luoq@amxku

基于用户投票的排名算法

amxku@sebug.net(amxku) — Sat, 21 Apr 2012 14:39:42 +0000

luoq@amxku ( http://luoq.net/ ) :

阮一峰的基于用户投票的排名算法系列

基于用户投票的排名算法（一）：Delicious和Hacker News

基于用户投票的排名算法（二）：Reddit

基于用户投票的排名算法（三）：Stack Overflow

基于用户投票的排名算法（四）：牛顿冷却定律

基于用户投票的排名算法（五）：威尔逊区间

基于用户投票的排名算法（六）：贝叶斯平均

ARM芯片介绍（转贴）

amxku@sebug.net(amxku) — Sun, 19 Feb 2012 22:31:53 +0000

luoq@amxku ( http://luoq.net/ ) :

目前，几乎所有的智能手机和MID，使用的都是ARM芯片。

这种芯片相比Intel公司的芯片，指令集较简单，所以功耗低、成本低，特别适用于移动设备。随着性能不断提高，它已经开始装备上网本和平板电脑。

它的名字ARM，指的是英国芯片设计公司ARM Holdings。这家公司自己不制造芯片，专门授权其他公司制造。因此，市场上有多家公司生产多种ARM芯片。再加上，ARM公司目前主要授权三个系列的芯片设计 ----ARM 9、ARM 11和Cortex，所以就造成普通消费者感到眼花缭乱，不知道如何选择。各种ARM芯片之间到底有什么区别？

今天，我在imp3.net上看到一篇文章，对这个问题做出了最详细的回答，不仅介绍了芯片知识，而且还有助于读者分辨和选择适合自己的移动设备。我把它转贴在下面。

==================================

ARM芯片介绍

作者：nbnb001

原文网址：http://bbs.imp3.net/thread-894970-1-1.html

一、ARM9系列

较小的核心面积带来较低的成本，相对比较省电，但难以冲击更高的频率，总体效能有限。

1. 威盛WM8505/WM8505+

主频：300MHz/400MHz

内存：128M DDR2，16bit

工艺：65nm工艺

Linpack测试：测试：1-1.25MFlops（Android 1.6系统）

视频处理：只有JPEG硬解，视频支持很弱，无3D加速

代表机型：国美飞触1代，山寨VIA平板

【点评】

价格低廉大概是这个方案的唯一优点，不知道国美是怎么忽悠把这个机器卖到999元的......

ARM9 300MHz的主频，自然不用指望有多好的性能，上网都勉勉强强吧。超频的400MHz版本，发热比较大，性能提升又实在有限。

视频能力很弱，也不能当MP4用，最多只能当个Android入门机器玩玩。

淘宝售价低至500-600元，7寸屏。如果不是囊中羞涩到一定程度，实在不推荐这个芯片的机器。真要入门的话，收个二手的智器Q5也比这个好。

性能★☆☆☆☆

视频★☆☆☆☆

2. 瑞芯微RK2808

主频：600MHz

内存：128M SDRAM，32bit

工艺：65nm

Linpack测试： 2-2.5MFlops（Android 1.5系统）

视频处理：Ceva MM2000，基于550MHz的DSP。多格式支持，最高720p，流畅576p。无3D加速。

代表机型：蓝魔W7，爱可视7HT，山寨apad等

【点评】

RK2808算是上市比较早的机器，瑞芯微做了很多宣传。

600MHz的ARM9，性能偏弱，好在瑞芯微的系统优化做得不错，Android 1.5的系统还是比较完善和稳定的，实际速度也不错。

一般的上网，开启网页的速度能让人接受，应付文字为主的网页问题不大，然而对于图片稍多的网页，拖动就会有明显的不流畅。

RK2808带有独立的DSP，因此视频性能获得了明显的提升，支持格式也较为丰富。720p以下的视频均能流畅解码，720p视频中，对 RMVB，MPEG4的支持不错，H.264只能到2Mbps的码率。此外VC-1只能保证480p流畅。视频性能足以满足一般用户的需求。但是跟MP4 相比，RK2808 Android的视频流畅度稍逊，总有掉帧感。

RK2808的软肋在于采用SDRAM，最大只能支持128MB，对于2.0以上的系统，RAM成为了一个瓶颈。此外缺乏3D加速，也注定了与 2.1以上的动态桌面和华丽特效无缘，也无法运行需要使用3D加速的游戏。瑞芯微已经放弃了RK2808 Android 2.1系统的开发。

