杂七杂八

携程招聘安全工程师

amxku(amxku@sebug.net) — Wed, 07 Dec 2011 10:52:37 +0000

luoq@amxku ( http://luoq.net/ ) :

职位描述:
1. 各类安全问题和安全事件的跟踪和分析
2. 定期的安全风险评估和检测
3. 跟踪和分析新的安全漏洞、安全技术

职位要求:
1. 熟悉Web安全
2. 具有一定的编程能力
3. 对常见的Web编程语言要有一定的解读能力
4. 跟踪和分析最新安全相关的技术
5. 有良好的团队合作精神,有责任感,有较好的沟通能力,主动性强

优先条件:
1. 有相关的安全工作经验
2. 乐于分享,各类流行技术的热心参与和内容贡献者

工作地点：上海
联系方式：qwluo(at)ctrip.com

把站点迁移到了Linode日本 Tokyo IDC

amxku(amxku@sebug.net) — Sun, 13 Nov 2011 22:26:53 +0000

luoq@amxku ( http://luoq.net/ ) :

看到很多朋友都有迁移过去了，速度确实不错，ping值保持在100左右

自己也测试了下，东京的机房比较近，速度确实还不错，Linode的服务确实也不错，推荐下

迁移、购买好像都没啥说的，网上也有比较多的教程。我在购买的时候还担心支付问题，没想到国内的信用卡也可以直接支付；今天上去看code，发现他们有保存信用卡卡号、有效期等信息，看不出有没有存CVV，有点玄乎；已经发邮件过去询问了

BTW, 我的 Linode referral code: c4c36f1a2d3b525013a28fca90433f1c47ae0739

如果你也准备购买，不妨用一下我的 referral code :) dir

top10

amxku(amxku@sebug.net) — Tue, 06 Sep 2011 23:18:48 +0000

luoq@amxku ( http://luoq.net/ ) :

sebug web安全漏洞 top10

国内开源web程序安全风险 top10

更多数据参考漏洞分布/漏洞趋势分析

也来个top10，仅供参考，漏洞

FreeNAS一个不错的东西

amxku(amxku@sebug.net) — Sat, 09 Jul 2011 21:03:27 +0000

luoq@amxku ( http://luoq.net/ ) :

需要在内网做个文件服务器

在围脖上问了问，大牛们都推荐我用FreeNAS，玩了一下午，还确实不错，SMB，ATF，WEB……都支持了，已经完全满足我的需要了，smb就主要是做文件共享，ATF主要是给我的mbp做TimeMachine备份，还有些开发环境什么的，更重要的还支持BT，各位看官都懂的 @amxku

发现FreeNAS 8.0.1的web管理平台是基于Django开发的，建议用7.x版本

http://www.syoi.net/node/381
http://www.raychou.com/chou/posts/355.htm
http://www.raychou.com/chou/posts/356.htm

Mac OS X Lion的感受

amxku(amxku@sebug.net) — Fri, 08 Jul 2011 16:06:48 +0000

luoq@amxku ( http://luoq.net/ ) :

在网上下到了Lion GM的版本，玩了两天。感觉如下：

手势还是不错的
Misson Control确实是一个不错的东东
Address Book的更新一般了，中文排序有问题
iCal的界面不怎么好，感觉没上一个版本好
与Scrollbar相反的滚动，确实需要适应，需要点时间
Mail的升级很不错，很给力

Apple这次Lion的这个升级，有惊喜，有遗憾，界面的变化不怎么好，感觉不太像apple的风格

不推荐安装升级GM版，在等等吧，号称没几天就要发布正式版本了

BTW：有朋友公司在找ios，android开发人才，offer很不错，有意向的朋友可以联系，在上海

07-08，一年了

amxku(amxku@sebug.net) — Fri, 08 Jul 2011 15:48:49 +0000

luoq@amxku ( http://luoq.net/ ) :

今天无意中发现@02704是2010年的今天注册的

一年了，从想法到实现，再到后面……一年的时间里经历了很多，有失败后失落，有成功的喜悦……

祝好

BTW：有朋友公司在找数据挖掘的人才，offer很不错，有意向的朋友可以联系，在上海

关于evercookie

amxku(amxku@sebug.net) — Thu, 30 Jun 2011 22:09:48 +0000

luoq@amxku ( http://luoq.net/ ) :

