不写在Blog上：）
漏洞1 ：防注入系统背后的SQL注入漏洞
顺手测试SQL注入漏洞，发现有防注入，现在的代码算是比两年前安全许多了，嘿嘿，开心，有挑战，看到了传说中的防注入系统代码：
（代码略）
不知道大家看到会做如何感想，呵呵，反正我是看到了两个可以突破的地方（Post,Get,Cookie），经过实践证明，由于该系统代码比较特殊，我只成功利用了一个办法实现手工注入（必须手工）。
漏洞2：懒人与木桶原理之XSS漏洞
页面里输入字符的地方，只做了一部分过滤，其它的没有过滤，所以产生了XSS漏洞。
漏洞3: 真假假真之or登录漏洞
sql=”select * from db_system where username=’”&trim(request(”username”))&”‘ and Password=’”&md5(trim(request(”Password”)))&”‘”
SQL语句中,and or的优先级是先and再or，所以要成功利用，必须要构造 前面为真的语句。
漏洞4：webeditor在线编辑器补遗
已经很安全了，但是如果默认密码不改的话，会被人下黑手的：）
好了，就写这么多吧，更详细的有点懒得写，嘿嘿。
Tags:
access, asp, WEB安全 Posted in WEB安全 No Comments »
08月 9th, 2008
所有的事情，都在我脑海里转啊转啊。
实在是有些对不住，要好好反省，好好反省。
还是看实际行动吧。
allwaysync，找到一个对文件同步有用的东西。
于江苏南通 14:34 2008-8-9
Posted in 无知的我 No Comments »
05月 27th, 2008
这几天在弄MSI这东东，好不容易整个msi的安装包出来，在虚拟机测试通过，在本机运行，却发现机器出问题了，打开IE也弹出installer服务需配置，取消又无法取消。重启之后，在加载桌面之前也会弹出这个东东，烦。
WinPE盘引导进去，命令行下
msiexec /unregserver
重启机器正常进入，不会再有啥错了。
发现机器上的msi文件都是不能识别的了，手工修改文件打开关联，双击提示无法访问installer服务，嘿嘿，忘了一命令
msiexec /regserver
搞定。
PS：这中间还装了个windows installer 3.1的补丁。感觉这两个命令没必要用到PE光盘引导进去吧，下次再遇到再试下：）
Tags:
Windows技术 Posted in Windows技术 2 Comments »
05月 27th, 2008
随手贴上来，备忘。
开启磁盘的延缓写入，也就是所谓的写入缓存功能。在设备管理器，选中磁盘右击属性，策略－－启用磁盘上的写入缓存。
有时候会遇到延缓写入失败问题，请参考http://blog.sina.com.cn/s/blog_3daf245001009edx.html
Tags:
Windows技术 Posted in Windows技术 No Comments »