蓝魔W7是少有采用电容屏的国产MID，触控感受给我留下了深刻的印象，但是没能支持多点触摸。不过，爱可视已经公布了旗下采用RK2808主控的爱可视7HT的Android核心源代码，民间工作者可以跟进，进一步发挥RK2808的余热。

目前7寸的山寨RK28机型，价格低至700元，作为入门机型具有一定的价值。

性能★★☆☆☆

视频★★★☆☆

3. 瑞芯微RK2818

主频：660MHz

内存：256M DDR2，32bit

工艺：65nm

Linpack测试： 3MFlops+（2.1系统）

视频处理：Ceva MM2000，基于600MHz的DSP。多格式支持，最高720p。3D加速，ARM Mali-55。

代表机型：蓝魔W9，W11，原道N6

【点评】

RK2818改进了内存控制器，支持DDR2，最大到512MB，同时增加了3D加速。由于瑞芯微去年授权了ARM的Mali-55图形核心，综合考虑ARM9的架构，不出意外的话集成的图形核心就是Mali-55。

Mali-55作为一颗入门级的图形核心，跑跑一些UI特效问题不大，普通的3D游戏应该也能执行。但是一些需要GLES 2.0的3D大作，特别是Gameloft的一些作品，估计就不能支持了。

视频能力可能会有提升，但预计不会超过720p。此外，RK可能利用视频系统中DSP的可编程性，进一步开发如3D视频，人脸识别等功能，为产品增加卖点。

预计售价会在千元左右，可能会有更低价的普及版。

性能★★★☆☆

视频★★★☆☆

二、ARM11系列

该系列加长的管线可以冲击更高的频率（1GHz），但功耗的增加也比较显著。

4. Telechips TCC8902

主频：540MHz/720MHz

内存：256M DDR2，32bit

工艺：65nm

Linpack测试： 2.3/3.5MFlops（2.1系统）

视频处理：ARM Mali-VE6，基于硬解。多格式支持，1080p流畅。3D加速，ARM Mali-200。

代表机型：智器V系列，一些山寨平板

【点评】

TCC8902的机型，去年年底由智器首先推出。开始该方案的Android不太完善，bug较多，经过大半年的努力，现在已经基本完善，目前已经是MID的主流方案之一。性能也处于主流水平，足以应付绝大部分应用。但ARM11的处理能力对于带有图片的复杂网页依旧不够，拖动并不流畅。

TCC8902带有一颗比较强劲的3D加速器，因此各种动态3D UI也能很好支持。但似乎驱动并不完善，此外使用率也不及PowerVR SGX系列和高通Adreno系列高，因此软件优化不够，实际表现不如前两者。

