发现严重的SQL注入漏洞

2004-4-9 2:45:11 PM
请所有DLOG用户注意,立即修改你的程序。此修改已经加破废墟DLOG1.2版。
网友阿房公发现:
以下为引用内容:
DLOG程序(目前只发现showTB.asp页面)存在很严重的SQL注入漏洞,刚才我实验了一下,程序提供者Poorfish的站点同样存在,我把poorfish的帐号比较轻松地得到了(加密后的前六位9875d2——注:此处只是为了证明漏洞的真实性,不会对其本身的安全性造成影响,请相关人员核实作出相应处理),还好是MD5加密的,写了个暴力破解的程序跑了一个上午,密码相当STRONG,未遂,呵呵~~,不过难保其他DLOG站长不疏忽大意,超级管理员帐号一旦泄露就麻烦了。我已向Poorfish提出警告,希望他注意修复,并作为程序第二作者,有义务推出更新包,让用户下载堵住漏洞其他页面我没有测试,有时间再好好看一下。目前的解决办法就是对showtb.asp页面传递的blog_id进行一下isnumeric函数判断,防止黑客利用漏洞进行破坏。

解决办法:
修改showTB.asp,将
in [LOG] | Comment[22] | TrackBack[8] | 6890 views

地球为什么自转?

2005-6-8 11:10:17 AM
其实我也琢磨这个问题好久了,甚至还以为发现了永动机,呵。今天看到这篇文章,还挺有道理的。
----------------------------------
《地理》高中上册2004年人教版15页就讲“地球的自转”,这种讲法已是400年没变,从哥白尼到牛顿,又到21世纪,无人不知地球23小时56分4秒自转一周。可在如此简单的真理背后,没人告诉我们下一个为什么,即为什么地球会自转?为什么地球会偏着 头转?而金星为什么要反转?天王星为什么要睡着转?冥王星为何要同自己的卫星查龙面对面地旋转?不弄清地球与其它行星的旋转动力来源,光年复一年地背诵地球自转的周期与转轴倾角有个屁用!你讲不清楚不要紧,可你得告诉学生,说你不知道地球自转的动力是怎么 来的,你应该让学生有个深入思考的目标啊,怎么能长期回避这个科学问题呢?60 年代,我读中学时就问过当时的老师,他说你上了大学就知道了,文革时期大学停办了,我买了原华东师大地理系主任金祖孟教授的《地球概论》,也在回避这个问题。文革后第一次高考,我有幸到上海上大学,某星期天,我背了一书包手稿到金祖孟教授的家里当面向他请 教,他先问我读过美国芒克的《地球自转》没有,我说读过3遍,但芒克把全球火车对地球自转的影响都算进来了,却遗漏了万古奔腾的洋流,他也回避了这个问题。金教授最后也没说出个所以然,使我相当失望。后来金教授坐了我国地理学界的第一把交椅,80-90年代的中学《地理》课本全由他作最后审定,可这几十间的《地理》课本依然不谈地球自转的动力来源。1997年,我到北大地球物理系找到王仁教授(科学院院士),他是搞“地球动力学的第一权威”,王老师说他只研究潮汐对地球自转的影响,整个地球自转的动 力问题可能是个哲学问题。该系钱祥麟、王邵武、地质系董申堡(院士)也没有很准确的答案。倒是一批哲学家认为这个问题很简单,他们说康德早在200多年前就把这个问题解决了,所有行星自转的动力都来自原始星云中的牛顿惯性,其实,这批哲学家根本就没读牛顿 的原著,康德算哪根葱?这位德国古典哲学的创始人基本是个科盲。

各位同学,下面是本人30多年的思考总结,发表在《地球大揭秘》第一章,能否有一定参考作用,请你们审定,你们才是历史与真理的最后审定者。
in [Life] | Comment[21] | TrackBack[49] | 5017 views

修补文件上传BUG

2004-11-25 12:25:45 PM
blueidea有人提意见了,刚才花几分钟改了一下,下载此补丁,解压后覆盖原文件。
blog_fix_20041125.rar
in [LOG] | Comment[21] | TrackBack[226] | 8066 views

