学习学习

我的最新日志

  • 这就是所谓的“快钱”还是钓鱼网站?

    2008-7-21

    今天听说微点老用户购买快过期了,想买一套。可惜我又没网上银行的卡,无聊的时候几种快捷方式都

    点了几下,居然发现了一个所谓的“快钱”付款方式,让我大吃一斤,我很怀疑那就是一个钓鱼网站。

     让用户输入卡号和密码的居然没采用https,(选择快钱,选择中国银行,再点击上海)如下所示:

    随便输入之后,提交后如下所示:

    调试跟踪kingate代理,截取的数据如下:

    明显可以看到我刚才随便输入的卡号和密码。

     

             要么是钓鱼网站要么是不负责任的做法。我用同样的方法去买别的东西,也同样会进入那个页面。

    此网站的IP地址与www.chinapay.com的地址不是一个,另外该网站提供https链接

    如下所示

    从上图可以看出,该网站有一个正规的身份。

    因此,很有可能不是钓鱼网站。那么也就是说:用正式的东西不小心整成了钓鱼网站@!

  • 《openssl编程》椭圆曲线更新

    2008-6-23

    《openssl编程》ECC椭圆曲线一章更新,请去open_ssl@126.com收取,希望对您有所帮助。

  • 《openssl编程》的一章更新

    2008-6-20

    EC一章打算更新。本人不是学数学的,估计会写的不咋地。但是,也算一些更新吧。

    最近一直在学习椭圆曲线,看了半天,还是没入门。

     

    更新后的一章,请去open_ssl@126.com收取,希望对您有所帮助。

  • 保证openldap数据的绝对安全

    2008-5-29

    如何保证openldap数据的绝对安全,后台为bdb,在这里抛砖引玉。

    条件:攻击者获取了运行openldap服务器(linux)的根用户。

    一种解决方式:
        1)bdb采用数据库加密;
        2)数据库口令必须由管理员输入,需亚修改openldap源码;
        3)本bdb中的用户口令不得以明文方式存放。

     

     

  • 经典影视歌曲

    2008-5-28

    两忘烟水里        天龙八部

    魔域桃源主题曲

    八仙过海主题曲

    奇缘之银河星 新加坡连续剧,可惜没得下的!

    巾帼英雄 十三妹主题曲

  • spkm开源实现

    2008-4-27

    http://www.citi.umich.edu/projects/nfsv4/linux/

    网上找了一下spkm的开源实现.

  • 《linux PowerPC 详解--核心篇》

    2008-3-23

       昨天在新华书店买了本《linux PowerPC 详解--核心篇》,虽然本人对powerPC以及linux内核一窍不通,但是还是买了。

       前天,这本书的作者给我们作讲座。对linux感兴趣的我也去听了,结果只能听到一些概念。本人对操作系统以及编译原理都比较敢兴趣,奈何这些都需要自学。听讲座时,感觉作者对powerpc非常熟悉,甚至是其他公司的cpu。对我打击比较大的是:当我在他那个年龄,是不是也有所成就?

       我问他,出版这本书需要花多少钱。他说,不需要花钱,是机械工业出版社找他写的。再问他,出版一本书能赚多少,他说,卖一本书他赚2元钱。这本书才40元,他得到的居然是%8在加上%20的不知道啥税,看来出版书绝对是赚不到钱的。

       《openssl 编程》写了一点点,感觉还是没写好。并不是我不想写好,而是水平不够。《linux PowerPC 详解--核心篇》的作者说,写书是自己有一桶水,给读者倒一杯。我感觉,我写《openssl编程》的时候是自己只有半杯水,而试图给读者倒一杯水。看来,我还是得好好学习,继续完善和添加书的内容。

  • 获取用户的用户名和口令以及隐私的几种简单方法

    2008-2-10

    通过合法的方式来获取用户信息:

    1.搭建代理服务

             通过搭建代理服务,比如http代理和socks代理,并让用户使用。可以获取用户信息。因为很多信息都是明文发送的。即使用户通过SSL通道来访问也有可能通过这种方式来获取用户的任何信息,你要做的只是让用户信任你的服务证书和有一个合法客户身份。

             所以,不要轻易使用代理。

    2.直接获取

             比如搭建一个BBS或者类似的网站,将用户口令改成明文存放,然后诱使用户去注册。更要命的是,你的这个口令很可能到处用。

             所以,注册用户时,必须慎重。因为你不能保证网站的管理员对于用户口里不是明文存放的。

    3.应用系统

            有时候直接打电话问就可以了。说你的系统出问题了。

  • 打算自己写一个简单的SSLVPN

    2008-1-16

    打算自己写一个简单的SSLVPN。同时支持远程访问以及site2site。

    这两天把ssl加进去了。勉强能用。
    不过客户端界面比较丑,MFC不会用,只有功能;


    需要完善:
     HTTP协议代理完整实行;
     客户端界面;
     服务端配置管理;
     加入访问控制;

  • SSL/TLS在ldap中的使用

    2007-12-12

      可以说,ldap服务的保护有一定的通用性(访问控制除外)。ldap中的保护可以挪到其他服务上使用。这里只说明ssl/tls协议在ldap中的使用。以openldap为例。

      ldap协议中用到ssl/tls的地方:

      sasl认证中:当采用gssapi来作为认证机制的时候,gssapi可以用ssl协议实现,尽管流行的gssapi的实现是基于kerberos的。

         当采用SASL external SASL 机制时,可以采用ssl/tls来实现。

      ldap协议中的startTLS: startTLS可以让ldap协议通信时,在某个时间开始采用ssl/tls协议。

      另外,openldap在ldap协议外可以单独套一层ssl/tls实现,此时openssl打开的是一个ssl/tls的端口。可以用openss s_client来测试链接。但好像这种做法不是ldap协议本身要求的,其他ldap服务是否支持还有待学习。

       openldap服务的启动方式
    1.打开的端口是一个标准ldap服务端口: slapd -h ldap://:401

      此时,可以打的命令可以有:

       简单认证:

       ldapsearch -H ldap://192.168.1.24:401 -D cn=xx,dc=xxx -w xxxx -x -b dc=xxx

       ldapsearch -H ldap://192.168.1.24:401 -D cn=xx,dc=xxx -w xxxx -x -b dc=xxx -Z

       sasl digest-md5认证:

       ldapsearch -H ldap://192.168.1.24:401 -Y DIGEST-MD5 -U XXX (-Z)

       -Z表面使用startTLS

    2.打开的端口是一个ssl/tls端口: slapd -h ldaps://:401

       此时上面的命令都能使用。只是要稍作修改:ldap://写成 ldaps://,并且可以需要指定证书信息。

      此端口可以用openssl s_client工具去测试。

     

      

     

我的最新图片

Open Toolbar