这东西是把双刃剑，看你怎么用了

http://samy.pl/evercookie/
这其实就是一个给客户端打上永久标记

Specifically, when creating a new cookie, it uses the following storage mechanisms when available:
     - Standard HTTP Cookies
     - Local Shared Objects (Flash Cookies)
     - Silverlight Isolated Storage
     - Storing cookies in RGB values of auto-generated, force-cached
        PNGs using HTML5 Canvas tag to read pixels (cookies) back out
     - Storing cookies in Web History
     - Storing cookies in HTTP ETags
     - Storing cookies in Web cache
     - window.name caching
     - Internet Explorer userData storage
     - HTML5 Session Storage
     - HTML5 Local Storage
     - HTML5 Global Storage
     - HTML5 Database Storage via SQLite

    TODO: adding support for:
     - Caching in HTTP Authentication
     - Using Java to produce a unique key based off of NIC info

我安装的软件备忘(for mac)_20110228

amxku(amxku@sebug.net) — Mon, 28 Feb 2011 17:24:03 +0000

luoq@amxku ( http://luoq.net/ ) :

有个朋友要，也算是自己做个备忘吧

输入法；我用的QIM，用着还蛮不错，不过是商业软件，暂不提供下载，呵呵

编辑器
- vim-cocoa
- Coda
浏览器
- FireFox，没啥好说的
IM
- Adium
- Skype
PHP开发环境；XAMPP
行程管理；iCal，直接用google的日历，手机上也能很好的同步了
系统管理
- AppCleaner，程序卸载工具
- OnyX，系统清理、优化
- mfTuneKit
- AppFresh；软件升级
影音、图形处理
- 豆瓣电台
- iTunes
- MPlayer
- 小芊(nLyrics)-Itunes歌词显示
- Picasa
- Snagit；强大的截图软件
解压缩；betterzip
翻墙相关
- Shimo
- Proxifier
FTP工具；Transmit
日常办公
- 邮件；系统自带的，加上WideMail
- Microsoft Office 2011
其他
- Growl；牛x的信息提示
- Reeder；rss，google reader

后面这更新吧，先写这些吧

曾经的记忆

amxku(amxku@sebug.net) — Sat, 19 Jun 2010 10:38:54 +0000

luoq@amxku ( http://luoq.net/ ) :

最近看到好多朋友都在做自己的T-shirt，风起云涌了，哈哈。昨天在家收拾东西，整理衣服啥的。竟然发现了05年的时间自己画的T-shirt。5年时间了，衣服已经在开始褪色了。上图怀念下。
正面

正面特写

侧面

背面

Visual Studio的广告剧

amxku(amxku@sebug.net) — Mon, 14 Jun 2010 16:34:19 +0000

luoq@amxku ( http://luoq.net/ ) :

一个热衷于code的developer，一个热衷于developer的girl，他们将发生怎样的故事？

第一集：《想做你的Code》
第二集：《让爱延长》
第三集：《幸福也需要敏捷》
第四集：《为爱Debug》
第五集：《让爱编译通过》
……

深深的情愫，淡淡的烦恼，他们是幸福的。

说说Filter JS

amxku(amxku@sebug.net) — Thu, 11 Mar 2010 17:48:38 +0000

luoq@amxku ( http://luoq.net/ ) :

开了一上午的会，来讨论FilterJS上的一些东西。

公司现在有很多这种情况存在，因为应用太繁杂，前期在测试时发现了很多这样的问题。其实之前很少关注FilterJS方面的东西，对于这一块的安全问题，仅仅是在owasp的一次会议上看到过对淘宝的攻击演示。

google到了一些相关的资料，学习学习。

OWASP ESAPI for Javascript
Javascript 的输入输出，以及二次渲染问题
 owasp-esapi-js
Bypassing OWASP ESAPI XSS Protection inside Javascript

记录下，感叹关注面之窄啊。最近老是感觉时间不够用，怎么回事啊

很久没写了吧

amxku(amxku@sebug.net) — Sat, 06 Mar 2010 16:10:17 +0000

luoq@amxku ( http://luoq.net/ ) :