UBB的IMG标记添加ALIGN参数

2003-12-6 2:18:17 AM
经典广州聚会腐败后在珠江边散步时,和源码聊到UBB代码,他提到文本绕图的实现,虽然他讲的是如果让用户实现傻瓜化的UBB输入,但启发了我在BLOG中实现文本绕图的功能,增强添加日志时在排版方面的自由度,使得页面更为美观。
使用方法为[ img=right/left ]URL[ /img ],其中align的参数值对应HTML标记<img>的align属性值,示例:
----------------------------------------------
Poco是国内领先的多媒体资源共享软件,是数联公司网络富集技术的综合应用产品之一。Poco为国内用户及广大华语地区用户提供了一个适合中文环境的多媒体资源共享平台,完全支持中文软件及中文关键字搜索,并实现真正意义上的多点传输,传输效率大大提高。使用Poco软件,不仅能够搜索和下载海量的音乐、影视、图片、软件、游戏等资源,更可以使用内置的 IM(即时通信)系统方便、快捷的与好友一起分享。着重人性化的设计、充分考虑用户的需求,我们相信Poco将会成为您网络生活中必不可少的工具之一。
----------------------------------------------
in [LOG] | Comment[21] | TrackBack[0] | 2442 views

编辑日志后的跳转错误修正

2004-1-6 3:36:06 PM
原来编辑日志后,跳转回日志内容页时,页面套用的模板是首页模板,原因是跳转时没有指定log的所属分类(cat_id)。
在edit_log.asp找到:
url="showlog.asp?log_id="&log_id
Response.Redirect(url)

改为:
in [LOG] | Comment[20] | TrackBack[4] | 4800 views

三月雷锋

2004-3-10 11:10:37 PM
从大头绿豆那里看到,才想起这个“三月来了四月走”的日子,读小学的时候,到了三月,学校总是要组织去做好事,比如去敬老院看望老人们、去大马路打扫卫生……不知道现在的小孩还会不会有这样的经历。记得那时候人手一本的《雷锋日记》吗?



in [Life] | Comment[18] | TrackBack[4] | 1405 views

评论加入图片上传

2003-12-18 1:29:39 PM

这个功能实现很简单,把添加日志addlog.asp里那个iframe加进去就行了 :)
scode=scode&"<tr><td colspan=2><iframe border='0' frameBorder='0' frameSpacing='0' height='25' marginHeight='0' marginWidth='0' noResize scrolling='no' width='100%' vspale='0' src='upload1.asp' allowTransparency='true'></iframe></td></tr>"

因为要实现上传后将img标记写入文本框,所提交到的表单是不同的,我用了比较笨但简单的方法,另外建了upload1.asp和upfile1.asp:
in [LOG] | Comment[18] | TrackBack[0] | 2383 views

般若波罗密多心经

2004-5-16 8:55:12 PM
  看到blogit!上有人贴,我也贴一下。钱夹里有一个放了四年的“护身符”,正面是西方三圣,背面就是般若心经了。曾经能背全文,现在只能背一半了。
以下为引用内容:
般若波罗密多心经
唐三藏法师玄奘译
观自在菩萨,行深般若波罗密多时,照见五蕴皆空,度一切苦厄。舍利子!色不异空,空不异色,色即是空,空即是色;受想行识,亦复如是。舍利子!是诸法空相:不生不灭,不垢不净,不增不减。是故空中无色,无受想行识。无眼耳鼻舌身意;无色声香味触法。无眼界,乃至无意识界。无无明,亦无无明尽;乃至无老死,亦无老死尽。无苦集灭道。无智,亦无得。以无所得故!菩提萨埵,依般若波罗密多故,心无挂碍,无挂碍故,无有恐怖,远离颠倒、梦想,究竟涅槃。三世诸佛,依般若波罗密多故,得阿耨多罗三藐三菩提!故知般若波罗密多,是大神咒,是大明咒,是无上咒,是无等等咒。能除一切苦!真实不虚!故说般若波罗密多咒,即说咒曰:揭谛,揭谛,波罗揭谛,波罗僧揭谛,菩提娑婆诃!

in [Life] | Comment[18] | TrackBack[7] | 3518 views
< Prev 1 2 3 4 5 6 56 57 Next >
共450篇

~Fav Sites~

  • Blueidea
    蓝色理想 - 网站设计与开发人员之家
  • DCShooter
    Digital camera fans club
  • flickr
    almost certainly the best online photo management and sharing application in the world.
  • Douban
    读书 电影 音乐 找到臭味相投的朋友

~Fav Books~

~Recent Photos~