技术相关

基于用户投票的排名算法

amxku 发表于 2012-04-21, 14:39

阮一峰的基于用户投票的排名算法系列

基于用户投票的排名算法（一）：Delicious和Hacker News

基于用户投票的排名算法（二）：Reddit

基于用户投票的排名算法（三）：Stack Overflow

基于用户投票的排名算法（四）：牛顿冷却定律

基于用户投票的排名算法（五）：威尔逊区间

基于用户投票的排名算法（六）：贝叶斯平均

发表在: 技术相关 2 条评论阅读 265 次

nginx 配置错误而导致目录遍历漏洞

amxku 发表于 2011-12-26, 20:38

一个很鸡肋的目录遍历漏洞，不知道算不算是漏洞，前提条件是必须是子目录、开启了autoindex，并且alias指定目录的时候加了"/"，才能利用成功。这是因为配置不规范造成的

server {
    listen    80;
    server_name sebug.net;
    index index.htm index.html;
    root /home/wwwroot/www;
    access_log off;
    location /paper {
           alias /home/wwwroot/paper/;
           autoindex on;
       }
}

注意这里/home/wwwroot/paper/; 有个/

当你浏览http://sebug.net/paper/,正常情况应该遍历/home/wwwroot/paper/这个目录，但是如果访问http://sebug.net/paper../，这个的话就会遍历/home/wwwroot/这个目录了

这个要利用，很有难度。nginx .

关键词: nginx

发表在: 技术相关 4 条评论阅读 1013 次

邪恶的采集

amxku 发表于 2011-11-27, 23:17

最近有一台服务器被一些采集快拖死了，整了几天了，也没有找到比较好的办法来处理

下午无意中想到，能否让客户端必须先写入cookie或是加载js后，才能正常进入网站。因为爬虫或采集基本都不能正常写入cookie或加载JS

通过判断cookie的方式来进行一些限制，在用户打开站点时，写入cookie，然后通过cookie中的值来进行判断，如果不匹配就返回空，除开搜索引擎的爬虫，如果客户端无法写入这个cookie也就无法正常加载站点。测试下来基本ok，但是因为要在用户第一次打开的过程中写入cookie，就必然有一次跳转的动作，用户体验不是太好

还有就是通过AJAX的方式GET一个值给python，然后python进行验证，验证不通过则返回为空，这个我没测试，理论上是行得通的。我这暂时用了cookie的方式，虽然用户体验差了点，但至少能保证大部分真实用户的正常访问

不知道各位看官有没有什么比较好的办法？谢谢

BTW：这Firefox升级的太猛烈了，升级到8.0.1后，FCKeditor直接挂掉了，杯具，第一次用HTML写blog，NND，突然想起了《社交网络》，回归原始社会了哦，杯具，漏洞目录

发表在: 技术相关 6 条评论阅读 1049 次