视频能力很强，支持多格式的1080p，也能真正做到1080p流畅。

智器的产品还带有Linux和CE系统，是玩机一族的好选择。特别V3售价699元，很有性价比。

性能★★★☆☆

视频★★★★★

5. 三星S3C6410

主频：666MHz/800MHz

内存：128M DDR/256M mDDR，32bit

工艺：65nm

Linpack测试：3.5MFlops（Android 2.1系统）

视频处理：三星，硬件解码。支持720×480下的H.264 BP。3D加速，三星自有。

代表机型：智器Q系列，魅族M8，三星i5700

【点评】

第一代MID，智器Q系列采用的芯片，另外三星i5700也采用了该芯片。

Q系列的RAM有点小，不过得益于民间固件，Android从1.5到2.2都能跑，加上Linux和CE，可玩性挺高。二手的价格又便宜，确实是玩机入门的好选择。

性能★★★☆☆

视频★☆☆☆☆

6. 盈方微IMAPX200

主频：1GHz

内存：256M DDR2，32bit

工艺：65nm

Linpack测试：～9.8MFlops（Android 2.1系统开启JIT，不开估计在4-4.5）

视频处理：On2 Hantro 8190，硬件解码。多格式支持，最高1080p。3D加速， VIVANTE GC600。

代表机型：卓尼斯epad，国美飞触2代

【点评】

频率被拉到了1GHz，有Cortex-A8 500-600MHz的水平了，理论上性能还是不错的。

视频硬解的规格还挺高，不过据说1080p还是有掉帧，估计软件优化的还不够。从芯片的角度说，硬件规格还是挺强大的，不过出来的晚，软件很多都不成熟，没跟上。

另外，据说芯片功耗挺大，所以中小尺寸的不好做。加上卓尼斯的无线网卡用的USB模块（非SDIO），功耗就更大了。

性能★★★☆☆

视频★★★★☆

7. 高通MSM7201

主频：528MHz

内存：128/256M DDR，32bit

工艺：65nm

Linpack测试：2-2.5MFlops（Android 1.6系统）

视频处理：高通QDSP5000。支持720×480以下H.264 BP。3D加速，Adreno 130。

代表机型：HTC G1、G2、G3

【点评】

被HTC用烂了的芯片，性能实在不咋地，不过软件完善，加上低分屏，手机还是很流畅。

其改进版MSM722x，给ARM11增加了256KB的L2缓存，增加了硬件VFP，3D加速改用与QSD8x50相同的Adreno 200，总体性能有一定提升，但是受到ARM11本身的性能限制，与Cortex-A8的主控性能尚有明显差距。

性能★★☆☆☆

视频★☆☆☆☆

三、Cortex-A8系列

该系列普遍带有256KB的L2缓存，加上600MHz-1GHz的高频率，相对ARM9和ARM11有显著的提升。

Cortex-A8标配Neon单元，通过SIMD指令集大大加强浮点性能，可以实现不少DSP的功能。

与此同时，相对高昂的授权费用和较大的核心面积，使得Cortex-A8 SOC的成本相对较高，作为定位中高端的产品出现。

8. 高通QSD8x50

主频：1GHz（Scorpion）

内存：256/512M mDDR，32bit

工艺：65nm

Linpack测试： 7-7.5MFlops（2.1系统）

视频处理：高通QDSP6000。支持720p H.264，但一般只有480p H.264流畅（BP或者MP)，通过软件解码能勉强支持480p多格式流畅。3D加速，Adreno 200（AMD Z430)。

代表机型：Google N1，Dell Streak

【点评】

最早的1GHz芯片，性能挺强劲，高端手机标配。

浏览网页自然不用说，系统也很流畅。

3D的Adreno 200不算强，因为高通的占有率挺高，游戏厂商都会做相应的优化，基本不用担心有游戏跑不了。

视频通过DSP解码，高通的DSP虽然强劲，但是也只能到720p，实际也就576p以下能流畅。而且高通只做了H.264的codec，并且大部分厂商只支持baseline profile。有些机型能支持High Profile的解码，以及WMV的解码，不过兼容性有待提升。

得益于Cortex-A8附带的Neon核心，处理器的浮点性能大大加强，可以通过软件解码处理各种编码的视频。不过性能还是有限，在1GHz高主频的CPU上，480p能基本流畅，不过高码率的片段，还是会掉帧甚至卡顿。

此外，该芯片集成了基带，所以拿它做的东西，肯定是可以打电话的，于是价格也不会太便宜。

性能★★★★★

视频★★☆☆☆

9. 德州仪器OMAP3430/3530

主频：550/720MHz

内存：256M mDDR，32bit

工艺：65nm

Linpack测试： 4.5(550MHz)/5.9(800MHz)（Android 2.1系统）

视频处理：IVA2+,基于C64x+ DSP，430MHz。多格式支持，但除去爱可视，很多厂商都没做硬解码。通过软件解码，配合超频，能勉强支持480p多格式流畅。3D加速，PowerVR SGX530。

代表机型：MOTO Milestone，爱可视5，维智A81

【点评】

一款比较经典的芯片，Cortex-A8的性能自然不用多少，虽然频率不如高通Snapdragon，但同频率下效能更高（800MHz的TI测试得分与1GHz的Snapdragon接近），当然同频下比Snapdragon要耗电（1GHz的Snapdragon的Scorpion核心耗电与 600MHz的TI Cortex-A8接近）。

3D部分使用非常主流的PowerVR SGX530，性能不错。由于SGX系列被苹果采用，软件的支持非常好，大量从ios平台上移植的游戏和应用都能充分发挥这颗芯片的性能，实际表现比高通的Adreno200更加出色。

视频部分，TI集成了一个相当强劲的DSP C64x+。还记得蓝魔T10 MP4吗？采用TI出品的DM6441主控，使用514MHz的C64x+ DSP可以实现大部分720p的流畅解码，和480p 各种规格H.264的解码。遗憾的是，似乎除了爱可视，大部分厂商没有进一步的开发这颗DSP（或者没有向TI购买codec），导致此芯片的视频能力停留在比较低级的水平，仅支持H.264 BP MP4播放。

