分类：随笔

中国人民共和国外交部网站的一个跨站漏洞

　　中华人民共和国外交部网站 http://www.fmprc.gov.cn
　　这个XSS漏洞不难利用，问题在 search.jsp 文件过滤不严格，且没有过滤post提交的数据，我们看看攻击的截图：

　　或者这个：

　　当然，用来做点别的也行……
　　测试链接：

http://www.fmprc.gov.cn/wjb/search.jsp?searchword=<script>alert('youxia')</script>

　　或在：
　　http://www.fmprc.gov.cn/wjb/search.jsp
　　搜索框中输入：

<script>alert('youxia')</script>

2009年9月2日网路游侠 1 分钟阅读 0

随笔

淘宝联想旗舰店的客服们还是很NB的

千言万语也胜不过一张截图啊

最近事情多，博客更新少了……
当然一部分精力放在了新站：
http://www.cnciso.com
欢迎访问网路游侠的新站！
当然，CNCISO是准备和圈里面朋友合作
网路游侠的信息与网络安全博客
https://www.youxia.org
依然会在闲暇时间更新
并且，下一步将以原创作品为主
感谢关注！

2009年8月27日网路游侠 1 分钟阅读 0

随笔

　　傍晚到汉中市，当然现在说来应该是“昨天”了，到宾馆打开电脑，发现自己的博客打不开了。
　　联系空间商，发现说有非法的关键词……一看，居然是Sinfors！
　　自己博客曾经增加了几个介绍Sinfors产品的链接，于是乎——被干掉了！
　　其实很多事情说起来很无法理解，Sinfors的上网行为管理产品本身在国内做的不错，估计是前几天网上说深大学生抗议装这个产品的文章引起了关注……但是实际上现在有多少政府、企业、学校在装这样的产品呢？相信做这个产品的都知道吧！
　　我本身也是一直做这个行业，也知道有些东西让人不舒服。但是如果仅仅因为我博客写到了Sinfors产品的功能就要干掉那几篇文章，我感觉冤！
　　当然，不得不佩服，GFW过滤的关键词越来越多了。
　　顺便说一句，《寂静之城》还没被封，很奇怪啊……

2009年8月12日网路游侠 1 分钟阅读 0

随笔

卓越亚马逊的脑残推荐

刚在卓越亚马逊网站上看着玩
看到了McAfee VirusScan Plus 2009杀毒软件
向下看介绍，有个“最佳组合”

McAfee VirusScan Plus 2009 卡巴斯基全功能安全软件2009(免费升级3年)

这两款杀毒是都不错，但是记得：
——杀毒软件最好只装一款！否则容易冲突！
貌似卓越亚马逊的最佳组合要修正下了……

2009年8月10日网路游侠 1 分钟阅读 0

随笔

用户说某产品的测试：高开低走，最后停盘

　　今天在某省级政府单位进行技术沟通，谈到他们测试的流量控制系统，用户说了一句很经典的话：
　　“高开低走，最后停盘”
　　我问，详情如何？
　　曰：测试的产品一款不如一款，最后直接断网了……有的挂上慢一些也就罢了，“杀敌一万，自损三千”尚且可以理解，但是某款宣传的蛮好的产品居然挂上之后网卡和交换机有兼容性问题，乃至于无法上网！还有某厂家的测试的时候需要一个个的添加帐号，否则无法上网。配合测试的工程师直接说：算了吧，上千人添上都累死了……不用测了。
　　所以说产品的测试是“高开低走，最后停盘”。
　　游侠想说：
　　做产品，一定要以客户实际需求为主，切忌研发闷头写产品，否则注定是被市场抛弃。
　　不写了，明天早上还得被闹钟叫醒去外地给客户做网络安全测试……
　　估计睡眠时间6小时，明天至少在车上6小时。晚上回西安如果不出意外的话是得“披星戴月”。

2009年7月28日网路游侠 1 分钟阅读 0

随笔

从这个通知看出来很多人还是相当的愚昧的

早上起来看到几个门户网站都有这么一条新闻：

没想到21世纪的今天，发生一次日全食居然要国办发通知：
——“做好相关预案和应对准备，强化值守应急”
很多国人的思想还是相当的愚昧，不得不承认。

2009年7月19日网路游侠 1 分钟阅读 0

随笔

终端安全产品的兼容性的确是个问题

　　因为笔记本电脑里面有些代码，所以游侠是一直在用电子文件保险柜的，这样即使丢了电脑，数据也没问题。虽然偶尔电子文件保险柜也有点小问题，不过还属于能接受的程度。
　　昨晚，哥们拿了某个厂家的指纹加密U盘过来，想装上测试下。由于北京有朋友过来，插上指纹加密U盘看了下就去火车站了……
　　回来重新打开电脑，发现以前强制USB-KEY登录系统的模块没有了……郁闷
　　重新试了下，的确是有这个问题：
　　装上电子文件保险柜（含计算机登录控制的USB-KEY），好用着；拿来指纹加密U盘装上驱动——开机登录模块没了！
...

2009年7月16日网路游侠 1 分钟阅读 0

随笔

员工私设代理或私挂路由问题的解决

　　和用户沟通的时候，用户提出的问题：如果网内的用户私设代理服务器或者私自挂接路由器怎么办？实际上游侠也遇到过这样的问题，下面说说吧！
　　常见的私设网络代理的情况一般如下几种：
　　·CCProxy等代理软件
　　·用Windows操作系统自带的ICS共享
　　·用Windows服务器版操作系统做路由，NAT
　　·直接挂路由器
　　查了下资料，一般用计费软件可以很容易的解决这个问题。因为计费软件自身有认证措施，一般也会有个插件。用户要上网，必须用这个，这样会主动安装这个插件，同时插件会检测代理软件，因为如果有代理，收费就肯定严重的不准确。所以这类产品都有这个功能。
　　做上网行为管理的，如网康、深信服，刚开始做这个功能，深信服的已经上市，网康的据说很快上市？
　　不过单独买个计费系统纯粹是为了解决私设代理问题的话，代价有点高。
　　游侠认为还有一种不用花钱的办法：用扫描软件扫描端口，比如某些代理服务器会开放特定的端口，8080、1080之类的，如果开放了，八成……不过如果对方做了一些安全设置，扫描软件是不起作用的。

2009年7月9日网路游侠 1 分钟阅读 0

随笔

电脑上装个文件加密软件还是比较靠谱的

虽然上互联网的笔记本是不保存敏感信息的
但是有时候一些资料也不希望被别人看到，比如自己的网站数据等
万一笔记本电脑丢失……则可能会员们的密码等都不保
因此还是对数据加密比较让人放心
我用的是USB-KEY的，开机必须插入USB-KEY才能登录电脑
一旦拔掉USB-KEY电脑就自动锁屏

下面是绑定Windows登录账号的界面

并且可以创建文件保密柜
所有文件的操作在虚拟的文件保密柜里面操作
即使丢失别人没有USB-KEY和PIN码也打不开
另外用数据恢复软件也没有任何恢复的可能……嘿嘿