易栈网-膘叔

【内容全是转载，觉得挺有意思。。。】
我想这让人难以置信，但是通过Twitter和电子邮件渠道蜂拥而来的报道表 明：许多参加程序员面试的求职者根本就不会编程，看看迈克·林最近的邮件就知道了：

《为啥程序员 都不会编程呢？》 这篇文章让我改变了面试的方式。以前面试我开始都以营造融洽气氛为主。正如你提到的，事实证明这种方式太耗费时间了，大多数应聘者根本就 不会技术。因此我以技术问题作为开头来面试应聘者，刚开始的时候，问题的难度是从容易逐渐变难。后来我发现反过来的话，甄别应聘者的速度会快些，即难的问 题先问（前提是难的问题必须属于“工作必备技能”一类的问题）。多数面试仍然会花上20分钟作用，因为回答和评估仍然需要花上一些时间。但是这对于之前” 先营造融洽气氛“的面试方式来说一个相当大的改进，而且还可以通过电话方式来完成。

在读了你的文章之 后，我开始通过电话，网络会议方式进行编程面试，甄别不会编程的应聘者（也就是大多数人）所需时间降到了15分钟左右。

我写那篇文章的时候时间还是2007年，三年后当我再次听人说应聘编程工作的绝大多数所谓的程序员竟 然不能写一小段程序时，我震惊了，但是也并没有完全出乎我的意料。需要清楚的是，难是一个相对的词汇——我们不是指那种复杂的有如Google计算机专业 研究生难度的面试题。我们给应聘者做的都是一些极其简单的题目，但是他们不会。这就相当于你想雇一位卡车司机，但是却发现90% 的应聘者竟然找不到油门和变速挡。

我也同意，这有些疯狂，但是这样的事情每天都在发生，而且这是我们这个行业在招人时常见的问题。

你需要通过这种简单的技术面试题来筛选掉这些伪程序员的大军。 我在前面提到过的，通过电话筛选是个明智的选择。不过通过网络方式来筛选效果要更好，并且更自然些。

迈克加了一个声明，称他这个自制的编程测验工具并不是想秀一下他的编程能力如何。他需要一个这样的工具，所以他就写了一个——并且非常贴心的与大家分享了。 或许除了这个还有其他的工具；你们大多数人都使用什么在线工具来筛选程序员？

三年后，我仍然想知道：为什么一点都不会写程序的人都会冒出他们可以胜任程序员工作的念头来呢？ 的确，他们中有一些人会如愿以偿。但这也意味这个程序员这个行业的面试标准非常不合适。这是一种耻辱。它让每个在职的程序员蒙羞

水平差的程序还至少还可以接受教育来提高，而伪程序员不仅无药可就，而且还会让他周围 的同事自掉身价。这类人需要铲除，要做到这点就需要我们从最简单的技术编程测试做起，而这类测试也应该成为每程序员面试的一个组成部分。

本文来自东西 dongxi.net
来源： codinghorror | 作者：Jeff Atwood | 译者：neodreamer
声明：译者neodreamer拥有本文版权并授权东西网发布，非商业转载请参考东西网版权声明中的非商业用途转载版权说明；商业转载请联系东西网

» 阅读全文

我们来讨论包含文件漏洞,首先要问的是,什么才是"远程文件包含漏洞"？回答是：服务器通过php的特性（函数）去包含任意文件时，由于要包 含的这个文件来源过滤不严，从而可去包含一个恶意文件，而我们可以构造这个恶意文件来达到邪恶的目的。几乎所有的 cgi程序都有这样的 bug，只是具体的表现方式不一样罢了。

» 阅读全文

Firecookie是firefox的插件。而且它是根在firebug插件里面的。所以，要安装firecookie一定要先安装firebug。安装完Firecookie后，点击F12，在Firebug里面多了一个cookies的Tab，从里面可以看到，列出了当前应用中的cookie信息。

通过这个tab可以看到有些cookie的过期时间显 示“会话”，有些显示的是具体时间。那些显示的是“会话”的cookie就被称为是“会话cookie”，即关闭了当前浏览器后，该cookie就消失 了。那些设置了具体过期时间的cookie被称为是持久cookie，浏览器就会把cookie保存到硬盘上，关闭后再次打开浏览器，这些cookie依 然有效直到超过设定的过期时间。

有些cookie被设置为http-only，是为了防止跨站点脚本攻击（XSS），以防用户重要的cookie信息被别人窃取。这点就不深入了，网上有很多资料。

Cookie的路径用于设置可以读取一个cookie的最顶层的目录，如显示为“/”说明只要在同一个域中，所有的文件都可以访问该cookie。

这个工具可以修改cookie的值、新建cookie、清除cookie等功能。在测试的过程中可以利用这个工具修改相应的cookie的值，来测试对应功能是否正确。

你试试看就知道喽。HOHO

这篇文章很强悍，看到的时候我很惊讶，传说中的大吃一斤又出现了。
没办法，人啊。。。总是会想到奇怪的方法，呵呵。。
看内容吧。不多说了，很彪悍。

G Reader里Dexter同学的分享，来自sla.ckers.org的又一神作:点我测试

GReader里看不到效果的同学请自行测试下列HTML：

在线转换工具

 

跟Brainfuck有的一拼。。。是挂马的好办法。。。

更新：研究了一下它实现的原理，有一个码表：

拼接出来字符串 "eval"，如何把 "eval" 变成 eval() 呢？方法是：[]["sort"]["call"]()["eval"]

其中 []["sort"]["call"]() 等于 [].sort.call() ，等价于 window，所以上面 []["sort"]["call"]()["eval"] 就等价于 window.eval。

然后就是体力活了，把码表对应转换成 eval("blah blah") 这种形式就可以执行任意代码了，不同浏览器的码表不一样。 Chrome和Firefox的index就不一样。

其实这个码表还可以通过 ·toLocal*()` 函数族扩展到Unicode，比fromCharCode要简短 :D

原文来自：http://www.cnblogs.com/pandora/archive/2010/02/27/1674833.html