于是，就只能像QSD8x50一样，通过软件进行解码，适当超频后，同样能勉强支持480p多格式的解码。不过高码率的片段，掉帧和卡顿是必然的。

性能★★★★☆

视频★★☆☆☆

10. 三星S5PC100

主频：667/800MHz

内存：256M DDR，32bit

工艺：65nm

视频处理：PowerVR VXD370。多格式支持，H.264，VC-1，MPEG4最高1080p。3D加速，PowerVR SGX535。

代表机型：iPod Touch3，iPhone 3GS

【点评】

它恐怕是大家最早接触的A8芯片之一，被苹果采用，大量使用在iPhone 3GS和iPod touch 3上。不过在A8的芯片当中，性能比较一般，目前已被新一代的45nm S5PC110取代。虽然，之前也听说有方案商要推出基于S5PC100的Android平板，但预计难以成为主流。

性能★★★★☆

视频★★☆☆☆

11. 飞思卡尔i.MX515

主频：800MHz/1GHz

内存：256/512M DDR2，32bit

工艺：65nm

视频处理：硬解。多格式支持，最高720p，通过软件解码能勉强支持480p多格式流畅。3D加速，Adreno 200（AMD Z430)。

代表机型：viliv P3

【点评】

炒得很火的一款芯片，呼声很高，但迟迟不出机器。不过据最新消息，10月底国内方案商搭载Android 2.2的i.MX515的平板终于能上市了。

同样基于Cortex-A8，具有与高通Snapdragon类似的性能，网络浏览，文档阅读等日常应用自然不在话下。

3D部分和QSD8x50一样，但频率有提升，此外采用DDR2内存，获得更大的带宽，3D加速性能会有进一步的提升。

视频部分据说是通过一个流处理器实现的，支持多格式的720p解码，甚至支持WMV7、WMV8等冷门格式，值得期待。

据称售价会在1300元左右，相当具有吸引力的一款产品。

性能★★★★★

视频★★★★☆

12. 三星S5PC110/S5PV210

主频：800MHz/1GHz，512K L2

内存：512M mDDR2，32bit

工艺：45nm

Linpack测试：8-8.5（1GHz)（Android 2.1系统）

视频处理：PowerVR VXD370。多格式支持，最高1080p，通过软件解码能勉强支持480p流畅。3D加速，PowerVR SGX540。

代表机型：三星i9000，Galaxy Tab。采用类似的A4芯片的有iPad、iPod touch4、iPhone 4

【点评】

毫无疑问，S5PC110（代号HammingBird）是目前最强的Cortex-A8芯片，没有之一。S5PV210和S5PC110只是封装上的区别，本质上并没有多少的变化。前者封装尺寸较大，适用于平板和上网本，后者的小尺寸封装适用于手机。其变种Apple A4芯片，只是将其中的PowerVR SGX540改成了SGX535，3D性能稍有降低。此外，负责视频硬解的VXD370被改成了VXD375，具体的区别尚不明确。

Hummingbird的Cortex-A8经过了三星的改进，同频率下具有更高的效能（+10%-20%），同时配置了512K的L2缓存，是其他Cortex-A8的两倍（Apple A4更是配备了640KB的L2缓存）

3D部分配置了主流而强劲的SGX540，实测性能领先其他Cortex-A8产品1倍以上，基本不用担心有游戏玩不了。

视频解码部分，苹果比较吝啬，依旧是720p H.264 MP4解码。不过三星的Galaxy S可以支持多种格式多种封装的解码，包括热门的MKV封装。不过并不支持RMVB的硬件解码，只能通过软解实现480p。

这颗芯片的强劲性能显然是定位高端的。三星的Galaxy Tab的具体价格也不得而知。11月或12月，国内方案商的S5PV210产品可能会上市，让我们拭目以待。

性能★★★★★★

视频★★★★☆

13. 德州仪器OMAP3630/3640

主频：800MHz/1GHz

内存：512M DDR2，32bit

工艺：45nm

视频处理：IVA2+,基于C64x+ DSP，430MHz。多格式支持，但除去爱可视，很多厂商都没做解码，通过软件解码能勉强支持480p多格式流畅。

代表机型：MOTO Droidx，Droid2，爱可视新发布的那一串机器

【点评】

基本就是OMAP3430的45nm版本，并没有太多改进。得益于频率的提升，性能进一步加强，同时由于DDR2内存的采用，3D部分的性能也得以完全释放，达到了前作OMAP3430的2倍。

