需要捣鼓一个能用户识别的东西（说白了就是用客户端打上个标识，在后期的应用中能够识别出这个客户端），在部分特殊应用下，用途大大的好，以后可能会用得更多。这里先自己记录些东西

Anehta的水印(Watermark)机制
http://www.x-woods.com/tutorial/sharedobject.swf
http://onedear.cn/entry/evercookie1.html
http://onedear.cn/entry/evercookie2.html
http://onedear.cn/entry/evercookie3.html

还有些做这一块的厂商：
ThreatMetrix（alibaba有在用）
Arcot（被CA收购了）

最近基于Django做些东西，也是边学边做

这Django确实是不错，比较省事，效率也比较高

今天下午在调试Django和公司文档系统时候，在cookie的处理上有些问题，搞了半天也没搞定。在后面的测试过程中，发现好像Django的CSRF中间件好像有点问题，Django是通过在csrfviewmiddleware中进行相关的验证处理，token是存储在cookie里面。其实验证过程很简单，就是把token POST过去和Cookie中的做比对，，但是问题是都是csrfmiddlewaretoken，post中的也是从cookie里拿的，其实就是同一个值来做比对处理，就相当于你POST “123”过去，他就判断“123”和“123”是否匹配，这他妈的不是和没验证一样。。。

网上找了圈，发现已经有人提到了这个问题。。。15845，不知道Django会不会也和ruby on rails 一样用owasp的csrf Guard 的代码，呵呵

现在中国移动提供的GPRS大致分为两类，一类是CMWAP，另一种是CMNET。

CMNET

CMNET拥有完全的Internet访问权，CMNET就像我们使用电脑连接互联网，CMNET其实就是移动的 Internet，分配的IP是公网的地址。采用的实现方式是“终端＋服务器”的工作模式。

CMWAP

CMWAP接入方式只开放HTTP代理协议（80和8080端口）和WAP网关协议（9201端口），仅支持http和WAP协 议（数据通过WTLS传输）。采用的实现方式是“终端＋WAP网关＋WAP服务器”的模式。主要的目的是通过WAP网关完成 WAP-WEB的协议转换以达到节省网络流量和兼容现有WEB应用等目的（本文档仅针对WAP1.X）。

» 阅读全文

开了一上午的会，来讨论FilterJS上的一些东西。

公司现在有很多这种情况存在，因为应用太繁杂，前期在测试时发现了很多这样的问题。其实之前很少关注FilterJS方面的东西，对于这一块的安全问题，仅仅是在owasp的一次会议上看到过对淘宝的攻击演示。

google到了一些相关的资料，学习学习。

OWASP ESAPI for Javascript
Javascript 的输入输出，以及二次渲染问题
owasp-esapi-js
Bypassing OWASP ESAPI XSS Protection inside Javascript

记录下，感叹关注面之窄啊。最近老是感觉时间不够用，怎么回事啊

最近在公司忙sdl的东西，想把WEB开发这一块的流程等东西都按照sdl的一些思想给规范起来。

说是比较容易，但是做起来就麻烦了。具体细节不说了。总之有点难度，还好我们公司的领导现在都还比较重视这一块，这就提供了很大的方便。@amxku

画了个图，共享下，没啥技术含量（根据公司的情况做了些删减），仅供参考，算是抛砖引玉吧。欢迎拍砖。

个人拙见，欢迎斧正，@amxku，luoq.net

Brief Description

The sdl Quick Security References will help you better understand and address common attacks that may be affecting your software, Web sites, and users.

Overview

With the sdl Quick Security References (QSR), the Security Development Lifecycle (SDL) team introduces a series of basic guidance papers designed to address common vulnerabilities from the perspective of multiple business roles - business decision maker, architect, developer, and tester/QA. These papers will help you address a critical business problem now while moving you toward SDL adoption in the future.

PS：有些地方写得还不错，可以参考参考
http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=79042476-951f-48d0-8ebb-89f26cf8979d

dedecms在分页处理上有点问题

e.g:
http://www.dedecms.com/plus/list.php?tid=10&pageno=9

系统用intval对$pageno的值进行了处理，但是intval处理过程中，如果为非正整数时，会赋值为0，系统就会出错。

没有对0进行过滤处理。

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '-15,15' at line 7 - Execute Query False! Select arc.*, tp.typedir,tp.typename,tp.isdefault,tp.defaultname,tp.namerule,tp.namerule2,tp.ispart,tp.moresite,tp.siteurl from `dede_archives` arc left join `dede_arctype` tp on arc.typeid=tp.ID where arc.arcrank > -1 And (arc.typeid='10' Or arc.typeid2='10') order by arc.sortrank desc limit -15,15

因为公司不让上qq，前几天洗澡时突然闪过的一个想法。在家里已经测试ok了，不知道到公司能不能行得通。不过python在监控消息的过程中有时间会出错，现在只能被联系，不能主动的联系别人，也仅仅只能是处理消息，图片、附件什么的一律处理不了。还有些问题。仅仅是为了意淫，哈哈