All posts by 龙生

C#使用ICSharpCode.SharpZipLib.dll压缩文件夹和文件

大家可以到http://www.icsharpcode.net/opensource/sharpziplib/ 下载SharpZiplib的最新版本，本文使用的版本为0.86.0.518，支持Zip, GZip, BZip2 和Tar格式，其实没啥好说的直接上代码

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

163

164

165

166

167

168

169

170

171

172

173

174

175

176

177

178

179

180

181

182

183

184

185

186

187

188

189

190

191

192

193

194

195

196

197

198

199

200

201

202

203

204

205

206

207

208

209

210

211

212

213

214

215

216

217

218

219

220

221

222

223

224

225

226

227

228

229

230

231

232

/// <summary>

/// Zip压缩与解压缩

/// </summary>

public class ZipHelper

{

/// <summary>

/// 压缩单个文件

/// </summary>

/// <param name="fileToZip">要压缩的文件</param>

/// <param name="zipedFile">压缩后的文件</param>

/// <param name="compressionLevel">压缩等级</param>

/// <param name="blockSize">每次写入大小</param>

public static void ZipFile(string fileToZip, string zipedFile, int compressionLevel, int blockSize)

{

//如果文件没有找到，则报错

if (!System.IO.File.Exists(fileToZip))

{

throw new System.IO.FileNotFoundException("指定要压缩的文件: " + fileToZip + " 不存在!");

}

using (System.IO.FileStream ZipFile = System.IO.File.Create(zipedFile))

{

using (ZipOutputStream ZipStream = new ZipOutputStream(ZipFile))

{

using (System.IO.FileStream StreamToZip = new System.IO.FileStream(fileToZip, System.IO.FileMode.Open, System.IO.FileAccess.Read))

{

string fileName = fileToZip.Substring(fileToZip.LastIndexOf("\\") + 1);

ZipEntry ZipEntry = new ZipEntry(fileName);

ZipStream.PutNextEntry(ZipEntry);

ZipStream.SetLevel(compressionLevel);

byte[] buffer = new byte[blockSize];

int sizeRead = 0;

try

{

sizeRead = StreamToZip.Read(buffer, 0, buffer.Length);

ZipStream.Write(buffer, 0, sizeRead);

}

while (sizeRead > 0);

}

catch (System.Exception ex)

{

throw ex;

}

StreamToZip.Close();

}

ZipStream.Finish();

ZipStream.Close();

}

ZipFile.Close();

}

/// <summary>

/// 压缩单个文件

/// </summary>

/// <param name="fileToZip">要进行压缩的文件名</param>

/// <param name="zipedFile">压缩后生成的压缩文件名</param>

public static void ZipFile(string fileToZip, string zipedFile)

{

//如果文件没有找到，则报错

if (!File.Exists(fileToZip))

{

throw new System.IO.FileNotFoundException("指定要压缩的文件: " + fileToZip + " 不存在!");

}

using (FileStream fs = File.OpenRead(fileToZip))

{

byte[] buffer = new byte[fs.Length];

fs.Read(buffer, 0, buffer.Length);

fs.Close();

using (FileStream ZipFile = File.Create(zipedFile))

{

using (ZipOutputStream ZipStream = new ZipOutputStream(ZipFile))

{

string fileName = fileToZip.Substring(fileToZip.LastIndexOf("\\") + 1);

ZipEntry ZipEntry = new ZipEntry(fileName);

ZipStream.PutNextEntry(ZipEntry);

ZipStream.SetLevel(5);

ZipStream.Write(buffer, 0, buffer.Length);

ZipStream.Finish();

ZipStream.Close();

}

/// <summary>

/// 压缩多层目录

/// </summary>

/// <param name="strDirectory">The directory.</param>

/// <param name="zipedFile">The ziped file.</param>

public static void ZipFileDirectory(string strDirectory, string zipedFile)

{

using (System.IO.FileStream ZipFile = System.IO.File.Create(zipedFile))

{

using (ZipOutputStream s = new ZipOutputStream(ZipFile))

{

ZipSetp(strDirectory, s, "");

}

/// <summary>

/// 递归遍历目录

/// </summary>

/// <param name="strDirectory">The directory.</param>

/// <param name="s">The ZipOutputStream Object.</param>

/// <param name="parentPath">The parent path.</param>

private static void ZipSetp(string strDirectory, ZipOutputStream s, string parentPath)

