Review , Oracle Database , OpenSource, Web 2.0 , Web, Geek.Copyright 20081970-01-01T00:00:00+00:00http://www.sixapart.com/movabletype/http://feeds.feedburner.com/dbanotes?format=skinhttp://feeds.feedburner.com/~fc/dbanotes98955http://www.feedburner.comSubscribe with My Yahoo!Subscribe with NewsGatorSubscribe with My AOLSubscribe with RojoSubscribe with BloglinesSubscribe with NetvibesSubscribe with GoogleSubscribe with PageflakesSubscribe with PlusmoSubscribe with FeedLoungeSubscribe with The Free DictionarySubscribe with Bitty BrowserSubscribe with NewsAlloySubscribe with Live.comSubscribe with Excite MIXSubscribe with Yourminis.comSubscribe with Attensa for OutlookSubscribe with WebwagSubscribe with netomat HubSubscribe with Daily RotationSubscribe with Podcast ReadySubscribe with FlurrySubscribe with ParticlsAdd to Any Feed ReaderSubscribe with fwickiSubscribe with Zune MarketplaceFenngdbanotes@gmail.com2008-07-07T06:49:50-05:00http://www.dbanotes.net/security/ratproxy_google_xss.html

<p>跨站脚本攻击(XSS, Cross Site Scripting) 可能是目前所有网站都比较头疼的问题，Google 也不例外。这次 Google 又做了一次雷锋，把内部用来审计 XSS 的工具开源了：<a href="http://code.google.com/p/ratproxy/">ratproxy</a>。</p> <form mt:asset-id="83" class="mt-enclosure mt-enclosure-image" style="display: inline;"><img alt="Google_ratProxy.png" src="http://www.dbanotes.net/Images/Google_ratProxy.png" width="347" height="209" class="mt-image-right" style="float: center; margin: 0 0 20px 20px;" /></form> Ratproxy 工作流程： <ul><li>1) 运行脚本后，会在本地启动一个代理服务器，默认端口是 8080 ；</li><li> 2) 浏览器设置这个地址 (http://localhost:8080)为 代理地址 ；</li><li> 3) 浏览要测试的 Web 页面，进行实际登录，填写表单等操作(这些动作会被代理服务器捕捉并做点"手脚"发给待检测的页面)，ratproxy 会在后台记录相关的 Log ；</li><li> 4) 用 ratproxy 提供的工具解析 Log 并输出 HTML 进行分析；</li><li> 5) 修正比较严重的问题后，跳回到第一步，知道评估通过为止。</li></ul> 在我的 Ubuntu 下测试了一下，需要说一下的是，本地系统需要安装 libssl-dev 与 openssl 。 <pre>$ sudo apt-get install libssl-dev openssl <br />$ cd ratproxy ; make </pre> 然后就可以提交类似: <pre>$ ./ratproxy -v . -w foo.log -d foo.com -lfscm </pre> <p>然后，人肉点击相关的页面进行测试了。这个工具的设计思路还是很值得借鉴的，推荐对安全感兴趣的同学读一下源代码。</p> <p>ratproxy 的作者是 <a href="http://en.wikipedia.org/wiki/Micha%C5%82_Zalewski">MIchal Zalewski</a>，一个波兰的白帽子黑客。他的<a href="http://lcamtuf.coredump.cx/">个人主页</a>上能找到更多有趣的工具。</p> --EOF--

<p>作者：<a href="http://www.dbanotes.net/">Fenng</a> 发布在 <a href="http://www.dbanotes.net/">dbanotes.net</a>. <a href="http://www.dbanotes.net/index.xml"><img src="http://www.dbanotes.net/feed.gif" style="border: 0pt none ;" alt="FeedBurner 订阅数量,点击则可进行订阅" height="26" width="88"></a> | <a href="http://www.dbanotes.net/review/anti_copy_tech_articles.html">转载文章是对互联网的伤害</a></p> <p>跨站脚本攻击(XSS, Cross Site Scripting) 可能是目前所有网站都比较头疼的问题，Google 也不例外。这次 Google 又做了一次雷锋，把内部用来审计 XSS 的工具开源了：<a href="http://code.google.com/p/ratproxy/">ratproxy</a>。