好长时间没写了，发现自从上了@twitter后，写blog少了很多。

在twitter上问了一些朋友，大部分人都是这种情况。是不是blog以后要被围脖给取代了呢，不得而知。现在各大互联网公司都在做自己的围脖，基本上都比较类似，域名都是t.***。还是比较期待腾讯的，主要是他的域名（t.qq.com）够短、短地址（url.cn）够牛。sina是有名人做招牌，不知道腾讯又会走什么路线。各家都是各家的看法，不尽相同、褒贬不一。在twitter上看到，有很多人在调侃腾讯的用户有多少人知道URL是啥呢？地址找不见了，要瞻仰原文的到twitter上去搜索下吧。

最近VPS、VPN行业异常火爆，做这一块生意的朋友应该会不错，呵呵。这和我们的国情密不可分，前几天又听说.cn的米如果不提交个人信息的话就会直接被hold了。也怪不得godaddy在这个时间点支持alipay支付了，果然比我们这些民工看得远很多很多。说起这个翻墙，还有人专门为翻墙写了很多小诗（hELLoELL）比较有才，牛得一塌糊涂。你要相信twitter的用户群里什么人都有，要是他们能做到用户的群分化，那还真是不得了。

knownsec不愧是亚洲Success secrets of 20 top，牛X的IC总的scanv.com最近上线了，确实是不错。用黑锅的话说是，扫扫更健康。支持扫扫更健康。最近出来了很多有价值的paper，看都看不过来了，又要忙考试的事情，还没来得及细看，等月底吧，先好好考试。值得一说的是ben总在聊的安全团队。

纯属扯淡，先好好看书，好好考试。@amxku luoq.net

--EOF--

祝各位2010春节快乐

amxku(amxku@sebug.net) — Tue, 09 Feb 2010 21:57:18 +0000

luoq@amxku ( http://luoq.net/ ) :

祝各位朋友2010年春节快乐，虎虎生威，大吉大利，身体健康

明天回老家过年去了，今年就只能上@twitter上聊了，来年再见

感谢朋友们这一年的关心和帮助，谢谢了

SDL Quick Security References

amxku(amxku@sebug.net) — Wed, 20 Jan 2010 15:02:31 +0000

luoq@amxku ( http://luoq.net/ ) :

Brief Description

The SDL Quick Security References will help you better understand and address common attacks that may be affecting your software, Web sites, and users.

Overview

With the SDL Quick Security References (QSR), the Security Development Lifecycle (SDL) team introduces a series of basic guidance papers designed to address common vulnerabilities from the perspective of multiple business roles - business decision maker, architect, developer, and tester/QA. These papers will help you address a critical business problem now while moving you toward SDL adoption in the future.

PS：有些地方写得还不错，可以参考参考
http://www.microsoft.com/downloads/details.aspx?displaylang=en&FamilyID=79042476-951f-48d0-8ebb-89f26cf8979d

换了个域名

amxku(amxku@sebug.net) — Mon, 18 Jan 2010 21:44:26 +0000

luoq@amxku ( http://luoq.net/ ) :

amxku.net域名的密码忘记了，然后注册商的公司也被转手了几次了。以前注册的联系人也难找到了。

这鸟blog也没什么流量，也没多少人关注。不过转眼间，这个鸟blog也写了好几年了，哈哈，现在也就是发发唠叨什么的，所以说换域名也就无所谓了。这个域名现在还在国内，希望不要被直接干掉哦，我看到现在有很多网站就算已经备案了也有被干掉的。默默的祈祷吧。新域名luoq.net。

昨天在卓越上买了本JQuery的书，今天上午就到了。现在这速度还不错哦。在公司翻了翻，还不错，不过我也没有什么资格评论它的好坏，自己也是入门级。

继续我的唠叨。

年底了事情比较多，碌碌无为的忙碌。@amxku luoq.net

--EOF--

google事件的震撼

amxku(amxku@sebug.net) — Wed, 13 Jan 2010 16:55:24 +0000

luoq@amxku ( http://luoq.net/ ) :

google这件事对我震动很大，这么大的公司这么高调的举动实在不寻常，我在@twitter上连着写了几个感想，这里整理出来。

1. 认为google讲道义，这种态度是一厢情愿，有戏剧效果，但分析上走不远。这件事的重点在于为什么中国能让在世界任何角落都钱途光明简直就是互联网代名词的google居然觉得无利可图？背靠数亿使用中文的网民，现在赚不了大钱没关系，但对未来赚钱的前景竟然都如此悲观，这实在是耐人寻味。