{

if (strDirectory[strDirectory.Length - 1] != Path.DirectorySeparatorChar)

{

strDirectory += Path.DirectorySeparatorChar;

}

Crc32 crc = new Crc32();

string[] filenames = Directory.GetFileSystemEntries(strDirectory);

foreach (string file in filenames)// 遍历所有的文件和目录

{

if (Directory.Exists(file))// 先当作目录处理如果存在这个目录就递归Copy该目录下面的文件

{

string pPath = parentPath;

pPath += file.Substring(file.LastIndexOf("\\") + 1);

pPath += "\\";

ZipSetp(file, s, pPath);

}

else // 否则直接压缩文件

{

//打开压缩文件

using (FileStream fs = File.OpenRead(file))

{

byte[] buffer = new byte[fs.Length];

fs.Read(buffer, 0, buffer.Length);

string fileName = parentPath + file.Substring(file.LastIndexOf("\\") + 1);

ZipEntry entry = new ZipEntry(fileName);

entry.DateTime = DateTime.Now;

entry.Size = fs.Length;

fs.Close();

crc.Reset();

crc.Update(buffer);

entry.Crc = crc.Value;

s.PutNextEntry(entry);

s.Write(buffer, 0, buffer.Length);

}

/// <summary>

/// 解压缩一个 zip 文件。

/// </summary>

/// <param name="zipedFile">The ziped file.</param>

/// <param name="strDirectory">The STR directory.</param>

/// <param name="password">zip 文件的密码。</param>

/// <param name="overWrite">是否覆盖已存在的文件。</param>

public void UnZip(string zipedFile, string strDirectory, string password, bool overWrite)

{

if (strDirectory == "")

strDirectory = Directory.GetCurrentDirectory();

if (!strDirectory.EndsWith("\\"))

strDirectory = strDirectory + "\\";

using (ZipInputStream s = new ZipInputStream(File.OpenRead(zipedFile)))

{

s.Password = password;

ZipEntry theEntry;

while ((theEntry = s.GetNextEntry()) != null)

{

string directoryName = "";

string pathToZip = "";

pathToZip = theEntry.Name;

if (pathToZip != "")

directoryName = Path.GetDirectoryName(pathToZip) + "\\";

string fileName = Path.GetFileName(pathToZip);

Directory.CreateDirectory(strDirectory + directoryName);

if (fileName != "")

{

if ((File.Exists(strDirectory + directoryName + fileName) && overWrite) || (!File.Exists(strDirectory + directoryName + fileName)))

{

using (FileStream streamWriter = File.Create(strDirectory + directoryName + fileName))

{

int size = 2048;

byte[] data = new byte[2048];

while (true)

{

size = s.Read(data, 0, data.Length);

if (size > 0)

streamWriter.Write(data, 0, size);

else

break;

}

streamWriter.Close();

}

s.Close();

}

代码来自网络，略作修改，修改为静态方法，修改文件夹递归压缩时的bug.. 转自：http://www.cnblogs.com/xuanye/archive/2011/10/19/2217211.html

龙生 07 Mar 2013

View Details

WPF控件库之Label

Label 控件通常在用户界面 (UI) 中提供信息。一直以来，Label 只包含文本，但由于 Windows Presentation Foundation (WPF) 附带的 Label 是一个 ContentControl，所以它可以包含文本或 UIElement。 Label 为快捷键提供功能性和可视化支持。它常用于实现对控件（如 TextBox）的快速键盘访问。若要为 Control 指定 Label，请将 Label..::.Target 属性设置为当用户按下快捷键时应获得焦点的控件。下图演示了一个目标为 ComboBox 的 Label“主题”。当用户按下 Alt+T 时，ComboBox 将获得焦点。示例下面的示例演示如何创建一个 Label，该控件使用 AccessText 并且绑定到目标 TextBox。示例为标签添加文本换行 Label 控件不支持文本换行。如果您需要一个多次换行的标签，可以嵌套一个支持文本换行的元素，并将该元素放在标签内。下面的示例演示如何使用 TextBlock 创建一个进行多次文本换行的标签。为标签添加访问键和文本换行如果您需要一个具有访问键（助记键）的 Label，则可以使用 Label 中的 AccessText 元素。 Label、Button、RadioButton、CheckBox、MenuItem、TabItem、Expander 和 GroupBox 等控件具有默认的控件模板。这些模板包含一个 ContentPresenter。您可以为 ContentPresenter 设置的属性之一是 RecognizesAccessKey="true"，您可以使用该属性为控件指定访问键。下面的示例演示如何创建一个具有访问键并支持文本换行的 Label。为了实现文本换行，本示例设置了 TextWrapping 属性并使用下划线字符指定访问键。（紧跟下划线字符后面的字符就是访问键。）

