一个很鸡肋的目录遍历漏洞，不知道算不算是漏洞，前提条件是必须是子目录、开启了autoindex，并且alias指定目录的时候加了"/"，才能利用成功。这是因为配置不规范造成的

server {
    listen    80;
    server_name sebug.net;
    index index.htm index.html;
    root  /home/wwwroot/www;
    access_log off;
    location /paper {
           alias /home/wwwroot/paper/;
           autoindex on;
       }
}

注意 这里/home/wwwroot/paper/;  有个/

当你浏览http://sebug.net/paper/,正常情况应该遍历/home/wwwroot/paper/这个目录，但是如果访问http://sebug.net/paper../， 这个的话就会遍历/home/wwwroot/这个目录了

这个要利用，很有难度。nginx

最近有一台服务器被一些采集快拖死了，整了几天了，也没有找到比较好的办法来处理

下午无意中想到，能否让客户端必须先写入cookie或是加载js后，才能正常进入网站。因为爬虫或采集基本都不能正常写入cookie或加载JS

通过判断cookie的方式来进行一些限制，在用户打开站点时，写入cookie，然后通过cookie中的值来进行判断，如果不匹配就返回空，除开搜索引擎的爬虫，如果客户端无法写入这个cookie也就无法正常加载站点。测试下来基本ok，但是因为要在用户第一次打开的过程中写入cookie，就必然有一次跳转的动作，用户体验不是太好

还有就是通过AJAX的方式GET一个值给python，然后python进行验证，验证不通过则返回为空，这个我没测试，理论上是行得通的。我这暂时用了cookie的方式，虽然用户体验差了点，但至少能保证大部分真实用户的正常访问

不知道各位看官有没有什么比较好的办法？谢谢

BTW：这Firefox升级的太猛烈了，升级到8.0.1后，FCKeditor直接挂掉了，杯具，第一次用HTML写blog，NND，突然想起了《社交网络》，回归原始社会了哦，杯具，漏洞目录

主要是对开源WEB应用提供一个版本识别的工具(web应用指纹识别)

现在仅支持（后续将会持续跟进）：

• DedeCMS
• discuz
• phpcms
• php168
• ecshop
• shopex

测试地址：http://sebug.net/chweb/

感谢一些朋友们的帮忙，感谢

sebug web安全漏洞 top10

国内开源web程序安全风险 top10

更多数据参考漏洞分布/漏洞趋势分析

也来个top10，仅供参考，漏洞

最近看了些相关的东西，和一些朋友也研究了下

总结下，主要为4种模式：
1、网页中发现关键字
2、特定文件的MD5（主要是静态文件，不一定要是MD5）
3、指定URL的关键字
4、指定URL的TAG模式

参考：http://sebug.net/ssv/Web_Application_Finger_Printing

指纹识别的准确率主要看规则库是否够全面，扫描代码的效率是否够高，速度是否够快

个人拙见，欢迎拍砖，@dir

对于WEB的指纹识别，好像都是检查特定文件的MD5等来进行版本的识别，前面有见过Supterhei也是用类似的方式来实现了对DEDE的一些版本的识别

分析了下WhatWeb也是类似的方式来实现的，也问了些朋友，思路都比较类似，想了想也找不到别的什么思路

AppPrint好像主要是检查Banner的

各位看官有什么别的方式方法么 @ssv

希望各位看官能给些意见，感谢

sebug安全平台（网站安全体检中心）BETA版本上线了

前台：php+jquery

后台：Lua（引擎实现了分布式，可以集中调度）

当前任务数量：57
当前请求总数：417660
云端节点数量：3
云端队列分布：40% 40% 0%

测试地址 ：http://open.sebug.net/

现在仅仅是测试中，希望各位看官多多的提一些意见 @dir

这东西是把双刃剑，看你怎么用了

http://samy.pl/evercookie/
这其实就是一个给客户端打上永久标记

Specifically, when creating a new cookie, it uses the following storage mechanisms when available:
     - Standard HTTP Cookies
     - Local Shared Objects (Flash Cookies)
     - Silverlight Isolated Storage
     - Storing cookies in RGB values of auto-generated, force-cached
        PNGs using HTML5 Canvas tag to read pixels (cookies) back out
     - Storing cookies in Web History
     - Storing cookies in HTTP ETags
     - Storing cookies in Web cache
     - window.name caching
     - Internet Explorer userData storage
     - HTML5 Session Storage
     - HTML5 Local Storage
     - HTML5 Global Storage
     - HTML5 Database Storage via SQLite
 
    TODO: adding support for:
     - Caching in HTTP Authentication
     - Using Java to produce a unique key based off of NIC info