</p> <p><span class="mt-enclosure mt-enclosure-image" style="display: inline;"><img alt="Google_ratProxy.png" src="http://www.dbanotes.net/Images/Google_ratProxy.png" width="347" height="209" class="mt-image-right" style="float: center; margin: 0 0 20px 20px;" /></span></p> <p>Ratproxy 工作流程：</p> <ul><li>1) 运行脚本后，会在本地启动一个代理服务器，默认端口是 8080 ；</li><li> 2) 浏览器设置这个地址 (http://localhost:8080)为 代理地址 ；</li><li> 3) 浏览要测试的 Web 页面，进行实际登录，填写表单等操作(这些动作会被代理服务器捕捉并做点"手脚"发给待检测的页面)，ratproxy 会在后台记录相关的 Log ；</li><li> 4) 用 ratproxy 提供的工具解析 Log 并输出 HTML 进行分析；</li><li> 5) 修正比较严重的问题后，跳回到第一步，知道评估通过为止。</li></ul> <p>在我的 Ubuntu 下测试了一下，需要说一下的是，本地系统需要安装 libssl-dev 与 openssl 。<br /> <pre>$ sudo apt-get install libssl-dev openssl <br />$ cd ratproxy ; make </pre></p> <p>然后就可以提交类似:</p> <pre>$ ./ratproxy -v . -w foo.log -d foo.com -lfscm </pre> <p>然后，人肉点击相关的页面进行测试了。这个工具的设计思路还是很值得借鉴的，推荐对安全感兴趣的同学读一下源代码。</p> <p>ratproxy 的作者是 <a href="http://en.wikipedia.org/wiki/Micha%C5%82_Zalewski">MIchal Zalewski</a>，一个波兰的白帽子黑客。他的<a href="http://lcamtuf.coredump.cx/">个人主页</a>上能找到更多有趣的工具。</p> <p>--EOF--</p></p> <p><strong>相关文章|Related Articles</strong></p> <p><ul> <li class="module-list-item"><a href="http://www.dbanotes.net/opensource/free_anti_virus_and_firewall.html">免费杀毒软件与防火墙</a> - Sep 18, 2005</li> <li class="module-list-item"><a href="http://www.dbanotes.net/review/google_will_die.html">做茧自缚的Google</a> - Nov 16, 2005</li> <li class="module-list-item"><a href="http://www.dbanotes.net/sitelog/sitemap_generator_google_sitemap.html">用 Sitemap Generator 创建 Google Sitemap</a> - Jan 19, 2006</li> <li class="module-list-item"><a href="http://www.dbanotes.net/web/create_google_toolbar_button_for_mt_blog.html">为你的 MT Blog 创建一个Google Toolbar 按钮</a> - Feb 3, 2006</li> </ul></p> <p><strong>评论数量(0)|<a href="http://www.dbanotes.net/security/ratproxy_google_xss.html#comments" title="Comment on: Ratproxy -- Google 的 XSS 检测工具">Add Comments</a></strong></p> <p>本文网址：<a class="permalink" href="http://www.dbanotes.net/security/ratproxy_google_xss.html">http://www.dbanotes.net/security/ratproxy_google_xss.html</a> <br /> 最近作者还说了什么? Follow <a href="http://www.twitter.com/fenng">Twitter / Fenng</a></p> <p>DBA notes 理念: 用最简约的技术取得最大的收益!</p> <div name="ClickComments"><script language="javascript" type="text/javascript" src="http://www.postreach.com/ccengine/display_iframe?perlink=http://www.dbanotes.net/security/ratproxy_google_xss.html&url=http://www.dbanotes.net/"></script></div> </description> <p><a href="http://feeds.feedburner.com/~a/dbanotes?a=2GPWvw"><img src="http://feeds.feedburner.com/~a/dbanotes?i=2GPWvw" border="0"></img></a></p><div class="feedflare"> <a href="http://feeds.feedburner.com/~f/dbanotes?a=p7nW5J"><img src="http://feeds.feedburner.com/~f/dbanotes?i=p7nW5J" border="0"></img></a> <a href="http://feeds.feedburner.com/~f/dbanotes?a=q7rjCJ"><img src="http://feeds.feedburner.com/~f/dbanotes?i=q7rjCJ" border="0"></img></a> <a href="http://feeds.feedburner.com/~f/dbanotes?a=d5DzPJ"><img src="http://feeds.feedburner.com/~f/dbanotes?i=d5DzPJ" border="0"></img></a> <a href="http://feeds.feedburner.com/~f/dbanotes?a=GhBWQj"><img src="http://feeds.feedburner.com/~f/dbanotes?i=GhBWQj" border="0"></img></a> <a