龙生 06 Mar 2013

View Details

第十个年头，第八份工作

工作第十个年头了，却没赚下什么钱，很让人遗憾。第八份工作了，却没什么心得，真是惭愧！今天第八份工作的第一天上班，认真，尽量让自己静下来。发现公司的交友平台GaGaMacth.com竟然是基于NHibernate开发的，以前挺烦感这个框架的，现在却必须要细细研究了，呵呵。这些东西得去体会，更多时候表现的是种思想，不见得实用。速度最快的程序莫过于自己手工打造的、最简单的代码，但有时候速度并不是目的地，也并不是最重要的，就像java，运行效率并不高，但开发效率高，产品整合的好，宣传的好，语言当中也赚的钱最多…… 百忙之中感慨一下，就写到这吧~

龙生 06 Mar 2013

View Details

drupal

Drupal是使用PHP语言编写的开源内容管理框架（CMF），它由内容管理系统（CMS）和PHP开发框架（Framework）共同构成。连续多年荣获全球最佳CMS大奖，是基于PHP语言最著名的WEB应用程序。截止2011年底，共有13,802位WEB专家参加了Drupal的开发工作；228个国家使用181种语言的729,791位网站设计工作者使用Drupal。著名案例包括：联合国、美国白宫、美国商务部、纽约时报、华纳、迪斯尼、联邦快递、索尼、美国哈佛大学、Ubuntu等。 Drupal诞生于2000年，是一个基于PHP语言编写的开发型CMF（内容管理框架），即：CMS+ framework。其中 framework是指Drupal内核中的功能强大的PHP类库和PHP函数库，以及在此基础上抽象的Drupal API。在网站开发能力上，Drupal和Yii、CodeIgniter、Zend、CakePHP等业界顶级PHP框架同样强大。形象的说，Drupal是一个附带CMS的PHP开发框架。Drupal创始人Dries Buytaert创办的美国Acquia公司的开发人员甚至戏称：Drupal是一个用于开发网站的“操作系统”（webOS），而且此称法被业界广泛接受。很多Drupaler（即Drupal开发者）信奉这样一条真理：既然Drupal已经为我们写好了CMS，那么我们为什么还要选择那些不含有CMS的PHP开发框架呢？ Drupal是一套开源系统，全球数以万计的WEB开发专家都在为Drupal技术社区贡献代码。因此，Drupal的代码在安全性、健壮性上具有世界最高水平。这也是美国白宫、美国商务部、法国政府、纽约时报、SONY等著名政府和机构纷纷采用Drupal建设网站的最重要的原因。 Drupal不等于模板建站系统，他们之间有着本质的区别。Drupal的学习曲线相当漫长和陡峭，比PHP难度大得多，要求也高的多。事实上，只有精通XHTML、CSS、Javascript、PHP、MySql的开发人员，经过长期刻苦的学习，才有可能真正的驾驭Drupal，Drupal是给经验丰富的程序员用的，而不是给一般普通用户用的。模板建站系统则不同，模板系统根本不需要任何学习，不需要任何编程知识就可以使用，只适合初级用户搭建一些简单的网站。 Drupal具有业内最强的定制能力和灵活性，这也是造成Drupal学习难度太大的根本原因，这也是没有办法的事情，灵活性的提高必然使复杂程度提高。因此，Drupal技术圈内有一句名言——“Drupal有难度，学习需谨慎。” Drupal强大的定制开发能力，也使其成为众多有技术实力的网站建设公司优先选用的网站开发平台。因为，任何网站建设公司自己开发的系统，在技术上都无法达到Drupal的水平，这正是开源软件的优势所在：全世界的WEB专家都在为Drupal贡献自己的智慧，这是某个公司内部技术团队永远也无法享受到的。是否具有Drupal技术的开发能力也成为鉴别网站建设公司实力的试金石。没有技术实力的公司，根本没有能力驾驭Drupal。 Drupal的架构由三大部分组成：内核、模块、主题。三者通过Hook机制紧密的联系起来。其中，内核部分由世界上多位著名的WEB开发专家组成的团队负责开发和维护。 Drupal综合了强大并可自由配置的功能，能支持从个人博客（PersonalWeblog）到大型社区驱动（Community-Driven）的网站等各种不同应用的网站项目。Drupal最初是由DriesBuytaert所开发的一套社群讨论软件。之后，由于它的灵活的架构，方便的扩展等特性，使得世界上成千上万个程序员加入了Drupal的开发与应用中。今天，它已经发展成为一套强大的系统，很多大型机构都采用基于Drupal的框架建站，包括The Onion，Ain't ItCool News，SpreadFirefox，Ourmedia，KernelTrap，NewsBusters等等。它特别常见于社区主导的网站。 Drupal目前的最高版本是7.9，官方网站下载页面最近释出的版本为7.17，是官方推荐的稳定版。该版本由7.1版修复而来，修正了大量BUG，没有太多新功能，适合学习Drupal的新手安装。下载页面同时提供了Drupal 6.22等旧版本下载。

