We, HCC!

php常见漏洞及防范措施

2009-01-21T20:54:00.027+08:00

最近一直在忙活HCC的新服务器（LAMP!!!），一直在看一些关于安全之类的文章。可是，服务器再安全，如果上面的php/asp等脚本存在漏洞，那也是白忙活。下面，我总结了php常见的几个漏洞（asp等的漏洞也都类似，可以参考）以及防范措施。

漏洞1.SQL注入
这真是极其耳熟能详的漏洞了，曾经害过无数网站。不过，自从php有了“魔术引用”（Magic Quotes），SQL注入可是尝不到任何甜头了。但是，防范于未然，万一人家php版本低呢。可以编这么一个函数来防范：

 <?php
 function escape_data ($data)
 {
     if (ini_get('magic_quotes_gpc'))
     {
         $data = stripslashes($data); //抵消Magic Quotes
     }
     if (function_exists('mysql_real_escape_string'))
     {
         global $dbc;
         $data = mysql_real_escape_string
            (trim($data), $dbc);
     }
     else
     {
         $data = mysql_escape_string(trim($data));
     }
     return $data;
 }
 ?>

说明一下，mysql_real_escape_string可以根据数据库链接判断字符集，更加安全，但只在较新版本的php中有。
只要将每一个数据库查询语句使用一下这个函数，基本就安全了。或者，更完美的话，可以再用正则表达式检验一下。
当然，还要注意，尽量给用户开放最小的权限。这样，即使被注入了，损失也是有限的。

漏洞2.XSS，跨站脚本
观察如下代码：

1 <?php
2 $name = $_GET['name'];
3 if isset($name)
4 {
5 echo "Hello, $name";
6 }
7 ?>

试想，如果别有用心的人将name写成一些HTML代码，后果将不堪设想。
不过，防范的方法还是比较简单的，只要用htmlspecialchars这个函数就可以了。

漏洞3.错误信息过于详尽
观察如下代码：

01 <?php
02 $result = @mysql_query($query);
03 if ($result) { /* Do something... */ }
04 else
05 {
06     echo 'System error ... ';
07     // ...
08     echo 'Error:' . mysql_error();
09     // ...
10     echo 'Query:' . $query;
11 }
12 ?>

有时，为了调试的方便，将错误信息写得十分详尽。比如说将数据库连接的语句都写出来了。这在网站发布后是不可想象的，需要注意。

呵，这就是我总结的一些常见的漏洞，大家可以留言补充。

HCC的新设备来了

2009-01-13T19:19:00.003+08:00

最近，HCC的新设备已经到位了！其中包括HCC Studio里的两台iMac、Time Capsule还有一台新服务器。当然，我们还买了正版的Adobe Creative Suite 4、TextMate还有Zend Studio。相当诱惑吧！加入HCC技术部吧，享用这一切！

新服务器我们预计这几天就把它部署上，这回应该是要用Linux。原有的服务器仍然保留，以便运行原来的ASP程序。然后用一些方法（正在找资料，反向代理？）把一些目录重定向到老服务器（Windows Server 2003）。接下来，我们要逐步把所有ASP程序用PHP重写，这样，老服务器就可以退役了。

2008年感动十一投票开始了！

2008-11-21T13:28:00.006+08:00

本周三，新一年的“感动十一”网上投票正式开始了。大家可能看到，今年的投票系统与往年也差不多，不过，细心的人一定会发现，今年的投票系统是用php做的。（php是什么？请看维基百科相关页面）

那么，今年的投票系统到底有什么新鲜的呢？让我们来看一下：

使用php制作；
首页的左侧增加了一个滚动的候选人列表，方便查看候选人信息；
简化了投票的流程，将注册和登录减为一步；
重名注册将不再会出现问题；
出错提示页更加人性化。
……

