易栈网-膘叔

自从我的开发环境换成ubuntu后，对于SVN总感觉不象以前那样痛快。毕竟习惯了windows下的小乌龟了，于是找了很多资料，然后在某篇博客里发现了这个rabbitvcs，兴冲冲的装上去。

然后，就开始我的rabbitvcs之旅了，只是这段旅行并不快乐，在我写这篇文章的时候，它已经被我remove掉了。

先简单介绍一下rabbitvcs吧，它是一个GUI的SVN client，界面和操作方法都有点类似于小乌龟，所以，上手度极高。配置起来也挺方便，如果你装的是中文版的ubuntu，菜单中还有部分会被汉化。如果你用过小乌龟，那么我就不多说了。如果你没有用过，那我说了也白说。

剩下的就是我说缺点了，它有一个最大的缺点，那就是，SVN目录如果稍微过大，它就会在打开目录的时候，几乎停止响应。OK，你停止响应也就算了，你不能影响到所有打开的目录吧，只要是涉及到目录打开的，都会停止响应，时间比较长。

还有一个缺点就是，无论你怎么设置保存密码，它都记不住，我靠，你都记不住，你把那个复选框放出来干啥。真受不了。

所以，我卸载了，当然，最主要的原因，还是因为它卡死了目录。

现在我还是到SVN目录下，直接执行:svn update --username=xxx --password=xxx，速度超快，看来以后还是这样比较好。

用UBUNTU桌面版挺长时间了，配置VPN也很久了，但从来没有连接成功过。
昨天因为要查资料需要翻越长城，所以找了一下ubuntu VPN客户端的资料，想找个客户端来上网，结果找到的资料都是使用内置的PPTP客户端就成了。

再找资料，发现，我不能启动的原因可能是：

我一直想要苹果，但是，家里的财政大权不是我能管的。又想买一个黑苹果吧，但财政大臣那边还是不同意，认为买一个假玩意没意思。

虽然我一直想搞台笔记本，但目前好象还没有准备好，上级领导不批啊，所以看到素包子这篇文章就鸡动了一下。。。

素包子找了一些资料，大多不是介绍的最新的vmware7装最新的macos x，搜到了一个不错的安装介绍，参考着做完全没问题，而且很简单，感谢作者刘洪志和电脑报。5分钟搞定配置过程，接下来就是等待自动安装和重启了。

貌似可以升级到10.6.4，做了个snapshot，更新去了，一共700M左右。

（其中使用darwin.iso启动进行安装的步骤可以省略，可以直接使用OSXPCBETA_ArcticFox.10.6.3.iso启动安装。）

想偷懒并且对版本要求不高的同学可以下premade的vmware镜像，直接使用，大小10G，见BT种子，用迅雷离线下载瞬间完成，满水管下载。

Mac OS X 10.6.2

原文在：http://baoz.net/install-macos-x-snow-leopard-10-6-3-in-vmware-7/

好象主要是那两张图：

看到这篇文章的时候是在晚上，然后就觉得好郁闷，不过也挺佩服淘宝QA那些人的奇思怪想，看看他们是怎么说的吧。

一、关于文件名
大家都知道在 windows 下面文件名是有规则，定义了一些保留的字符，他们分别是：

< (less than)
> (greater than)
: (colon)
" (double quote)
/ (forward slash)
\ (backslash)
| (vertical bar or pipe)
? (question mark)
* (asterisk)

而linux下面是没有对这些大部分字符进行限制的，可以随意定义的，那么，我们就可以将 XSS Pyload 存储在文件名中，如图所示：

我们可以看到可以成功将 xss pyload 存储在文件名当中了。
二、利用攻击
很多时候，由于代码的各种环境，让我们的攻击成为可能，查看以下PHP上传文件代码：

可以看到，我们确实可以攻击成功了！那么，并不是所有的上传地方都存在，要满足以下条件才可以：
1、文件上传后保存前进行了一次原样输出。
2、直接按原文件名进行存储。
3、其他特定环境，看程序逻辑。
4、web server 为 linux。
5、上传攻击机器为 linux。
示例代码：http://code.google.com/p/madal-example-project/source/browse/trunk/controllers/image_uploader.php?r=2
更多的：http://code.google.com/query/#q=$_FILES[%22file%22][%22name%22]
线上攻击测试：http://www.woyigui.cn/fileupload.php

三、防范
1、存储时以随机文件名保存。
2、任意时候对文件名进行处理后输出，可以进行 html 编码后输出。

参考：

http://msdn.microsoft.com/en-us/library/aa365247%28VS.85%29.aspx

－－EOF——

原文来自：http://qa.taobao.com/?p=10139，虽然这个条件很苛刻，但毕竟还是存在被注入的可能啊，而且这种注入真的很妖。

这个功能能，看上去不错，所以我转了一下，但，我目前还没有在自己的服务器上尝试，不过我也在想，如果这样操作了，图片怎么样被外站引用呢？这也是我考虑的原因。。。

原文：

曾经有位朋友自己做了个小网站，刚开始没什么人气，后来不小心把流量搞大了，用户抱怨访问缓慢，就让我帮忙看看哪里可以优化。那时 Steve Souders 老师的 YSlow 14条军规刚刚新鲜出炉，开宗明义第一句便是：网页性能 80% 消耗在前端。于是运用 Firefox+Firebug+YSlow 工具，轻松找到那些大图小用、过期时间太短、JS/CSS位置不正确、没有精简压缩的罪恶之源。前后只花一两周时间就把网站弄快了，好不得意。

今天 Google 发布的 mod_pagespeed for Apache 2，着实令人赞叹。原本需要一两周时间才能完成的前端优化工作，不到半个小时就能搞定，而且不用修改任何程序。现成的二进制安装包，下载来 直接装入系统，自动添加配置，重启 Apache 之后，一切前端问题自动优化。CDN服务商 Cotendo 已在其CDN服务器上部署mod_pagespeed以加速客户网站访问，图片文件大小经自动压缩可减少20%-30%，页面加载时间最多可缩短50%。 Go Daddy 也宣布将在其客户网站服务器上广泛部署mod_pagespeed。

mod_pagespeed 中有很多巧妙的设计，规避了以往必须要动复杂手术才能解决的问题。比如，它可以将图片文件的过期时间自动延长到一年，无论图片是否存在同名更新（即文件名 不变，图片内容随时可能改变，从而无法设置较长的过期时间）。假设网站原来的logo图片引用和HTTP header如下：

经自动处理后，会变成：

好象作者活在墙外，真让人痛苦，转载了他的文章吧，却不能给人家一个地址，所以贴上他的博客地址：http://hutuworm.blogspot.com/