龙生 05 Mar 2013

View Details

ASP.NET缓存全解析5：文件缓存依赖

这种策略让缓存依赖于一个指定的文件，通过改变文件的更新日期来清除缓存。

<div style="margin:0px;padding:0px;line-height:21px;">///<summary> /// 获取当前应用程序指定CacheKey的Cache对象值 ///</summary> ///<param name="CacheKey">索引键值</param> ///<returns>返回缓存对象</returns> publicstaticobject GetCache(string CacheKey) {    System.Web.Caching.Cache objCache = HttpRuntime.Cache; return objCache[CacheKey]; } ///<summary> /// 设置以缓存依赖的方式缓存数据 ///</summary> ///<param name="CacheKey">索引键值</param> ///<param name="objObject">缓存对象</param> ///<param name="cacheDepen">依赖对象</param> publicstaticvoid SetCache(string CacheKey, object objObject, System.Web.Caching.CacheDependency dep) {    System.Web.Caching.Cache objCache = HttpRuntime.Cache;    objCache.Insert(        CacheKey,        objObject,        dep,        System.Web.Caching.Cache.NoAbsoluteExpiration, //从不过期        System.Web.Caching.Cache.NoSlidingExpiration, //禁用可调过期        System.Web.Caching.CacheItemPriority.Default, null); } protectedvoid Page_Load(object sender, EventArgs e) { string CacheKey ="cachetest"; object objModel = GetCache(CacheKey);//从缓存中获取 if (objModel ==null) //缓存里没有    {        objModel = DateTime.Now;//把当前时间进行缓存 if (objModel !=null)        { //依赖 C:\\test.txt 文件的变化来更新缓存            System.Web.Caching.CacheDependency dep =new System.Web.Caching.CacheDependency("C:\\test.txt");            SetCache(CacheKey, objModel, dep);//写入缓存        }    }    Label1.Text = objModel.ToString(); }</div>

　　当我们改变test.txt的内容时，缓存会自动更新。这种方式非常适合读取配置文件的缓存处理。如果配置文件不变化，就一直读取缓存的信息，一旦配置发生变化，自动更新同步缓存的数据。　　这种方式的缺点是，如果缓存的数据比较多，相关的依赖文件比较松散，对管理这些依赖文件有一定的麻烦。对于负载均衡环境下，还需要同时更新多台Web服务器下的缓存文件，如果多个Web应用中的缓存依赖于同一个共享的文件，可能会省掉这个麻烦。 FROM URI:http://kb.cnblogs.com/page/69726/

龙生 01 Mar 2013

View Details

FastCGI 进程超过了配置的活动超时时限

FastCGI 进程超过了配置的活动超时时限解决方法: %windir%\system32\inetsrv\appcmd set config -section:system.webServer/fastCgi /[fullPath='C:\php\php-cgi.exe'].activityTimeout:600 如果还是不行，请查看IIS应用程序池，可以改为默认（DefaultAppPool）。 from url:http://www.cnblogs.com/jiangyao/archive/2010/09/21/1832384.html