其实，细看一下，今年的投票系统变化还是不小的。当然，还存在若干问题：

IE对css支持不佳，导致首页左侧的滚动栏显示异常，以及若干地方显示乱七八糟

IE有时候真的十分诡异，会把css里的margin属性神奇地加倍。在查找一些资料以后，我发现加上“display:inline;”以后就能解决问题。不过，边距的问题虽然解决了，IE的显示仍然不尽人意。另外，IE对padding的支持也欠佳。

验证码中的“l”和“1”容易混淆
候选人名单的顺序是固定的，最好是随机的
样子十分一般……

总之，美工水平有待提高，现在HCC太缺人了，也希望牛人们能够加入HCC。

《哈利波特与魔法石广播剧》就要开始录音啦！

2007-11-24T13:44:00.000+08:00

今天，来自香港的同学和HCC的CEO周方舟同学和参演同学通过国际互联网进行了交流。共同确定了录音的日期。大家非常愉快。

喜爱哈利波特的同学注意啦

2007-10-21T16:19:00.000+08:00

　　同学们，为了庆祝哈利波特系列小说的全部出版，促进北京和香港两地同学之间的互相交流。我校将与香港圣文德书院中学联合制作哈利波特系列广播剧，第一部“哈利波特与魔法石”的角色选拔即将在香港圣文德书院中学和北京十一学校同步开始进行。

你是不是哈利波特的忠实粉丝呢？你是否幻想过自己就是小说中的人物呢？你是否认为自己的声音非常适合参演广播剧呢？

如果回答是肯定的，快来报名参加选拔吧！
即将在我校选出的角色有：

主人公哈利·波特/ 达利·德思礼 / 鲁伯·海格 / 麦格教授 / 斯内普教授 / 双面人奇洛教授 / 纳威·隆巴顿 / 珀西·韦斯莱 / 魁地奇球队队长奥利弗·伍德 / 魁地奇球解说员李·乔丹 / 分院帽 / 旁白

报名时间地点：10月23日（周二）中午一点高中楼110教室。

经过选拔胜出的同学将于十一月上旬在我校进行录音，素材将送往香港，由香港同学进行后期制作，广播剧《哈利波特与魔法石》将于十二月初左右在我校和香港圣文德书院中学同步播出。

本活动北京部分由HCC社团主办，学生电视台协办。

更多详情：http://www.shiyiquan.cn/SBC

在Google地图中寻找HCC!

2007-09-01T19:12:00.000+08:00

随着Google地图“嵌入网页”功能的本地化，我们可以实现在自己的Blog或者网站里面增加Google地图了。
方法：进入 http://ditu.google.com/ 或者 http://maps.google.com/ ，通过搜索或者直接拖拽，找到想要在自己的blog上显示的地段，点击“Link to this page”或者“显示本页链接”，然后看到的第二个代码就是HTML代码，可以直接复制走啦！如果还想设置大小，可以点击“自定义”或者“Custom”
这个就是HCC所在地（北京十一学校）啦：

完整尺寸

这个是故宫啦：

完整尺寸

HCC服务器支持PHP啦

2007-08-28T23:01:00.000+08:00

这两天一直在连着看台湾中原大学Saturn的PHP接案教程。感觉很兴奋！Windows Server上也能跑起PHP，所以就迫不及待的设置起来咯，不过还是遇到不少挫折。MySQL就屡次不能启动服务...删掉my.ini就好了,也不知道怎么搞的...phpMyAdmin真是可爱的东西，好好用啊。

PHP看起就是比ASP优越一些哦（个人观点）...但我的PHP水平太菜了(不过C语言的基础看来还是很有用的！)...

