V2EX › M4ster 的所有回复 › 第 10 页 / 共 11 页

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

1 ... 2 3 4 5 6 7 8 9 10 11

❮

❯

2015 年 6 月 10 日

回复了 zmq175 创建的主题 › NGINX › 反代 dmm 变成直接跳转到 dmm.com 了，不知道为什么

防止别人反代你网站最简单的方法，到JS里写句判断：
if(document.domain != 'www.dmm.com') location.href='http://www.dmm.com/';
楼主慢慢找把：）

2015 年 3 月 17 日

回复了 raysmond 创建的主题 › 程序员 › 用 Angularjs 重构了整个 Raysnote 笔记本前端， v2.0 上线

存在几处问题，给出几点建议。

几处漏洞：
后台笔记本名处依然存在XSS（但似乎只是self-xss）；
网络文章管理处存在SSRF（探测服务器内网，如：“http://localhost/”、“http://192.168.1.1”）；
删除文章的时候并没有验证用户权限，可以越权删除别人的文章（只需文章的ID）；

危险一点的地方：
笔记的ID可以通过referer被别有用心的人获取到。（引用外站图片时，被引用服务器可以记录到referer，referer中含有笔记ID信息）；
获取到了笔记的ID后，可以拼凑URL直接访问文章内容。这样一来无论是私有还是公开的笔记都是可以被获取到；
可以通过获取到的笔记ID执行上述删除操作。

2015 年 2 月 18 日

回复了 picasso250 创建的主题 › 分享创造 › show V2EX: 弹幕春晚 http://avdanmu.duapp.com/

@picasso250 http://avdanmu.duapp.com/av/33 弹了、弹了，又弹了！

2015 年 2 月 18 日

回复了 picasso250 创建的主题 › 分享创造 › show V2EX: 弹幕春晚 http://avdanmu.duapp.com/

@picasso250 http://avdanmu.duapp.com/av/32 这也弹了

2015 年 2 月 18 日

回复了 picasso250 创建的主题 › 分享创造 › show V2EX: 弹幕春晚 http://avdanmu.duapp.com/

@picasso250 http://avdanmu.duapp.com/av/33 弹弹弹，弹走鱼尾纹:-D

2015 年 1 月 26 日

回复了 coolicer 创建的主题 › 奇思妙想 › 搞一个证件中心，把你所有证件资料都管理起来

被黑了就呵呵了 :-D