性能★★★★★

视频★★☆☆☆

四、Cortex-A9

新一代的Cortex-A9核心在Cortex-A8的基础上改进，运算速度提高25%。普遍采用对称双核心配置，两个相同的核心共享1MB的L2缓存，总体性能达到了Cortex-A8的2倍以上，性能十分强劲。

不过值得注意的是，在Cortex-A9上，Neon单元不再是标准配置。厂商可以选择传统的VFP单元以换取功耗和核心面积的优化。

14. NVidia Tegra2

主频：1GHz双核 + VFP

内存：512M/1G DDR2，32bit

工艺：40nm(TMSC)

视频处理：硬件解码。多格式支持，最高1080p，软件解码性能未知。3D加速，GeForce ULV。

代表机型：微星Harmony，万利达Zpad、东芝Folio

【点评】

Cortex-A9已经上市在即，几乎2倍于A8的性能，任何Android的应用，在如此强悍的硬件配置前，没有不流畅的理由。

3D加速部分，其实与Tegra1一致，还是2PS+2TMU的配置，基于GeForce6的架构。2倍的提升一方面得益于核心频率的提升，另一方面，DDR2的大内存带宽给了很大帮助。然而效能与Hummingbird的SGX540处于同一水准，并没有太多的超越，这并非内置图形核心的限制，而是32bit DDR2所能提供的内存带宽的限制。尽管如此，Tegra2的3D性能还是处于量产SOC中的顶尖水平。

视频部分支持多格式的1080p硬件解码，但是没有提供对RMVB的支持。有强悍的双核A9，软解视频应该不是问题，但是Tegra2缺少Neon模块SIMD的浮点加速，对软解效能会有多大影响，目前尚不能得知。

此外，Tegra2也集成了专门的音频解码模块，以最大限度的解放ARM，降低功耗。内置一个ARM7用于全芯片的功耗管理。

万利达的zPad本月就能上市，强悍的性能伴随的不便宜的价格（2500+），在乎体验的用户可以尝试一下。另外，Tegra2的产品多为10寸，7寸及以下的并不多，不知道是什么原因。

性能★★★★★★★★★★

视频★★★★☆

15. 德州仪器OMAP4430/4440

主频：1GHz/1.3GHz双核 + Neon

内存：512M/1G+ DDR3，64bit

工艺:45nm

视频处理：IVA3,高清硬件解码单元 + C64x+ Lite DSP。多格式1080p，DSP部分提供可编程性。3D加速，PowerVR SGX540。

代表机型：

【点评】

真正成熟的A9 SOC，64bit的DDR3内存提供4倍于目前顶级SOC（32bit DDR2）的带宽，想必图形性能会有显著的提升。

1080p硬件解码单元，同时和Tegra2一样搭配了专用音频处理单元。此外，TI继续保留了Neon单元用于浮点加速。视频解码已经不需要C64x+ DSP参与，但TI还是将它适当精简后保留了下来，利用它的可编程性加速一些固化硬件单元不能处理的应用。

此外，TI同样配置了2个Cortex-M3处理器，用于整个SOC的任务调度和功耗管理。可以说，这是一款非常值得期待的产品，但是距离上市恐怕还有相当的时日。

性能★★★★★★★★★★★★

视频★★★★☆+

（完）

nginx 配置错误而导致目录遍历漏洞

amxku@sebug.net(amxku) — Mon, 26 Dec 2011 20:38:13 +0000

luoq@amxku ( http://luoq.net/ ) :

一个很鸡肋的目录遍历漏洞，不知道算不算是漏洞，前提条件是必须是子目录、开启了autoindex，并且alias指定目录的时候加了"/"，才能利用成功。这是因为配置不规范造成的

server {
    listen    80;
    server_name sebug.net;
    index index.htm index.html;
    root /home/wwwroot/www;
    access_log off;
    location /paper {
           alias /home/wwwroot/paper/;
           autoindex on;
       }
}

注意这里/home/wwwroot/paper/; 有个/

当你浏览http://sebug.net/paper/,正常情况应该遍历/home/wwwroot/paper/这个目录，但是如果访问http://sebug.net/paper../，这个的话就会遍历/home/wwwroot/这个目录了

这个要利用，很有难度。nginx .