当然不能错过WordPress这一款世界著名的Blog程序，简直太棒了。现在HCC的第一个Wordpress用作了《十一圈》的团队Blog，欢迎大家访问，多提意见哦！

另外...咱们学校有好多Flash达人，还有php达人哦，真诚的邀请你们加入HCC，要知道，“十一圈”是一个大工程哦，一起来吧！

十一圈预览版：http://www.shiyiquan.cn/

十一圈团队Blog (WordPress哦！) : http://www.shiyiquan.cn/weblogs

网页大赛颁奖了！

2007-06-22T21:47:00.000+08:00

几个月来，网页大赛得到了很多同学的支持。昨天下午，网页大赛的颁奖仪式终于召开了。
由于照片还没有到手，所以就先不多说啦，等到有了照片再放上来吧！

十一学校课件下载系统beta1.0即将推出！

2007-06-08T11:23:00.000+08:00

经过一个上午的赶制，十一学校课件下载系统beta1.0终于有了雏形！预计将于下周一6月10号正式开放给大家使用。详细情况将于今明两天放出，先给大家看张图吧……

HCC开始提供RSS啦(推荐十一学校相关RSS源)

2007-06-06T19:34:00.000+08:00

今天起，HCC的新闻快讯和社联站点上的最新社团活动同时开始提供RSS源了！
可能有同学还不清楚RSS到底是做什么的，下面就给大家简单说一说吧！

　　上面这张图里的标志，大家是不是或多或少都在浏览网页的时候见过呢？你是不是困惑过他们是做什么的呢？实际上，他们都是一个功能，那就是RSS订阅。

RSS?

　　RSS是一种新闻整合的方式，通过订阅某个站点提供的RSS，我们可以不访问这个站点而得到最新的新闻消息，更方便的是，通过RSS订阅器，我们可以同时收看很多站点提供的新闻。一个实际的应用就是，你可以把你想看的所有人的Blog提供的RSS订阅了（通常blog页面上会画一个小小的黄色的RSS2.0字母或者ATOM或者XML字样，就像上图里的按钮，这个东西就是用来订阅的），这样你以后不必访问每个人的blog首页，直接前往阅读器，就可以看到所有人新发的blog，而直接点击某篇文章就可以前往留言，这是一种在互联网上很流行的阅读方式和阅读体验。

阅读器？

　　有些阅读器是软件，需要下载来使用，我们觉得那挺麻烦的，所以我们推荐“在线阅读器”。这样的阅读器十分方便，订阅和阅读都是一点即可。下面推荐两个不错的在线阅读器，直接访问就可以用啦：

抓虾: http://www.zhuaxia.com
查看“抓虾帮助”，获得更多了解：http://www.zhuaxia.com/help.php
Google Reader http://www.google.com/reader
http://www.paikia.com/2006/12/08/google-reader-2/这个页面有一点点介绍

订点什么呢

　　下面是本文的重头戏！推荐十一学校相关RSS源：

* 十一学校社团最新活动：
http://feed.feedsky.com/shiyishetuan
这是每个社团自己在社团联合会的站点上发布的新闻或者公告，信息量大，更新及时。

* “十一进制”社区最新最热帖！
http://www.bj11.net/rss.php
这是“十一进制”论坛的新帖热帖总结。

* 十一学校 HCC Redflag 校园新闻
http://feed.feedsky.com/shiyihcc
这是HCC社团提供的新闻RSS源，更新较快，不足是图片较少，不过文字信息量较大。（尤其指出，这个源的内容是在Creative Commonse下发布的，自由版权，开放度高）

* 十一学校的相关媒体报道
http://feed.feedsky.com/shiyibaidu
这个RSS源整合了百度资讯最新的关于十一学校的新闻，涵盖媒体广（《新京报》、《法制晚报》等等），更新快。不足是一些和十一学校关系不大，可能只是提了一句的新闻也被加入，造成信息质量下降...不过由于信息量还是很大。

**********************终究级**********************
十一学校RSS大杂烩
http://feed.feedsky.com/shiyixuexiao

这个RSS把上面的所有RSS源合并到一起了，如果嫌一个一个订太麻烦，就订这一个就全有了！

最后，希望你到百度贴吧顶一顶写这个的帖子，让更多的同学获得更好的上网阅读体验。谢谢你的公益行为！ http://post.baidu.com/f?kz=210186872

