据流注入型跨站
今天看到的百度贴吧XSS有属于这种类型的,不过仅在FF下有效,原因是在GBK字符集及其子集(或更高级的双字节字符集)编码环境下构造类似于包含%c1′这样的双字节字符串时,提交给服务端,返回。在这整个处理过程的任何一环节,FF都会单独处理这两个字节(%c1与’),而服务端却认为这是一个完整的双字节字符,这导致了单引号这样的特殊字符可以侥幸在FF下残留下来。IE不行,那是因为它也认为这两个字节构成了一个双字节字符。
貌似说的有点乱。
将恶意构造的数据作为参数注入到服务端返回的JS数据流中,百度似乎很容易忽略这的过滤。比如这个:https://passport.baidu.com/?login&u=./?”</script><script>alert(document.cookie)//打开后,服务端返回的js代码为:
<script>
var
url=url.replace(/^\.\//gi,”http://passport.baidu.com/“);
location.href=url;
</script>
还没修补。
|
标签:杂谈 |
QQ空间密码破截需要使用如下代码,现在为大家公布并做以讲解。本方法适用于设置了密码的QQ空间,和对QQ空间有权限的访问限制。
QQ空间密码破截代码如下:
在浏览器里复制以下地址:
http://user.qzone.qq.com/7613713/blog/1195703441
打开后,依次点击“查看”按钮;
选择倒数第3行的“查看源文件”
显示的源文件代码如下:
http-equiv='Content-Type' content='text/html;charset=gb2312'
/><script>var
g_Src_Domain='u.cnc.qzone.qq.com',g_dns_name='ming2657',imgcacheDomain='imgcache.qq.com',g_iUin=7613713,_s_=new
Date(),g_JSON=1;document.write('<script
src='http://u.cnc.qzone.qq.com/cgi-bin/entry_js.cgi?uin=7...
src='http://imgcache.qq.com/qzone/G4.1.js';><&... (typeof
G41Loaded=='undefined')
location='http://qzone.qq.com/new_help/error.htm';</sc...
src='http://imgcache.qq.com/qzone/noscript.gif';
我们在这些代码里找到:“Domain='u.cnc.qzone.qq.com',g_dns_name='ming2657',imgcacheDomain='imgcache.qq.com',g_iUin=7

|
标签:杂谈 |
|
标签:it |
默多克表示,雅虎的最大股东投资商Capital Research Global Investors的Gordon Crawford对雅虎的决定非常不满。当被问及Crawford是否还会接受每股33美元的收购方案时,默多克说:“他会马上接受。”
在Allen & Co.媒体年会举行前,Legg Mason的Bill Miller表示,如果伊坎能够向投资者保证不以低于每股33美元的价格出售雅虎的话,那么他将会获得更多的支持,
雅虎首席执行官杨致远拒绝对雅虎目前的处境发表评论。
|
标签:it |
“中国过去的消费概念是,花钱买了实物才是消费,但随着人们生活不断富裕与发展,精神方面的需求越来越旺盛,网游作为精神产品带来的娱乐效果不亚于传统消费,这是网游对中国人的最大贡献。”史玉柱说。
他认为,网游过去发展的“失”是,对未成年人的保护工作仍需努力。尽管网游是很好的娱乐项目,是解决人们精神需求的消费产品,但史玉柱认为网游不适合未成年人。
“只要是网游,就不适合未成年人,包括休闲游戏。”史玉柱称,未成年人最需要的是学习与锻炼身体,对娱乐的需求不大,网游对未成年人的学习与锻炼身体都没有帮助。此外,一些游戏还经常导致未成年人沉迷,这更影响他们的学习与锻炼。
要解决
|
标签:it |
印度一位法官最近审理一桩杀人案时,采信嫌犯脑部扫描测谎结果,认定一名涉嫌杀害未婚夫的24岁企管硕士班女学生阿蒂提,对犯罪过程有独具的“经验知识”,因而判她无期徒刑,创下法庭以脑部扫描结果为判决凭据的全球首例,引发争议.据法庭文件,这名女子另结新欢后离开未婚夫,但后来她又回来找未婚夫,约在麦当劳见,结果暗中在食物中下砒霜将未婚夫毒死.
据台湾《联合报》援引《纽约时报》的报道,印度法庭几年前即开始采信嫌犯脑部扫描测谎结果,但在6月12日马哈拉什特拉这项杀人案判例之前,不曾有拿脑部扫描结果作为定罪依据的前例.此案是以邦加罗尔“国家心理卫生神经科学研究院”研发的脑波测谎系统BEOS(Brain Electrical Oscillation Signature),配合传统测谎器双重测谎.
在脑波测谎执全球牛耳的美国,心理学家与神经科学家对马哈拉什特这件案例褒贬不一,有人称赞 “好极了”,也有人抨击:“荒谬”、“令人心寒”、“没良心”.美国法官虽也采信脑部扫描结果,但一般是被告律师藉以证明被告精神有问题试图脱罪或减刑,而不是被检方当成说服陪审团嫌犯有罪的证据.
印度法庭最早以脑波纪录仪当庭扫描嫌犯,嫌犯头部贴上数十个电极后闭眼安静坐着,
|
标签:杂谈 |
追踪迹
&nbs
|
标签:杂谈 |
据英国《每日邮报》报道,研究人员表示,在2000多年前,古希腊人便发明了世界上第一台计算机——一个装有刻度盘、齿轮和嵌齿的盒子,在这台“超级计算 机”的帮助下,古希腊人能够提前几十年预测日食和月食。古希腊“超级计算机”名为安提凯希拉装置(Antikythera Mechanism),是100多年前在一艘罗马沉船上发现的。除了预测日食和月食外,它也被用于记录奥运会长度4年的周期。安提凯希拉装置是在大约公元 前100年制造的,此前的研究显示,它用于绘制有关行星移动和岁月变迁的图表。
根据《科学》杂志报道,X光扫描结果显示,这个装置能够预测日食和月食,同时用于记录古希腊发生的重大事件。加的夫大学天文学教授迈克·埃德蒙斯(Mike Edmunds)说:“它要比此后1000年问世的其它任何已知装置都要复杂。”剑桥大学前数学家、伦敦“Images First的托尼·弗里斯(Tony Freeth)博士说:“我们知道,这个有着2100年历史的古希腊装置能够计算数理天文学中的复杂周期。令我们真正感到惊讶的是,它居然还记录古希腊运动会的4年周期,其中就包括奥运会。”
|
标签:it |
由英国最大社交网站Bebo和RDF电视传媒联手星际通讯科学家亚历山大·扎伊采夫博士筹建的“地球来信”项目于8月4日启动。他们将向外太空发送一个承载500条Bebo用户提供信息的数字“时空舱”,目的地是距地球20光年的行星Gliese 581c,科学家们认为这颗行星的环境适合生命存在。
这一名叫“地球来信”的项目启动后,将邀请Bebo用户、名人和政要编辑有关“从新视角看待地球”的信息和图片,提高保护地球环境的意识。1200多万Bebo用户都可以编辑自己的信息参与网络投票评选,网络评选历时两个月,到9月30日结束,届时将有500条信息被选中放入电子“时空舱”。俄罗斯科学院专家扎伊采夫表示,很愿意看到Bebo社区的年轻一代是如何代表地球和人类。RDF传媒称,这将是首次以民主的方式选择发向太空的信息。