携程招聘安全工程师

amxku@sebug.net(amxku) — Wed, 07 Dec 2011 10:52:37 +0000

luoq@amxku ( http://luoq.net/ ) :

职位描述:
1. 各类安全问题和安全事件的跟踪和分析
2. 定期的安全风险评估和检测
3. 跟踪和分析新的安全漏洞、安全技术

职位要求:
1. 熟悉Web安全
2. 具有一定的编程能力
3. 对常见的Web编程语言要有一定的解读能力
4. 跟踪和分析最新安全相关的技术
5. 有良好的团队合作精神,有责任感,有较好的沟通能力,主动性强

优先条件:
1. 有相关的安全工作经验
2. 乐于分享,各类流行技术的热心参与和内容贡献者

工作地点：上海
联系方式：qwluo(at)ctrip.com

邪恶的采集

amxku@sebug.net(amxku) — Sun, 27 Nov 2011 23:17:35 +0000

luoq@amxku ( http://luoq.net/ ) :

最近有一台服务器被一些采集快拖死了，整了几天了，也没有找到比较好的办法来处理

下午无意中想到，能否让客户端必须先写入cookie或是加载js后，才能正常进入网站。因为爬虫或采集基本都不能正常写入cookie或加载JS

通过判断cookie的方式来进行一些限制，在用户打开站点时，写入cookie，然后通过cookie中的值来进行判断，如果不匹配就返回空，除开搜索引擎的爬虫，如果客户端无法写入这个cookie也就无法正常加载站点。测试下来基本ok，但是因为要在用户第一次打开的过程中写入cookie，就必然有一次跳转的动作，用户体验不是太好

还有就是通过AJAX的方式GET一个值给python，然后python进行验证，验证不通过则返回为空，这个我没测试，理论上是行得通的。我这暂时用了cookie的方式，虽然用户体验差了点，但至少能保证大部分真实用户的正常访问

不知道各位看官有没有什么比较好的办法？谢谢

BTW：这Firefox升级的太猛烈了，升级到8.0.1后，FCKeditor直接挂掉了，杯具，第一次用HTML写blog，NND，突然想起了《社交网络》，回归原始社会了哦，杯具，漏洞目录

把站点迁移到了Linode日本 Tokyo IDC

amxku@sebug.net(amxku) — Sun, 13 Nov 2011 22:26:53 +0000

luoq@amxku ( http://luoq.net/ ) :

看到很多朋友都有迁移过去了，速度确实不错，ping值保持在100左右

自己也测试了下，东京的机房比较近，速度确实还不错，Linode的服务确实也不错，推荐下

迁移、购买好像都没啥说的，网上也有比较多的教程。我在购买的时候还担心支付问题，没想到国内的信用卡也可以直接支付；今天上去看code，发现他们有保存信用卡卡号、有效期等信息，看不出有没有存CVV，有点玄乎；已经发邮件过去询问了

BTW, 我的 Linode referral code: c4c36f1a2d3b525013a28fca90433f1c47ae0739

如果你也准备购买，不妨用一下我的 referral code :) dir

开源WEB应用的指纹识别

amxku@sebug.net(amxku) — Thu, 20 Oct 2011 15:03:08 +0000

luoq@amxku ( http://luoq.net/ ) :

主要是对开源WEB应用提供一个版本识别的工具(web应用指纹识别)

现在仅支持（后续将会持续跟进）：

DedeCMS
discuz
phpcms
php168
ecshop
shopex

测试地址：http://sebug.net/chweb/

感谢一些朋友们的帮忙，感谢

top10

amxku@sebug.net(amxku) — Tue, 06 Sep 2011 23:18:48 +0000

luoq@amxku ( http://luoq.net/ ) :

sebug web安全漏洞 top10

国内开源web程序安全风险 top10

更多数据参考漏洞分布/漏洞趋势分析

也来个top10，仅供参考，漏洞

WEB指纹识别的一些方法

amxku@sebug.net(amxku) — Thu, 18 Aug 2011 23:49:25 +0000

luoq@amxku ( http://luoq.net/ ) :

最近看了些相关的东西，和一些朋友也研究了下

总结下，主要为4种模式：
1、网页中发现关键字
2、特定文件的MD5（主要是静态文件，不一定要是MD5）
3、指定URL的关键字
4、指定URL的TAG模式

参考：http://sebug.net/ssv/Web_Application_Finger_Printing

指纹识别的准确率主要看规则库是否够全面，扫描代码的效率是否够高，速度是否够快

个人拙见，欢迎拍砖，@dir

WEB指纹识别

amxku@sebug.net(amxku) — Tue, 09 Aug 2011 23:11:17 +0000

luoq@amxku ( http://luoq.net/ ) :

