鬼仔's Blog

Author:[sh0wrun],[woyigui]
Date:2009-09-09
声明：该漏洞已报告并已修复,切勿用于非法目的。

原理分析:
我们经常会用到的mail.139.com，由于对邮件正文过滤不严,导致存在xss漏洞。他们尽管实现了对style=”xss:expression”进行过滤,但是可以通过添加/* */绕过，如：

<IMG STYLE="xss:expr/*xss*/ession(alert(/xss/))">。

在添加/* */后，该脚本能够在IE浏览器执行。
阅读全文 »

作者：war3apollo

Welcome!各位ScriptKid，欢迎来到脚本世界。

时隔2个月，终于进行到这一篇。有些标题党了，哈哈。其实我想通过这篇文章说明的是：做安全，真不容易啊。。。

这个蠕虫写于2006年中左右，为了演示XSS漏洞的危害。我记得当时在给公司的开发同事培训WEB安全时，有同事对我说：脚本是执行在客户端的，XSS漏洞关我什么事呀，又不会影响我的服务器和服务。

确实，给开发的同事和不大懂安全的BOSS们进行安全教育，解释什么叫网络安全，是个艰巨和长期的任务。往往一个真实的攻击实例演示，一次安全事件比你讲个几次课都管用。

很庆幸我的老大都是安全圈内的人，腾讯有一个比较懂安全的CTO。公司现在已经很少有人发出那些质疑的声音了。
阅读全文 »

比起每天要登陆邮箱要方便得多了

SocialMail 是 Big in Japan (推出的Blog系列工具集一直颇受大家的欢迎)的网络工具其中之一。它可以將email转换为feed。你可以用SocialMail将任何现有的emai转换成feed的形式，这样我们就可以用feed来收取信和定阅。就像我们平时使用feed来定阅blogger及网站的信息，使用方法非常简单，首先在Socialmail创建一个@biggu.com的邮件地址，然后在自己常用的电子邮箱服务中设置转发功能，将所有邮件转发到 @biggu.com，通过Socialmail给你的Feed链接，你就可以订阅自己的邮件了。同时在Feed设置中你可以对自己的邮件 阅读全文 »