龙生 27 Feb 2013

View Details

Maximum execution time of 30 seconds exceeded故障解决办法

因为我用WAMP技术设计的一个数据处理系统出现了Maximum execution time of 30 seconds exceeded错误。从字面上就可以理解“最大执行时间超过30秒”，那应该就是APACHE或者PHP的执行时间设置的问题。在PHP.INI中找到一个参数：max_execution_time最大执行时间。将后面的值调大，然后重新启动APACHE服务，就OK了。但这不是根本的解决之道，根本解决，我觉得应该再优化一下我的数据处理算法，减少数据计算时间。因为最近工作很忙，工作很多，千头万绪的，实在抽不出时间来重新设计算法，所以就只好先用这下解决方案代替一下下。 PS:本人非计算机专业，只是业余爱好。所设计的程序目的就是为了减轻工作量，降低劳动强度，提高工作效率。目前，该系统能够减轻超过50%以上的工作量，节省50%以上的纸张消耗，将半小时的数据统计时间缩短到1分钟以内。王婆卖瓜，自卖自夸。哈哈。我发现我真的很不要脸。 from url:http://blog.sina.com.cn/s/blog_70b166010100uk73.html

龙生 27 Feb 2013

View Details

OOAD

OOAD（Object Orient Analysis Design，面向对象的分析和设计，面向对象分析与设计）是现代软件企业广为采用的一项有效技术。OOAD方法要求在设计中要映射现实世界中指定问题域中的对象和实体，例如：顾客、汽车和销售人员等。这就需要设计要尽可能地接近现实世界，即以最自然的方式表述实体。所以面向对象技术的优点即为能够构建与现实世界相对应的问题模型，并保持他们的结构、关系和行为为模式。大师说："没有不变的需求，世上的软件都改动过3次以上，唯一一个只改动过两次的软件的拥有者已经死了，死在去修改需求的路上。" 目前众多的软件项目有什么样的问题呢？早些时候上ERP的企业在企业发展的时候发现原有的ERP系统需要改进，可是要改进或者是更改现有的ERP系统，唯一的方法就是重新开发一个ERP系统。这对于企业来说是笔不小的支出。此时，落后的信息系统就成为制约企业发展的重要因素。是什么原因造成了这种情况呢？主要的因素是传统的系统分析是在假定需求不变的情况下进行的，这样可以把企业的资源配置到最优的程度。可是在现代瞬息万变的社会，一个企业固守旧有模式，势必会在竞争中处于劣势（因此现在也出现了"组件化"的ERP，这是题外话）。既然企业的需求是变化的、不稳定的，那么以变化的需求为基础建立起来的企业信息系统当然也就不稳定了。这时候，有个问题就产生了，前面我们已经说过，需求是项目的根本，既然需求都是不稳定的，那么何以建立起稳定的企业信息系统呢？要回答这个问题，首先要比较面向过程和面向对象的开发方法的差别，传统的面向过程的开发方法在前20年大行其道，为中国企业的信息化建设立下了汗马功劳。之所以称为面向过程，是因为开发的焦点集中于过程，开发者集中于以函数为核心的过程，例如前些年很多人试图编写一些通用转账函数来满足银行的需求。面向过程的开发语言包括：Cobol、Pascal、C及C的变形语言。面向对象的概念是在近10年才进入中国的，而它的思想至今也没有真正意义上得到普及。简单的说，面向对象就是面向世界，世界上的任何事物都是对象，因此面向对象是很自然的思想，是符合我们的思维习惯的。面向对象的语言包括了Smalltalk、C++、Java，还有Object Pascal，以及刚刚诞生的C#。需求是不稳定的，那么需求之中是不是没有稳定的东西呢？有的，就是对象。世界都是由对象组成的，而对象都是持久的，例如动物、植物已经有相当长的时间。虽然对象也在变化，动物，植物也在不断的进化。但对象在一个相当长的时期内都存在，动植物的存在时间肯定比任何一家企业长久。面向对象的开发方法的精髓就是从企业的不稳定需求中分析出企业的稳定对象，以企业对象为基础来组织需求、构架系统。这样得出的系统就会比传统的系统要稳定得多，因为企业的模式一旦变化，只需要将稳定的企业对象重新组织就行了。这种开发的方法就被称为OOAD（Object Orient Analysis & Design 面向对象的分析和设计），而分析出的企业对象就被称为Common Business Object。