对于WEB的指纹识别，好像都是检查特定文件的MD5等来进行版本的识别，前面有见过Supterhei也是用类似的方式来实现了对DEDE的一些版本的识别

分析了下WhatWeb也是类似的方式来实现的，也问了些朋友，思路都比较类似，想了想也找不到别的什么思路

AppPrint好像主要是检查Banner的

各位看官有什么别的方式方法么 @ssv

希望各位看官能给些意见，感谢

sebug安全平台

amxku@sebug.net(amxku) — Sat, 23 Jul 2011 13:03:28 +0000

luoq@amxku ( http://luoq.net/ ) :

sebug安全平台（网站安全体检中心）BETA版本上线了

前台：php+jquery

后台：Lua（引擎实现了分布式，可以集中调度）

当前任务数量：57
当前请求总数：417660
云端节点数量：3
云端队列分布：40% 40% 0%

测试地址：http://open.sebug.net/

现在仅仅是测试中，希望各位看官多多的提一些意见 @dir

FreeNAS一个不错的东西

amxku@sebug.net(amxku) — Sat, 09 Jul 2011 21:03:27 +0000

luoq@amxku ( http://luoq.net/ ) :

需要在内网做个文件服务器

在围脖上问了问，大牛们都推荐我用FreeNAS，玩了一下午，还确实不错，SMB，ATF，WEB……都支持了，已经完全满足我的需要了，smb就主要是做文件共享，ATF主要是给我的mbp做TimeMachine备份，还有些开发环境什么的，更重要的还支持BT，各位看官都懂的 @amxku

发现FreeNAS 8.0.1的web管理平台是基于Django开发的，建议用7.x版本

http://www.syoi.net/node/381
http://www.raychou.com/chou/posts/355.htm
http://www.raychou.com/chou/posts/356.htm

Mac OS X Lion的感受

amxku@sebug.net(amxku) — Fri, 08 Jul 2011 16:06:48 +0000

luoq@amxku ( http://luoq.net/ ) :

在网上下到了Lion GM的版本，玩了两天。感觉如下：

手势还是不错的
Misson Control确实是一个不错的东东
Address Book的更新一般了，中文排序有问题
iCal的界面不怎么好，感觉没上一个版本好
与Scrollbar相反的滚动，确实需要适应，需要点时间
Mail的升级很不错，很给力

Apple这次Lion的这个升级，有惊喜，有遗憾，界面的变化不怎么好，感觉不太像apple的风格

不推荐安装升级GM版，在等等吧，号称没几天就要发布正式版本了

BTW：有朋友公司在找ios，android开发人才，offer很不错，有意向的朋友可以联系，在上海

07-08，一年了

amxku@sebug.net(amxku) — Fri, 08 Jul 2011 15:48:49 +0000

luoq@amxku ( http://luoq.net/ ) :

今天无意中发现@02704是2010年的今天注册的

一年了，从想法到实现，再到后面……一年的时间里经历了很多，有失败后失落，有成功的喜悦……

祝好

BTW：有朋友公司在找数据挖掘的人才，offer很不错，有意向的朋友可以联系，在上海

关于evercookie

amxku@sebug.net(amxku) — Thu, 30 Jun 2011 22:09:48 +0000

luoq@amxku ( http://luoq.net/ ) :

这东西是把双刃剑，看你怎么用了

http://samy.pl/evercookie/
这其实就是一个给客户端打上永久标记

Specifically, when creating a new cookie, it uses the following storage mechanisms when available:
     - Standard HTTP Cookies
     - Local Shared Objects (Flash Cookies)
     - Silverlight Isolated Storage
     - Storing cookies in RGB values of auto-generated, force-cached
        PNGs using HTML5 Canvas tag to read pixels (cookies) back out
     - Storing cookies in Web History
     - Storing cookies in HTTP ETags
     - Storing cookies in Web cache
     - window.name caching
     - Internet Explorer userData storage
     - HTML5 Session Storage
     - HTML5 Local Storage
     - HTML5 Global Storage
     - HTML5 Database Storage via SQLite

    TODO: adding support for:
     - Caching in HTTP Authentication
     - Using Java to produce a unique key based off of NIC info

关于web用户识别的一些东西

amxku@sebug.net(amxku) — Fri, 24 Jun 2011 20:37:27 +0000

luoq@amxku ( http://luoq.net/ ) :