六一节快乐！

2007-05-31T20:15:00.001+08:00

随着5月的结束，6月即将到来。在这里，祝所有的朋友们六一快乐，六月顺利！
HCC为全校每个班级开通了FTP空间（使用方法），支持ASP.Net和ASP，提供给同学们使用，就算是给大家的六一节礼物吧。虽说咱们中的很大一部分已经不再过六一节了，:-)……

这个空间不同于“百度空间”或者“Live Spaces”，他没有预置好的模板……也许有些同学认为这是一个遗憾，其实，这个空间还是可以实现很多功能的，这里，为大家推荐几个好的班级网站(并非网页大赛的任何奖项结果，排名没有意义)。大家可以借鉴，当然如果你觉得你的班级空间做的更好，可以在留言中告诉我们，我们向大家推荐。

高二五班：http://www.shiyihcc.com/class/s2005c5/ 特色：页面清新、可爱
高一一班：http://www.shiyihcc.com/class/s2006c1/ 特色：Flash+XML构建全站
高一四班：http://www.shiyihcc.com/class/s2006c4/ 特色：页面设计精致、淡雅
初一九班：http://www.shiyihcc.com/class/j2006c9/ 特色：内容丰富
初一六班：http://www.shiyihcc.com/class/j2006c6/ 特色：内容丰富
初一五班：http://www.shiyihcc.com/class/j2006c5/ 特色：内容丰富
初一一班：http://www.shiyihcc.com/class/j2006c1/ 特色：页面精美，运用ASP程序
初二十班：http://www.shiyihcc.com/class/j2005c10/ 特色：设计简洁
初二五班：http://www.shiyihcc.com/class/j2005c5/ 特色：设计简洁
四年制高一六班：http://www.shiyihcc.com/j2004c6/ 特色：借助ASP程序实现全站

HCC实验室

2007-05-12T21:37:00.000+08:00

好消息：HCC实验室向所有同学开放啦！
在这里，你可以看到HCC正在运营的项目介绍，可以看到正在筹备的活动，还可以看到HCC的同学的奇思妙想和好点子。你可以给我们提意见，也可以提出你的实验方案。

欢迎大家仔细查看HCC实验室的所有仪器和样品！
点击这里进入HCC实验室!

HCC实验室：团校/党校作业上交系统

2007-05-12T21:31:00.000+08:00

团校/党校作业上交系统（点击进入），是HCC为团委制作的网页应用程序，可以方便大家上交自己的团校、党校作业，也方便团委、党总支老师查阅大家的作业。目前这个系统正在正常运营中。下一步需要更新的是易用性和样式等。

返回HCC实验室

HCC实验室：Voting Service

2007-05-12T21:22:00.000+08:00

Voting Service （十佳中学生投票系统，点此进入HCC Blog上相关专题），是HCC目前较完善的网络应用程序之一。经多次改版完善，在多次十佳中学生投票中完成任务。目前可以实现十佳中学生候选人宣传、投票人投票、计票的功能。下一步，我们希望实现制作投票系统的ASP.Net实现，这样可以更好的保证效率和安全性，更主要的，我们应该演练更多的技术手段，这也是HCC的宗旨。

返回HCC实验室

HCC实验室：Shiyi Maps

2007-05-12T20:49:00.000+08:00

十一地图，可能有些同学有印象，当年十一学校的贴吧上有一副“十一指南图”（左图，点击放大），现在看来已经过时了。幸运的是，HCC现在接受了“十一指南图”的翻制任务，第一版原著作权人将参与新指南图的创作。这个Shiyi Map将以开放、交互等特点著称，更新及时，资料翔实。这个计划现在还属于构思阶段，希望大家提出建议和意见。