龙生 26 Feb 2013

View Details

IIS攻击与安全加固实例分析

　　IIS作为一款流行的Web服务器，在当今互联网环境中占有很大的比重，绝大多数的asp、asp.net网站都运行在它上面。因此，也引来了无数黑客们关注的目光。目前针对IIS的攻击技术已经非常成熟，而且相对技术门槛较低，所以很多初学者拿它来练手。许多网站因为网站管理员的安全意识不高或技术上的疏忽而惨遭毒手。本文通过实例来谈谈针对IIS的攻击技术与安全加固措施。　　攻击实例　　IIS写权限漏洞利用　　我们先通过一个攻击实例来演示如何利用IIS权限配置不当来快速攻陷一个网站，以此来提高广大读者对IIS安全性的重视。　　目标网站IP：192.168.1.105 　　利用漏洞：IIS写权限漏洞　　用到的工具：IIS PUT Scaner、桂林老兵写权限利用工具　　1 检测目标网站是否存在写权限漏洞　　打开IIS PUT Scanner，输入目标网站的IP、端口号(默认为80端口)，然后点击“Scan”按钮开始扫描，很快就返回了结果，如图1所示：　　图1 　　2 IIS写权限漏洞利用过程　　根据扫描结果，我们可以确定目标网站存在IIS写权限漏洞。下面我们来看下如何利用这个漏洞，来得到一个WebShell。　　我们先将“”这段一句话木马代码保存成一个txt文档，名字随意。我这里命名为test.txt。接着打开桂林老兵写权限利用工具，输入目标网站的IP或域名，在“数据包格式”处的下拉菜单中选择“PUT”数据包提交方式，最后点击“数据包提交”按钮，我们来看服务器返回的结果。如图2所示：　　图2 　　服务器返回了201响应码，这标志着我们成功上传了文件。　　现在我们需要将刚刚上传的txt文本修改为asp文件，否则服务器不会将它解析为asp文件。在“数据包格式”的下拉菜单中选择“MOVE”数据包提交方式，在“Destination”处修改文件名称，默认为shell.asp，这里我修改为cmd.asp。然后点击“提交数据包”按钮，我们来看服务器返回的信息。如图3所示：　　图3 　　服务器同样返回了“201”响应码，说明我们成功将test.txt修改为cmd.asp了。　　现在我们用一句话木马客户端来连接刚上传的一句话木马，可以成功访问。如图4所示：　　图4 　　这样我们就得到了一个WebShell。从整个攻击过程来看，用的时间很短，而且技术门槛很低，一个普通人运用工具也可以很快拿下一个网站。但遗憾的是，在实际的渗透测试过程中，依然有不少站点存在这样的漏洞，希望通过这个实例能够引起广大网络管理员对安全的重视。　　IIS作为一款流行的Web服务器，在当今互联网环境中占有很大的比重，绝大多数的asp、asp.net网站都运行在它上面。因此，也引来了无数黑客们关注的目光。　　IIS6.0解析漏洞利用　　a. 在WEB目录下，当文件名称为类似“a.asp;b.jpg”这种格式的时候，IIS会将它解析为asp文件，如图5所示。　　图5 　　b. 在WEB目录下，IIS6.0会将以“x.asp”这种格式命名的文件夹下的所有文件都解析为asp文件，如图6所示。　　图6 　　上面这两点属于IIS设计的缺陷，但可惜微软认为这是IIS的特性，一直没有推出相应的安全补丁。　　在尝试绕过文件上传检测时，这两种方法有时非常有效，下面是在实际渗透测试过程中遇到的一个例子。　　先登录网站后台，直接上传一个asp木马，提示非法文件，不允许上传。接下来将它的名称改为1.asp;2.jpg后再次上传，发现成功上传至网站目录，如图7所示。　　安全加固　　这部分我们通过跟踪IIS从安装到配置的整个过程，分析其中可能面临的安全风险，并给出相应的加固措施。　　IIS安装及版本的选择　　在IIS安装过程中，根据具体的业务需求，只安装必要的组件，以避免安装其他一切不必要的组件带来的安全风险。如网站正常运行只需要ASP环境，那我们就没必要安装.net组件。　　对于IIS版本，至少要在6.0以上，IIS5.0存在严重的安全漏洞，不过现在运行IIS5.0的服务器已经非常少了，对于这一点不用太过担心。　　IIS配置　　1 删除IIS默认站点　　把IIS默认安装的站点删除或禁用掉。　　2 禁用不必要的Web服务扩展　　打开IIS 管理器，检查是否有不必要的“Web服务扩展”，如果有则禁用掉。如图8所示：　　3 IIS访问权限配置　　如果IIS中有多个网站，建议为每个网站配置不同的匿名访问账户。　　方法：　　a. 新建一个账号，加入Guests组　　b. “网站属性”—>“目录安全性”—>“身份验证和访问控制”，把“启用匿名访问”处，用刚新建的账户代替默认账户，如图9所示。　　