学习学习

我的最新日志

  • 这就是所谓的“快钱”还是钓鱼网站？

    2008-7-21

    今天听说微点老用户购买快过期了，想买一套。可惜我又没网上银行的卡，无聊的时候几种快捷方式都

    点了几下，居然发现了一个所谓的“快钱”付款方式，让我大吃一斤，我很怀疑那就是一个钓鱼网站。

     让用户输入卡号和密码的居然没采用https，（选择快钱，选择中国银行，再点击上海）如下所示：

    随便输入之后，提交后如下所示：

    调试跟踪kingate代理，截取的数据如下：

    明显可以看到我刚才随便输入的卡号和密码。

     

             要么是钓鱼网站要么是不负责任的做法。我用同样的方法去买别的东西，也同样会进入那个页面。

    此网站的IP地址与www.chinapay.com的地址不是一个，另外该网站提供https链接

    如下所示

    从上图可以看出，该网站有一个正规的身份。

    因此，很有可能不是钓鱼网站。那么也就是说：用正式的东西不小心整成了钓鱼网站@！

    查看(13) 评论(2)

  • 《openssl编程》椭圆曲线更新

    2008-6-23

    《openssl编程》ECC椭圆曲线一章更新，请去open_ssl@126.com收取，希望对您有所帮助。

    查看(29) 评论(0)

  • 《openssl编程》的一章更新

    2008-6-20

    EC一章打算更新。本人不是学数学的，估计会写的不咋地。但是，也算一些更新吧。

    最近一直在学习椭圆曲线，看了半天，还是没入门。

     

    更新后的一章，请去open_ssl@126.com收取，希望对您有所帮助。

    查看(17) 评论(1)

  • 保证openldap数据的绝对安全

    2008-5-29

    如何保证openldap数据的绝对安全，后台为bdb，在这里抛砖引玉。

    条件：攻击者获取了运行openldap服务器（linux)的根用户。

    一种解决方式：
        1)bdb采用数据库加密;
        2)数据库口令必须由管理员输入，需亚修改openldap源码;
        3)本bdb中的用户口令不得以明文方式存放。

     

     

    查看(15) 评论(0)

  • 经典影视歌曲

    2008-5-28

    两忘烟水里        天龙八部

    魔域桃源主题曲

    八仙过海主题曲

    奇缘之银河星 新加坡连续剧，可惜没得下的！

    巾帼英雄 十三妹主题曲

    查看(11) 评论(0)

  • spkm开源实现

    2008-4-27

    http://www.citi.umich.edu/projects/nfsv4/linux/

    网上找了一下spkm的开源实现.

    查看(30) 评论(0)

  • 《linux PowerPC 详解--核心篇》

    2008-3-23

       昨天在新华书店买了本《linux PowerPC 详解--核心篇》，虽然本人对powerPC以及linux内核一窍不通，但是还是买了。

       前天，这本书的作者给我们作讲座。对linux感兴趣的我也去听了，结果只能听到一些概念。本人对操作系统以及编译原理都比较敢兴趣，奈何这些都需要自学。听讲座时，感觉作者对powerpc非常熟悉，甚至是其他公司的cpu。对我打击比较大的是：当我在他那个年龄，是不是也有所成就？

       我问他，出版这本书需要花多少钱。他说，不需要花钱，是机械工业出版社找他写的。再问他，出版一本书能赚多少，他说，卖一本书他赚2元钱。这本书才40元，他得到的居然是%8在加上%20的不知道啥税，看来出版书绝对是赚不到钱的。

       《openssl 编程》写了一点点，感觉还是没写好。并不是我不想写好，而是水平不够。《linux PowerPC 详解--核心篇》的作者说，写书是自己有一桶水，给读者倒一杯。我感觉，我写《openssl编程》的时候是自己只有半杯水，而试图给读者倒一杯水。看来，我还是得好好学习，继续完善和添加书的内容。

    查看(48) 评论(0)

  • 获取用户的用户名和口令以及隐私的几种简单方法

    2008-2-10

    通过合法的方式来获取用户信息：

    1.搭建代理服务

             通过搭建代理服务，比如http代理和socks代理，并让用户使用。可以获取用户信息。因为很多信息都是明文发送的。即使用户通过SSL通道来访问也有可能通过这种方式来获取用户的任何信息，你要做的只是让用户信任你的服务证书和有一个合法客户身份。

             所以，不要轻易使用代理。

    2.直接获取

             比如搭建一个BBS或者类似的网站，将用户口令改成明文存放，然后诱使用户去注册。更要命的是，你的这个口令很可能到处用。

             所以，注册用户时，必须慎重。因为你不能保证网站的管理员对于用户口里不是明文存放的。

    3.应用系统

            有时候直接打电话问就可以了。说你的系统出问题了。

    查看(362) 评论(1)

  • 打算自己写一个简单的SSLVPN

    2008-1-16

    打算自己写一个简单的SSLVPN。同时支持远程访问以及site2site。

    这两天把ssl加进去了。勉强能用。
    不过客户端界面比较丑，MFC不会用，只有功能；


    需要完善：
     HTTP协议代理完整实行；
     客户端界面；
     服务端配置管理；
     加入访问控制；

    查看(90) 评论(2)

  • SSL/TLS在ldap中的使用

    2007-12-12

      可以说，ldap服务的保护有一定的通用性(访问控制除外)。ldap中的保护可以挪到其他服务上使用。这里只说明ssl/tls协议在ldap中的使用。以openldap为例。

      ldap协议中用到ssl/tls的地方：

      sasl认证中：当采用gssapi来作为认证机制的时候，gssapi可以用ssl协议实现，尽管流行的gssapi的实现是基于kerberos的。

         当采用SASL external SASL 机制时，可以采用ssl/tls来实现。

      ldap协议中的startTLS: startTLS可以让ldap协议通信时，在某个时间开始采用ssl/tls协议。

      另外，openldap在ldap协议外可以单独套一层ssl/tls实现，此时openssl打开的是一个ssl/tls的端口。可以用openss s_client来测试链接。但好像这种做法不是ldap协议本身要求的，其他ldap服务是否支持还有待学习。

       openldap服务的启动方式
    1.打开的端口是一个标准ldap服务端口： slapd -h ldap://:401

      此时，可以打的命令可以有：

       简单认证：

       ldapsearch -H ldap://192.168.1.24:401 -D cn=xx,dc=xxx -w xxxx -x -b dc=xxx

       ldapsearch -H ldap://192.168.1.24:401 -D cn=xx,dc=xxx -w xxxx -x -b dc=xxx -Z

       sasl digest-md5认证：

       ldapsearch -H ldap://192.168.1.24:401 -Y DIGEST-MD5 -U XXX (-Z)

       -Z表面使用startTLS

    2.打开的端口是一个ssl/tls端口： slapd -h ldaps://:401

       此时上面的命令都能使用。只是要稍作修改：ldap://写成 ldaps://，并且可以需要指定证书信息。

      此端口可以用openssl s_client工具去测试。

     

      

     

    查看(97) 评论(0)

我的最新图片

Open Toolbar