哇寶部落格
Wabow Information Inc. Blog
文章日期 七月, 2009
[哇寶講堂] PHPUnit入門
15 七月 2009哇寶"又"要對外開課囉~歡迎大家一起來分享.討論！！
課程主題：PHPUnit 入門
身為一個工程師的你一直把時間花在 Debug 嗎？
為什麼就不能有一個值得信賴的方式，幫助我們驗證我們的程式碼是正確的呢？
當然有！那就是單元測試！！
一般人在用 PHP 開發 Web 時，一直很少注意到單元測試這件事，
現在，該是大家去瞭解它的時候了！
來吧！一切就在 PHPUnit 裡，等著你們來發掘~
『滲透』兩個字，充滿了007諜報員的fu，在冷靜殘酷的背後，以細心縝密的方式取得內部機密文件後，再毫不留情的幹掉對方，甚至是慢慢玩弄對方 ......
在專案製作過程中，接觸到了XSS這個名詞，一個小小的細節，就可能讓用戶的個人資料外流，實在大意不得。
XSS 的全名是Cross Site Scripting(跨網站指令碼)，名稱還蠻有趣的，明明就是C開頭，怎不叫CSS呢，因為......CSS 已經被串接樣式表 Cascading Style Sheets 搶先一步，就跟雙胞胎出生一樣，先被抓出來的是哥哥，就算只是晚幾秒鐘，就只能當一輩子的弟弟(有點離題)，而XSS是一種網站的安全漏洞攻擊，有心人士透過可自行輸入的資料，值入程式碼，當其他使用者，瀏覽網頁時，不小心開到了有心人士的網頁，就大魚上鉤，任他擺佈了。
XSS的攻擊方式，基本手法就是使用資料包含程式碼，送到後端程式，像是">alert(document.cookie)"，另外還有很多測試的語法：
- >alert(document.cookie)
- ='>alert(document.cookie)
- alert(document.cookie)
- alert(vulnerable)
- %3Cscript%3Ealert('XSS')%3C/script%3E
- alert('XSS')
測試語法可參考：
http://anti-hacker.blogspot.com/2007/07/xss.html
測試語法的數量之多，不勝枚舉，總之就是程式碼會以眾多形式出現，跟變形金剛一樣，一下是貨櫃車，一下子又是推土機，只要有創意就可以不斷的變形。主要是透過"編碼"，更能讓語法的型態多樣化，當順利值入程式碼後，可以很輕易的將"資料移轉"，甚至把整塊餅乾(cookie)都送給別人吃。
在資安論壇(http://forum.icst.org.tw/phpbb/viewtopic.php?f=29&t=15572)提到了簡易避免XSS方法：
- 步驟1、對所有用戶提交內容進行可靠的輸入驗證，包括對URL、查詢關鍵字、HTTP頭、POST數據等，僅接受指定長度範圍內、採用適當格式、採用所預期的字符的內容提交，對其他的一律過濾。
- 步驟2、實現Session標記(session tokens)、CAPTCHA系統或者HTTP引用頭檢查，以防功能被第三方網站所執行。
- 步驟3、確認接收的的內容被妥善的規範化，僅包含最小的、安全的Tag(沒有javascript)，去掉任何對遠程內容的引用(尤其是樣式表和javascript)，使用HTTP only的cookie。
課後分享：
在處理所有前台輸入的資料，都要好好過濾所有變數後，才能存入資料庫，另外，若是有變數要放入前台樣板前，也需要過濾過，多重處理，才能確保網站不被XSS攻陷。
[Google] Google 自訂搜尋簡介
分類: 技術分享 作者: daniel
9 七月 2009
在現在這個資訊爆炸的時代，面對資料量與日俱增的個人網站與部落格，而資料庫又不是自己控管的情況下，想要迅速搜尋到自己想要的資料或文章，一直以來都是難解的謎題～然而就在幾年前，Google 這家從搜尋引擎發跡，讓網際網路的發展爆炸性提升的公司；開放了自家最引以為傲的搜尋技術，提供「Google 自訂搜尋」的服務，讓廣大的網民們可以經由強大的雲端運算，把惱人又耗資源的檢索動作交給專家處理。
繼續閱讀 »