图9 　　4 网站目录权限配置　　原则(如图10)：　　目录有写入权限，一定不要分配执行权限　　目录有执行权限，一定不要分配写入权限　　网站上传目录和数据库目录一般需要分配“写入”权限，但一定不要分配执行权限　　其他目录一般只分配“读取”和“记录访问”权限即可　　图10 　　5 只保留必要的应用程序扩展　　根据网站的实际情况，只保留必要的应用程序扩展，其他的一律删除，尤其是像cer、asa这样极其危险的扩展，而且一般网站也不需要它，如图11。　　图11 　　6 修改IIS日志文件配置　　无论是什么服务器，日志都是应该高度重视的部分。当发生安全事件时，我们可以通过分析日志来还原攻击过程，否则将无从查起。有条件的话，可以将日志发送到专门的日志服务器保存。　　先检查是否启用了日志记录，如未启用，则启用它。日志格式设置为W3C扩展日志格式，IIS中默认是启用日志记录的。　　接着修改IIS日志文件保存路径，默认保存在“C:\WINDOWS\system32\LogFiles”目录下，这里修改为自定义路径。建议保存在非系统盘路径，并且IIS日志文件所在目录只允许Administrators组用户和SYSTEM用户访问，如图12。　　图12 　　7 防止信息泄露　　a. 禁止向客户端发送详细的ASP错误信息　　“IIS管理器”—>“属性”—>“主目录”—>“配置”—>“调试”，选择“向客户端发送下列文本错误消息”项，自定义出错时返回的错误信息，如图13。　　图13 　　b. 修改默认错误页面　　“IIS管理器”—>“属性”—>“自定义错误”，用自定义的错误页面替换默认的默认页面。下面是我自定义的一个404错误页面，当网站发生404错误时，将向客户端返回这个页面，如图14。　　8 自定义IIS Banner信息　　默认Banner信息会泄露服务器类型、版本等相关信息，我们需要对其进行修改，这样可以防止信息泄露，还可以骗过一些自动化扫描、攻击工具。　　a. 修改默认HTTP头信息　　在修改之前，我们先来看下默认的HTTP头信息是什么样的。我们向IIS服务器发一个请求，然后用抓包工具分析它返回的数据，就可以发现HTTP头信息，如图15所示：　　上图用红框标注的地方就是HTTP头信息，通过它我们就可以确定目标网站使用的是IIS服务器。　　现在我们来看下如何自定义HTTP头信息。首先，打开“IIS管理器”—>“属性”—>“HTTP头”，在“自定义HTTP头”选中默认的HTTP头信息，进行编辑，或者删除掉默认的，自己添加一个新的HTTP头信息。图16中是我随便自定义的一个HTTP头。　　图16 　　在修改完成后，我们再来抓包分析一下，如图17所示：　　从图上可以看到，现在IIS服务器返回的HTTP头已经是我们自定义了。　　b. 修改默认IIS头信息　　修改默认IIS头信息需要通过工具来完成。这里推荐使用ServerMask，它是一款专门用来隐藏或修改IIS服务器默认Banner信息，防止信息泄露的工具。下图18是该软件的界面：　　图18 　　根据服务器返回的信息，我们很容易判断出目标网站使用的服务器是IIS，版本是6.0，操作系统是Windows Server 2003，这些信息对攻击者确定下一步行动是非常有帮助的。　　我们也可以使用扫描工具来完成刺探目标网站服务器相关信息的任务，这类工具非常多，而且使用非常简单，如图20。　　现在我们来把默认的IIS头信息隐藏或修改掉，首先打开软件，选中要保护的网站，在“Security Profile”处的下拉菜单中选择相应的策略，这里我自定义一个。　　图21 　　如图21所示，我把IIS默认的头信息修改成了Apache服务器的信息。这样就可以迷惑攻击者，有效隐藏网站的真实信息。现在我们再来分析下修改后的IIS服务器返回的头信息，如图22：　　现在IIS服务器返回的头信息已经是我们自定义的了，这里伪装成了Apache服务器。　　我们再用扫描工具扫描一下，看能否得到目标网站的真实服务器类型，结果如图23：　　根据上图，我们可以看到现在扫描器已经获取不到目标网站的服务器类型了。　　对于一些自动化攻击工具来说，因为获取不到目标服务器的类型和版本相关信息，自然也就无法进行下一步攻击了。　　总结　　通过上面对IIS攻击和安全加固的实例，相信读者对IIS服务器的安全有了更加深入的认识。其实对于IIS的安全加固并不难，很多时候更重要的是管理员的安全意识，只要有足够的安全意识，加上上面介绍的安全加固方法，相信你一定可以打造一个安全的IIS服务器。转自：http://sec.chinabyte.com/278/12496778.shtml