href="http://feeds.feedburner.com/~f/dbanotes?a=lFSxFJ"><img src="http://feeds.feedburner.com/~f/dbanotes?i=lFSxFJ" border="0"></img></a> <a href="http://feeds.feedburner.com/~f/dbanotes?a=3O5SNJ"><img src="http://feeds.feedburner.com/~f/dbanotes?i=3O5SNJ" border="0"></img></a> </div>http://api.feedburner.com/awareness/1.0/GetItemData?uri=dbanotes&itemurl=http%3A%2F%2Fwww.dbanotes.net%2Fsecurity%2Fratproxy_google_xss.htmlhttp://api.feedburner.com/awareness/1.0/GetFeedData?uri=dbanotesdbanoteshttp://www.flickr.com/people/fenng/2008-07-03T04:00:56-05:00tag:flickr.com,2005:/photo/2633612274<p><a href="http://www.flickr.com/people/fenng/">dbanotes</a> posted a photo:</p> <p><a href="http://www.flickr.com/photos/fenng/2633612274/" title="Oracle 11g 架构"><img src="http://farm4.static.flickr.com/3032/2633612274_9daaaffce8_m.jpg" width="240" height="195" alt="Oracle 11g 架构" /></a></p> 2008-07-03T17:00:56-08:00dbanoteshttp://www.flickr.com/people/fenng/2008-07-02T01:45:05-05:00tag:flickr.com,2005:/photo/2630640706<p><a href="http://www.flickr.com/people/fenng/">dbanotes</a> posted a photo:</p> <p><a href="http://www.flickr.com/photos/fenng/2630640706/" title="Application 与产品映射"><img src="http://farm4.static.flickr.com/3091/2630640706_70986634a4_m.jpg" width="240" height="178" alt="Application 与产品映射" /></a></p> <p>最近在思考一些 SOA 与 DB 之间的关系 （没错，这东西很虚）。这张图来自 Ibm 的红皮书。</p>2008-07-02T14:45:05-08:00dbanoteshttp://www.flickr.com/people/fenng/2008-06-29T21:56:47-05:00tag:flickr.com,2005:/photo/2623588700<p><a href="http://www.flickr.com/people/fenng/">dbanotes</a> posted a photo:</p> <p><a href="http://www.flickr.com/photos/fenng/2623588700/" title="Andrew J. Holdsworth 来阿里技术交流"><img src="http://farm4.static.flickr.com/3068/2623588700_3ed7be8df1_m.jpg" width="240" height="180" alt="Andrew J. Holdsworth 来阿里技术交流" /></a></p> <p>Andrew J. Holdsworth 与 Bob Carlin 来阿里交流<br /> <br /> <a href="http://www.dbanotes.net/database/oracle_hint_gather_plan_statistics.html">技术笔记简略版</a></p>2008-06-27T12:49:30-08:00dbanoteshttp://www.flickr.com/people/fenng/2008-06-27T09:39:19-05:00tag:flickr.com,2005:/photo/2616134732<p><a href="http://www.flickr.com/people/fenng/">dbanotes</a> posted a photo:</p> <p><a href="http://www.flickr.com/photos/fenng/2616134732/" title="盖茨"><img src="http://farm4.static.flickr.com/3148/2616134732_c8917138e5_m.jpg" width="240" height="113" alt="盖茨" /></a></p> <p>离开舞台盖茨。那些以前骂他的人都开始怀念他，曾经视他为恶魔的人现在把他当成神。</p>2008-06-27T22:39:19-08:00dbanoteshttp://www.flickr.com/people/fenng/2008-06-23T07:37:45-05:00tag:flickr.com,2005:/photo/2604198238<p><a href="http://www.flickr.com/people/fenng/">dbanotes</a> posted a photo:</p> <p><a href="http://www.flickr.com/photos/fenng/2604198238/" title="InfoQ_arch"><img src="http://farm4.static.flickr.com/3050/2604198238_c32d62834b_m.jpg" width="240" height="159" alt="InfoQ_arch" /></a></p> <p>InfoQ( <a href="http://infoq.com">infoq.com</a> ) 站点架构图。可谓麻雀虽小，五脏俱全。</p>2008-06-23T20:37:45-08:00