2. 如果一个凡事讲道义的人对你不理不睬，没什么，他有可能就是假清高，比如某些美国政客；但一个想从你身上赚钱的人都掉头而去，那只能说明你没救了，因为他本应该是世界上最想和你亲近的人。所以我希望看到google留下，否则后果太严重，信号太强烈。从google的股价有多高就知道市场认为这公司有多重要，它确实代表了未来的方向。而且鉴于它和各行业切不断的联系，它一旦完全退出中国，可能引起外资的连锁反应甚至雪崩，尤其是互联网产业，这对任何人都没有好处，所以此时我只能希望这盘棋对局的多方不要把棋下死了。

3. 到底是什么突然让这么大的公司这么高调？黑客攻击？那对google的技术不算鸟事；人权斗士的信箱？别逗了，就算美国总部也别假装外宾；哥本哈根？那本来就是个闹剧，中国的表现我并没觉得比美国可笑多少，虽然演技更差一些。这些都是借口，讲给媒体听的，肯定是经济利益的基本面动摇了，现在赚不到钱不要紧，觉得未来也玄了才要命。

4. 是什么原因我们外人不能知道详细，但google这一举动，无论最后结果如何，都宣告了中国的互联网发展前景连“绝对老大”都想知
难而退了。想想上一回我们说“别了，司徒雷登”之后发生的种种，我他妈真想抱着大腿让它留下啊。

还有几句调侃的。

5. 如果没有google, 我很好奇国内搞科研的人怎么搜索研究文献？那么多大学生研究生各种教授怎么抄论文啊？都局域网了不很快大家都抄成一样得了嘛？想到这个我都笑了，哈。

6. 没有了google, 难道让我用英语大字不识一个汉语只认识“女大学生”的百度么？最后，既然是美国总部的决定，希望美国的投资人能做出反应让google三思，如果美国的市场也没啥反应的话，那总的来说人们对中国市场的未来预期是悲观的。

http://www.bullock.cn/blogs/shafa/archives/92854.aspx

现在这些老外还真是能YY

amxku(amxku@sebug.net) — Thu, 07 Jan 2010 10:52:55 +0000

luoq@amxku ( http://luoq.net/ ) :

先看看这个：

http://news.softpedia.com/news/Microsoft-Confirms-0-Day-IIS-Security-Vulnerability-130650.shtml

Microsoft Confirms 0-Day IIS Security Vulnerability IIS 6.0 Security Best Practices can help mitigate the threat.So far, the issue in question affects version 6 of IIS on a fully patched Windows Server 2003 R2 SP2; however, additional IIS releases might also be impacted.

再看看这个：

Microsoft rebuts IIS vulnerability claims
http://news.cnet.com/8301-1009_3-10422871-83.html

Microsoft has denied claims of a new vulnerability in Internet Information Services (IIS) 6, putting the blame instead on poorly configured Web servers.

真他奶奶的丫丫，就这两文章，把我们公司的同事给忽悠的一愣一愣的，谁让这鸟文章是E文写的呢！

这个功能比较好玩

amxku(amxku@sebug.net) — Wed, 23 Dec 2009 22:20:29 +0000

luoq@amxku ( http://luoq.net/ ) :

这个功能比较好玩，不知道alexa的判断依据是什么

有点丫丫的感觉。

记录下备案风波

amxku(amxku@sebug.net) — Sun, 20 Dec 2009 20:38:22 +0000

luoq@amxku ( http://luoq.net/ ) :

最近查得严了，好几个域名都因为没有备案而被搁浅了。提交了备案信息也下不来，比较郁闷。

一气之下都转到了国外，转移的过程算是比较顺利，因为代理商是认识的朋友，这样就比较容易的拿到了EPP码，不过在Approval的阶段是不怎么顺利，一等再等终于是通过了。终于是OPEN了，哈哈。

还在墙内的朋友们也赶紧行动吧。网上有很多具体过程的教程，就不啰嗦了。

杂七杂八

携程招聘安全工程师

把站点迁移到了Linode日本 Tokyo IDC

top10

FreeNAS一个不错的东西

Mac OS X Lion的感受

07-08，一年了

关于evercookie

我安装的软件备忘(for mac)_20110228

曾经的记忆

Visual Studio的广告剧

说说Filter JS

很久没写了吧

祝各位2010春节快乐

最近-爱上酸梅汤

SDL Quick Security References

Brief Description

Overview

换了个域名

google事件的震撼

现在这些老外还真是能YY

这个功能比较好玩

记录下备案风波