龙生 25 Feb 2013

View Details

canonical标签

canonical 标签已经存在两年了，但我想至今一定还有很多人不知道canonical 标签是个什么东东，下面我会详细讲解一下，让大家认识它，理解它。　　简单而言，canonical 标签可以为搜索引擎指明当前页面权重的侧重点在于哪个链接，从而有助于SEO. canonical 标签是在09年二月份由Google、Yahoo、Microsoft 共同发布，用来解决由于 URL 形式不同而造成的重复内容的问题。因为重复内容是SEO中的大忌，但对于一些页面而言，重复内容又是在所难免的。　　为了给搜索引擎留下友好的印象，我们可以利用网站SEO优化中的一个小技巧即canonical 标签来实现。这样不但可以为搜索引擎分担一些工作，还能告诉他们哪个才是真正的权重高的页面，从而不用再费力气到处爬到处找了。　　使用canonical 标签还有3个作用，其实这3个作用在前面的文章中我有提到，但为了让大家更好的理解，我再强调一下： 1.使用Canonical标签使网址规范化。 2.避免内容重复页面，搜索引擎收录更准确。 3.集中传递页面权重。 Canonical链接标签只能作用于同一个域名所在的网址，不能作用于不同域名上的重复内容。如果是跨站，可以使用301重定向。　　具体使用方法，您可以通过以下两种方式指定规范网址： ?在每个非规范版本的 HTML 网页的部分中，添加一个 rel="canonical" 链接。　　要指定指向网页 http://www.example.com/product.php?item=swedish-fish 的规范链接，请按以下形式创建元素： http://www.example.com/product.php?item=swedish-fish"/>将上述链接复制到某网页（例如 http://www.example.com/product.php?item=swedish-fish&sort=price）所有非规范版本的部分中。　　如果您在 http://www.example.com/product.php?item=swedish-fish 和 https://www.example.com/product.php?item=swedish-fish 上都发布了内容，则可以指定该网页的规范版本。创建元素： http://www.example.com/product.php?item=swedish-fish"/>将上述链接添加到 https://www.example.com/product.php?item=swedish-fish 的部分中。 ?使用 Linkrel="canonical" HTTP 标头进行回应，从而指明网址的规范版本。向网页中的 head 部分添加rel="canonical" 的方法适用于 HTML 内容，但是不适用于 PDF 以及其他由"Google 网页搜索"编入索引的文件类型。在这种情况下，您可以使用Link rel="canonical" HTTP 标头进行回应，从而指明规范版本的网址，如下所示（请注意，要使用该选项，您需要拥有配置服务器的权限）： Link: <http://www.example.com/downloads/white-paper.pdf>;rel="canonical" 　　目前，Google 仅针对"Google 网页搜索"支持这些链接标头元素。　　更详细可以参见：http://www.google.com/support/webmasters/bin/answer.py?answer=139394 　　注意：不要耍小聪明，使用 canonical 标签把其他不相关的页面指定想提高权重的页面，如果被发现的话，你的网站肯定会死的很惨。文章地址：http://www.fkseo.net/thread-194099-1-1.html

龙生 23 Feb 2013

View Details

« Previous 1 … 365 366 367 … 408 Next »