返回HCC实验室

HCC实验室：HCC团队Blog

2007-05-12T20:39:00.000+08:00

HCC团队Blog（你正在访问的站点），是HCC成员和同学们交流的良好场所。我们会在Blog公布我们的新闻、通知，也会写出我们的心得、体会。我们还计划在Blog上安排一些电脑知识的连载，让我们和大家一起进步。目前的Blog是使用Blogger提供的服务搭建的，可以实现基本功能。不过在不能上外网的计算机上只能查看，不能评论，在可以上外网的计算机上没有问题，现在的内容还不很丰富，我们会努力的，希望大家支持。

返回HCC实验室

HCC实验室：网页制作大赛专题

2007-05-12T20:28:00.000+08:00

网页制作大赛，是HCC举办的重要活动之一。这套系统也是HCC开放的一个网络应用程序。可以实现报名、评分、讨论、反馈一站完成功能。在使用中，我们发现一些问题，比如像是未上传图片的报名者的图片将显示小叉子、重复报名不会提示，还有就是重复计票的问题，我们会在下阶段的维护中进行处理。

返回HCC实验室

HCC实验室：社团联合会网站

2007-05-12T20:21:00.000+08:00

北京十一学校社团联合会网站（点击进入），包括社团服务中心，是由HCC社团设计制作和维护的。目前可以实现基本功能，如社团注册和审核、计划总结上交和讨论、新闻发布、通知发布等。属于正在运行中的项目，当然，还有一些功能正在开发中，比如社团短信，社长论坛等。
网络应用程序（ASP）/项目负责人：Gene Zhang

返回HCC实验室

HCC实验室：Shiyi Passport

2007-05-12T20:12:00.001+08:00

十佳投票时，我们听到抱怨说：“去年不是注册了么？怎么今年还要注册？”，平时我们经常收到邮件，“请问为什么Homeworld 不能注册成功？”，面对这样的反馈，我们十分汗颜。因为，长期以来HCC没有一个统一的好用的每一位同学都可以用的的用户系统，这样，Passport计划浮出水面。这个计划，是通过一套用户系统覆盖所有项目：十佳投票、网页大赛、Homeworld社区，其他各类活动，比如歌手大赛等等。希望这个系统早日实现，为大家带来便利。

返回HCC实验室

HCC实验室：Shiyi Sidebar

2007-05-12T18:02:00.000+08:00

Shiyi Sidebar 是目前HCC计划中最遥远的一个。它是一个桌面应用程序，当它被打开时，通常会以半透明的形式显示在桌面右侧，占据一个竖条的位置。它会随时从服务器上读取信息，根据登录的身份不同，会包括不同信息。比如，用在班级教室计算机的版本会读取所有和本班相关的新闻或者通知：来自教育处、教学处、团委、保卫科、食堂、学生会、社团联合会等等，这样只要平日随时关注桌面右边的Sidebar，不用再去某个观摩教室开会了，所有通知都有了，它还能随时提醒你今日大事，让你不会忘记。如果在家，你可通过Sidebar接受校园新闻和校园通知，随时掌握校园动态，还可以和同学互相留言，传送文件。桌面应用程序，C#或Java。

返回HCC实验室

2007十佳投票开始了

2007-03-29T21:35:00.000+08:00

今年的十佳投票开始了了（点击此处查看本次十佳投票系统的更新情况）。
如果在使用中遇到什么问题或者有什么需要咨询的事情，可以在本贴留言。

2007网页大赛报名-请大家注意上传图片!

2007-03-11T13:18:00.000+08:00

2007网页大赛报名工作已经开始一个星期了,报名的人数也越来越多,但是上传了图片的班级只占十之二三.我们看到列表上的图片多是XX或经HCC处理过的"无图片".大家根本无从直观了解到你的网站究竟怎样.所以我希望,大家在报名之前花上五分钟为你准备上传的网站首页截个图,不就解决这个问题了吗?你不就可以赢得更多票数了吗?
可能有的同学怕报名晚了会被抢注.这是完全不必担心的!因为本次大赛是以班级为单位参加的,所以你的网站空间根本不会被人抢注,我建议大家先把首页制作好,截个图,报上名,再完善剩下的网页.
最后,我代表HCC全体成员祝各位同学在参赛过程中获得新知识,拿到好名次.

