技术相关

WEB指纹识别

对于WEB的指纹识别,好像都是检查特定文件的MD5等来进行版本的识别,前面有见过Supterhei也是用类似的方式来实现了对DEDE的一些版本的识别

分析了下WhatWeb也是类似的方式来实现的,也问了些朋友,思路都比较类似,想了想也找不到别的什么思路

AppPrint好像主要是检查Banner的

各位看官有什么别的方式方法么 @ssv

希望各位看官能给些意见,感谢

关键词: web指纹

sebug安全平台

sebug安全平台(网站安全体检中心)BETA版本上线了

前台:php+jquery

后台:Lua(引擎实现了分布式,可以集中调度)

当前任务数量:57
当前请求总数:417660
云端节点数量:3
云端队列分布:40% 40% 0%

测试地址http://open.sebug.net/

现在仅仅是测试中,希望各位看官多多的提一些意见 @dir

关键词: sebug

关于evercookie

这东西是把双刃剑,看你怎么用了

http://samy.pl/evercookie/
这其实就是一个给客户端打上永久标记

Specifically, when creating a new cookie, it uses the following storage mechanisms when available:
     - Standard HTTP Cookies
     - Local Shared Objects (Flash Cookies)
     - Silverlight Isolated Storage
     - Storing cookies in RGB values of auto-generated, force-cached
        PNGs using HTML5 Canvas tag to read pixels (cookies) back out
     - Storing cookies in Web History
     - Storing cookies in HTTP ETags
     - Storing cookies in Web cache
     - window.name caching
     - Internet Explorer userData storage
     - HTML5 Session Storage
     - HTML5 Local Storage
     - HTML5 Global Storage
     - HTML5 Database Storage via SQLite
 
    TODO: adding support for:
     - Caching in HTTP Authentication
     - Using Java to produce a unique key based off of NIC info

关于web用户识别的一些东西

需要捣鼓一个能用户识别的东西(说白了就是用客户端打上个标识,在后期的应用中能够识别出这个客户端),在部分特殊应用下,用途大大的好,以后可能会用得更多。这里先自己记录些东西

Anehta的水印(Watermark)机制
http://www.x-woods.com/tutorial/sharedobject.swf
http://onedear.cn/entry/evercookie1.html
http://onedear.cn/entry/evercookie2.html
http://onedear.cn/entry/evercookie3.html

还有些做这一块的厂商:
ThreatMetrix(alibaba有在用)
Arcot被CA收购了

原来Django的anti-csrf中间件就是一摆设

最近基于Django做些东西,也是边学边做

这Django确实是不错,比较省事,效率也比较高

今天下午在调试Django和公司文档系统时候,在cookie的处理上有些问题,搞了半天也没搞定。在后面的测试过程中,发现好像Django的CSRF中间件好像有点问题,Django是通过在csrfviewmiddleware中进行相关的验证处理,token是存储在cookie里面。其实验证过程很简单,就是把token POST过去和Cookie中的做比对,,但是问题是都是csrfmiddlewaretoken,post中的也是从cookie里拿的,其实就是同一个值来做比对处理,就相当于你POST “123”过去,他就判断“123”和“123”是否匹配,这他妈的不是和没验证一样。。。

网上找了圈,发现已经有人提到了这个问题。。。15845,不知道Django会不会也和ruby on rails 一样用owasp的csrf Guard 的代码,呵呵

关键词: django , python

交易类WAP站点在数据传输过程中的风险

现在中国移动提供的GPRS大致分为两类,一类是CMWAP,另一种是CMNET。

CMNET

CMNET拥有完全的Internet访问权,CMNET就像我们使用电脑连接互联网,CMNET其实就是移动的 Internet,分配的IP是公网的地址。采用的实现方式是“终端+服务器”的工作模式。

CMWAP

CMWAP接入方式只开放HTTP代理协议(80和8080端口)和WAP网关协议(9201端口),仅支持http和WAP协 议(数据通过WTLS传输)。采用的实现方式是“终端+WAP网关+WAP服务器”的模式。主要的目的是通过WAP网关完成 WAP-WEB的协议转换以达到节省网络流量和兼容现有WEB应用等目的(本文档仅针对WAP1.X)。

» 阅读全文

关键词: 安全 , 工作 , 技术

说说Filter JS

开了一上午的会,来讨论FilterJS上的一些东西。

公司现在有很多这种情况存在,因为应用太繁杂,前期在测试时发现了很多这样的问题。其实之前很少关注FilterJS方面的东西,对于这一块的安全问题,仅仅是在owasp的一次会议上看到过对淘宝的攻击演示。

google到了一些相关的资料,学习学习。

OWASP ESAPI for Javascript
Javascript 的输入输出,以及二次渲染问题
owasp-esapi-js
Bypassing OWASP ESAPI XSS Protection inside Javascript

记录下,感叹关注面之窄啊。最近老是感觉时间不够用,怎么回事啊

画了张抛砖引玉的图

最近在公司忙sdl的东西,想把WEB开发这一块的流程等东西都按照sdl的一些思想给规范起来。

说是比较容易,但是做起来就麻烦了。具体细节不说了。总之有点难度,还好我们公司的领导现在都还比较重视这一块,这就提供了很大的方便。@amxku

画了个图,共享下,没啥技术含量(根据公司的情况做了些删减),仅供参考,算是抛砖引玉吧。欢迎拍砖。

91cd11a66376dc387d0f6438af2b7020.png - 大小: 560.05 KB - 尺寸:  x  - 点击打开新窗口浏览全图

个人拙见,欢迎斧正,@amxkuluoq.net

关键词: sdl , 安全 , 工作 , 技术