易栈网-膘叔

用UBUNTU桌面版挺长时间了，配置VPN也很久了，但从来没有连接成功过。
昨天因为要查资料需要翻越长城，所以找了一下ubuntu VPN客户端的资料，想找个客户端来上网，结果找到的资料都是使用内置的PPTP客户端就成了。

再找资料，发现，我不能启动的原因可能是：

我一直想要苹果，但是，家里的财政大权不是我能管的。又想买一个黑苹果吧，但财政大臣那边还是不同意，认为买一个假玩意没意思。

虽然我一直想搞台笔记本，但目前好象还没有准备好，上级领导不批啊，所以看到素包子这篇文章就鸡动了一下。。。

素包子找了一些资料，大多不是介绍的最新的vmware7装最新的macos x，搜到了一个不错的安装介绍，参考着做完全没问题，而且很简单，感谢作者刘洪志和电脑报。5分钟搞定配置过程，接下来就是等待自动安装和重启了。

貌似可以升级到10.6.4，做了个snapshot，更新去了，一共700M左右。

（其中使用darwin.iso启动进行安装的步骤可以省略，可以直接使用OSXPCBETA_ArcticFox.10.6.3.iso启动安装。）

想偷懒并且对版本要求不高的同学可以下premade的vmware镜像，直接使用，大小10G，见BT种子，用迅雷离线下载瞬间完成，满水管下载。

Mac OS X 10.6.2

原文在：http://baoz.net/install-macos-x-snow-leopard-10-6-3-in-vmware-7/

好象主要是那两张图：

看到这篇文章的时候是在晚上，然后就觉得好郁闷，不过也挺佩服淘宝QA那些人的奇思怪想，看看他们是怎么说的吧。

一、关于文件名
大家都知道在 windows 下面文件名是有规则，定义了一些保留的字符，他们分别是：

< (less than)
> (greater than)
: (colon)
" (double quote)
/ (forward slash)
\ (backslash)
| (vertical bar or pipe)
? (question mark)
* (asterisk)

而linux下面是没有对这些大部分字符进行限制的，可以随意定义的，那么，我们就可以将 XSS Pyload 存储在文件名中，如图所示：

我们可以看到可以成功将 xss pyload 存储在文件名当中了。
二、利用攻击
很多时候，由于代码的各种环境，让我们的攻击成为可能，查看以下PHP上传文件代码：

可以看到，我们确实可以攻击成功了！那么，并不是所有的上传地方都存在，要满足以下条件才可以：
1、文件上传后保存前进行了一次原样输出。
2、直接按原文件名进行存储。
3、其他特定环境，看程序逻辑。
4、web server 为 linux。
5、上传攻击机器为 linux。
示例代码：http://code.google.com/p/madal-example-project/source/browse/trunk/controllers/image_uploader.php?r=2
更多的：http://code.google.com/query/#q=$_FILES[%22file%22][%22name%22]
线上攻击测试：http://www.woyigui.cn/fileupload.php

三、防范
1、存储时以随机文件名保存。
2、任意时候对文件名进行处理后输出，可以进行 html 编码后输出。

参考：

http://msdn.microsoft.com/en-us/library/aa365247%28VS.85%29.aspx

－－EOF——

原文来自：http://qa.taobao.com/?p=10139，虽然这个条件很苛刻，但毕竟还是存在被注入的可能啊，而且这种注入真的很妖。

这个功能能，看上去不错，所以我转了一下，但，我目前还没有在自己的服务器上尝试，不过我也在想，如果这样操作了，图片怎么样被外站引用呢？这也是我考虑的原因。。。

原文：

曾经有位朋友自己做了个小网站，刚开始没什么人气，后来不小心把流量搞大了，用户抱怨访问缓慢，就让我帮忙看看哪里可以优化。那时 Steve Souders 老师的 YSlow 14条军规刚刚新鲜出炉，开宗明义第一句便是：网页性能 80% 消耗在前端。于是运用 Firefox+Firebug+YSlow 工具，轻松找到那些大图小用、过期时间太短、JS/CSS位置不正确、没有精简压缩的罪恶之源。前后只花一两周时间就把网站弄快了，好不得意。

今天 Google 发布的 mod_pagespeed for Apache 2，着实令人赞叹。原本需要一两周时间才能完成的前端优化工作，不到半个小时就能搞定，而且不用修改任何程序。现成的二进制安装包，下载来 直接装入系统，自动添加配置，重启 Apache 之后，一切前端问题自动优化。CDN服务商 Cotendo 已在其CDN服务器上部署mod_pagespeed以加速客户网站访问，图片文件大小经自动压缩可减少20%-30%，页面加载时间最多可缩短50%。 Go Daddy 也宣布将在其客户网站服务器上广泛部署mod_pagespeed。

mod_pagespeed 中有很多巧妙的设计，规避了以往必须要动复杂手术才能解决的问题。比如，它可以将图片文件的过期时间自动延长到一年，无论图片是否存在同名更新（即文件名 不变，图片内容随时可能改变，从而无法设置较长的过期时间）。假设网站原来的logo图片引用和HTTP header如下：

经自动处理后，会变成：

好象作者活在墙外，真让人痛苦，转载了他的文章吧，却不能给人家一个地址，所以贴上他的博客地址：http://hutuworm.blogspot.com/

乘着最近在大战，我也贴个UBUNTU下装QQ的方法。只是这个QQ也是被改过的版本。爱用不用喽。。。。经测试，比linux占资源少一点，只是一些QQ附加的功能都可能没有了。。但是，能够聊天已经很不错了。
如果不用虚拟机，你连WEBQQ也用不了，有这样的工具，你还能怎么样？

先装wine,然后用winetricks装上这些常用的（其实前两天我的博客里介绍的wine就已经有介绍这样的了）。

最后我COPY这段文字，请大家可以随便看：

由于文件太大，我不提供下载，请到这里下载单文件版的QQ：http://killmind.com/blog/?post=188，我的文章也是从这里看的。（其实前两天我装wine的时候就尝试过所有版本的QQ了，但都是只能装不能启动。真的很郁闷。所以试了一下这个单文件的QQ），运行后，所有的聊天记录和信息文件存在mydocument目录下。和2009选择存在我的文档下结果是一样的。GOOD LUCK

后记：最后我看了这里：http://blog.chinaunix.net/u/27383/showart_689260.html，虽然它写的是2007版的QQ，但我测试了一下，2010的确实能用。虽然在安装的时候注册组件出了两次错，但确实是启动成功了（输密码的时候，请使用软键盘，否则，光标一移动到密码框就出错了。）

备份：