PS:有疑问请MAIL: shiyihcc#gmail.com 请手动将#替换为@

2007网页大赛报名开始了

2007-03-11T04:54:00.000+08:00

(点击上面标题可以直接进入网页大赛页面)

按照计划，网页制作大赛进入了报名与上传作品阶段，这些天忙着给报名的同学开FTP，真是晕头转向，不过我有一个疑惑，就是HCC服务器的FTP服务貌似不是很稳定，这样开通这么多FTP帐户，会不会有不好的现象出现呢？但愿不会吧!

Voting Service修复通告、自我检讨

2007-02-12T22:58:00.000+08:00

呼…… Voting Service总是让人不省心，寒假伊始，我们就收到了李昂同学的电子邮件，作为十佳中学生候选人，他说他不能够正常登陆并上传资料，原因很简单，就是这回候选人当中有两个叫做李昂的。

帅气的李昂（高中版）同学反映的问题是无法登陆（显示密码错），我看了一下程序……数据库字符串好像是.... where 姓名=Request.QueryString("姓名")，然后下面直接判断密码，当一致，建立session，当不一致……跳到err，然后就什么都不做了。在数据库中，李昂（高中版）的在李昂（初中版）之后，显然，高中版的密码不能登陆。我想：这事简单，循环之,movenext之，就搞定了吧，果然，李昂（both senior edition and junior edition）可以正常登陆了，我高兴的回了电子邮件，声称问题解决。

然而令我没有想到的事情是……用具类中的UploadInfo方法的数据库连接字符串竟然也是使用的where 姓名= xxx。这样的结果就是……两个李昂都能登陆，但是，资料和照片都更新到第一个李昂的身上了。看到这个问题的产生，我真是出了一身冷汗——我犯下了多巨大的失误！其实我应该在第一次修改程序是就已经看到建立的名称叫做UserID的session的内容是候选人姓名，而不是ID，我应该联想到如果只有这样一个session，后面的更新数据库想必也是用的姓名吧?但是，由于我考虑的不周，出现了这个问题。

随后，经过检查，实现计票的方法有包含类似如下代码的循环：


If rs.eof Then Exit For
If 此人id与投票表单中id相符 Then
增加此人的票数……
rs.update
End If
rs.movenext

这意味着计票时不会出现重名造成的不快结果，这个问题暂告一段落了。

还好，初中的李昂同学一直没有上传资料，没有造成数据上的损失，真是万幸。不过这次事件真是给我敲了警钟——考虑事情太不周到了。

在这里，我要向李昂同学道歉：对于给你带来的麻烦，我表示非常的抱歉和遗憾，对不起!

好了就这样了，希望大家给我们提出宝贵的意见。

对了，跟随这个连接可以到社团联合会的新网站（HCC承接的一个任务）看半成品——前alpha版，希望大家对UI提出建议——那里不好看啊，哪里不方便这些问题都请悉数提出。

最后，祝大家猪年幸福、健康平安！

关于公布代码安全性的考量：大家看到了，在我们的HCC Blog中，一些程序被修改过的源代码被公开了，这是不是会造成一些安全上的隐患?我想，我们希望通过Blog与大家交流，那就尽可能的向大家说更多的事情，讲到代码是自然的，与和同学们交流的优势相比，公布这些（伪）代码带来的负面影响已经不大。(由于HCC服务器FTP的小问题，We HCC Blog暂时移交到Google的托管空间上，等问题解决，我们会及时移回去，这样造成的访问速度慢、出现navbar的问题希望大家谅解。)