下面说下如何设置debian下的ftp的安全建议     　　1、建议使用虚拟账户，而且虚拟账户不允许登录终端(/sbin/nologin掉   　　)   　　2、ftp密码要复杂些，如果支持ssl一定要开启ssl!   　　ftp服务不要用root权限启动，否则万一出现个提权0day呢~   　　建议使用pureftpd。   　　这个最近还没出现0day。   　　而且速度比较快和稳定

问题的引入：前些天，几乎是再同时，CSDN等几大门户网站用户密码被外泄了，我没有感到很惊讶。因为现在很多大型的网站对用户信息，特别是，想用户名、密码这样的信息保护不够完善！造成这种问题的原因是多种多样的，很多小网站本来建站的成本很低，随便找几个在校的计算机系大学生来花个几千RMB，网站就算搭建起来了。大学生的水平是参差不齐的，特别是再计算机系（关于这一点，我绝对深信不疑，DebugLZQ对自己的老本行还是略知一二的）。这样子建立起来的网站会有很多很多问题，当然包括安全问题（不是DebugLZQ装...

以下保存为bat文件，运行时还需xcacls.vbs这个东东，可以到网上下载。   :: 禁用WS命令行组件 regsvr32 /s wshom.ocx   :: 防止WINDOWS漏洞[粘滞键]的”变态入侵之有史以来最酷的Windows后门sethc.exe”   cscript.exe xcacls.vbs “%SystemRoot%/system32/sethc.exe” /D Everyone:M /E cscript.exe xcacls.vbs “%SystemRoot%/ServicePackFiles/i386/sethc.exe” /D Everyone:M /E     :: 删除system32\npptools.dll，新建npptools.dll设为只读,权限上限制 可防止所有arp病毒   del %SystemRoot%\system32\npptools.dl...

近期,有部分无聊人士喜欢利用0day 找到程序的漏洞上传流量攻击脚本,让人很头疼。目前发现的99%是dedecms程序漏洞,如果您正在使用dedecms程序,请看下面的几个步骤。 1.在dedecms的后台更新补丁,尽可能升级为最新版本。 2.data、templets、uploads、install这几个目录去掉写的权限 。 3.如果只是使用文章系统并没有使用会员功能,则强推推荐:关闭会员功能、关闭新会员注册、直接删除member目录或改名。 4.用dedecms后台的“系统”中的文件校验和病毒扫描功能 查杀病毒木马。 5.检查有无/data/cache/t.php 、/data/cache...

XSS攻击以及的可怕性及灵活性深受黑客的喜爱。争对XSS攻击，编者给普通浏览网页用户及WEB应用开发者给出以下的安全建议：       web用户       1.在电子邮件或者即时通讯软件中点击链接时需要格外小心：留心可疑的过长链接，尤其是它们看上去包含了HTML代码。如果对其产生怀疑，可以在浏览器地址栏中手工输入域名，而后通过该页面中的链接浏览你所要的信息。       2.对于XSS漏洞，没有哪种web浏览器具有明显的安全优势。也就是Firefox也同样不安全。为了获得更多的安全性，可以安装一些浏览器插件：比如Firefox的...

之前也提到过使用org.apache.commons.lang.StringEscapeUtils这个工具类对用户提交的数据转义，但是这样做不够好，万一哪天程序有什么改动，或者另一个需要使用这些数据的开发人员在数据输出的时候又转义了一下呢？最直接的应该是将提交的数据中的XSS过滤掉，只存储正常数据，这种需求交给owaspantisamy就行了。   第一步 从http://code.google.com/p/owaspantisamy/downloads/list下载如下文件（版本当然找最新的了）： antisamy-1.4.4.jar antisamy-required-libs-1.2.zip antisamy-slashdot.xml 第二步 将antis...

在对WIN2003进行安全配置的时候,经常一不小心就把权限设置乱掉,导致 ASP无法执行/PHP无法执行/某些服务无法启动等等奇怪故障,如果你对所有做过的权限设置都有记录的话,可以一步一步逆推回去来解决问题,如果没有记录,那么最简单的办法就是恢复默认权限. 仅需使用如下命令:   Secedit /configure /db %SYSTEMROOT%\security\database\cvtfs.sdb /Cfg “%SYSTEMROOT%\security\templates\setup security.inf” /areas filestore   等待完成.因为权限导致的故障应该都可解决.然后重新进行权限设置即可.       ==========...

标有 (*) 的检查项目表示该项是针对相关问题的根本解决方法，应当尽最大努力去完成这些内容。未标 (*) 的项目，表示该项并不能完全消除安全隐患，只是说通过这种方法可以避免发生安全问题。最后一条似乎没什么意思，不翻译了。 SQL注射 (*) 在组合SQL语句时要使用SQL变量绑定功能 (*) 如果数据库不提供变量绑定，那么需要对构成SQL的所有变量进行转义 不要将错误信息原封不动地显示在浏览器中。 为访问数据库的用户设置适当的权限。 操作系统命令行注射 (*) 避免使用能启动shell命令的语言 使用的语言如果允...