需要捣鼓一个能用户识别的东西（说白了就是用客户端打上个标识，在后期的应用中能够识别出这个客户端），在部分特殊应用下，用途大大的好，以后可能会用得更多。这里先自己记录些东西

Anehta的水印(Watermark)机制
http://www.x-woods.com/tutorial/sharedobject.swf
http://onedear.cn/entry/evercookie1.html
http://onedear.cn/entry/evercookie2.html
http://onedear.cn/entry/evercookie3.html

还有些做这一块的厂商：
ThreatMetrix（alibaba有在用）
Arcot（被CA收购了）

原来Django的anti-csrf中间件就是一摆设

amxku@sebug.net(amxku) — Thu, 28 Apr 2011 22:44:55 +0000

luoq@amxku ( http://luoq.net/ ) :

最近基于Django做些东西，也是边学边做

这Django确实是不错，比较省事，效率也比较高

今天下午在调试Django和公司文档系统时候，在cookie的处理上有些问题，搞了半天也没搞定。在后面的测试过程中，发现好像Django的CSRF中间件好像有点问题，Django是通过在csrfviewmiddleware中进行相关的验证处理，token是存储在cookie里面。其实验证过程很简单，就是把token POST过去和Cookie中的做比对，，但是问题是都是csrfmiddlewaretoken，post中的也是从cookie里拿的，其实就是同一个值来做比对处理，就相当于你POST “123”过去，他就判断“123”和“123”是否匹配，这他妈的不是和没验证一样。。。

网上找了圈，发现已经有人提到了这个问题。。。15845，不知道Django会不会也和ruby on rails 一样用owasp的csrf Guard 的代码，呵呵

我安装的软件备忘(for mac)_20110228

amxku@sebug.net(amxku) — Mon, 28 Feb 2011 17:24:03 +0000

luoq@amxku ( http://luoq.net/ ) :

有个朋友要，也算是自己做个备忘吧

输入法；我用的QIM，用着还蛮不错，不过是商业软件，暂不提供下载，呵呵

编辑器
- vim-cocoa
- Coda
浏览器
- FireFox，没啥好说的
IM
- Adium
- Skype
PHP开发环境；XAMPP
行程管理；iCal，直接用google的日历，手机上也能很好的同步了
系统管理
- AppCleaner，程序卸载工具
- OnyX，系统清理、优化
- mfTuneKit
- AppFresh；软件升级
影音、图形处理
- 豆瓣电台
- iTunes
- MPlayer
- 小芊(nLyrics)-Itunes歌词显示
- Picasa
- Snagit；强大的截图软件
解压缩；betterzip
翻墙相关
- Shimo
- Proxifier
FTP工具；Transmit
日常办公
- 邮件；系统自带的，加上WideMail
- Microsoft Office 2011
其他
- Growl；牛x的信息提示
- Reeder；rss，google reader

后面这更新吧，先写这些吧

时光机器

amxku@sebug.net(amxku) — Sat, 11 Sep 2010 21:27:21 +0000

luoq@amxku ( http://luoq.net/ ) :

已经有很长时间没有更新blog了，估计已经闲置得长草了。上一次更新竟然已经是6月了

最近做的几个项目，因为这样那样的原因而处于停滞。过程中发现很多事情并不是想象中的那么容易，没有实际去尝试过还真不知道里面的深浅，在进行的过程中有太多了不可控因素了。没办法在初期就想得很透彻，也没办法完全按照预期来执行。不过所有的事情都是事在人为

因为下周要开始休假了，SE Report 估计要推迟到10月份了。对SE商用用户比较抱歉。看了前几天的反馈邮件，我这感动的一塌糊涂啊，内牛满面啊

生活依旧有条不紊的进行着，该向前的还在向前，该颓废的依然是颓废，时间还是在不停的转动，发发牢骚

luoq@amxku

基于用户投票的排名算法

ARM芯片介绍（转贴）

nginx 配置错误而导致目录遍历漏洞

携程招聘安全工程师

邪恶的采集

把站点迁移到了Linode日本 Tokyo IDC

开源WEB应用的指纹识别

top10

WEB指纹识别的一些方法

WEB指纹识别

sebug安全平台

FreeNAS一个不错的东西

Mac OS X Lion的感受

07-08，一年了

关于evercookie

关于web用户识别的一些东西

原来Django的anti-csrf中间件就是一摆设

我安装的软件备忘(for mac)_20110228

最近(武汉之行)

时光机器