1. Khi lập trình web phải viết các thủ tục , hàm sql lưu trên Server SQl không được lập trình sql trên code. --> store procedure hay trigger liên quan gì đến sql injection đâu)--> sql injection xảy ra khi dữ liệu được input ko được xử lý vẫn bị inject thôi...

2. rewrite url để giúp cho tìm kiếm và đảm bảo an ninh bảo mật. (cái này để cho đẹp thôi chứ dữ liệu đưa vào nếu không xử lý vẫn bị inject)

3. Sử dụng mã nguồn mở lập trình . ( là sao chả hiểu -- có nghĩa là sử dụng mã nguồn mở sẽ ko bị inject à ) 

Cái này mình tự tìm trên mạng khi đăng nhập vào trang quản trị của trang web thì nó yêu cầu nhập thêm user và pass theo như được biết thì user và pass này nằm trong file .htaccess nên chỉ có local rồi mới lấy được user và pass của nó!
Nhưng thiết nghĩ nếu local được thì cần gì đăng nhập chi nữa! Đã đặt câu hỏi nhiều diễn đàn như hầu như không có hồi âm! Còn tìm trên internet thì nó chỉ cách chống chứ không chỉ cách bypass không lẽ đây là một kỹ thuật ngăn chặn hoàn hảo như vậy? Chỉ còn có một cách là đoán pass trong file .htaccess? Thiết nghĩ nếu dùng kỹ thuật sql injection đề dò đọc file .htaccess mình chưa thử vì nhiều file config kỹ không cho truy xuất đến những trong thư mục website nên đành bó tay .cơm  

events {
worker_connections 1024;
}
keepalive_timeout 3;

Timeout 60
KeepAlive On
MaxKeepAliveRequests 100
KeepAliveTimeout 3
<IfModule prefork.c>
StartServers 1
MinSpareServers 1
MaxSpareServers 5
ServerLimit 10
MaxClients 10
MaxRequestsPerChild 200
</IfModule>

Mình không có OpenVZ ở đây để test, nhưng ngoài việc giảm concurrent connections, ép các unused connections được đóng sớm hơn, bạn thử cách này xem:
http://www.eth0.us/openvz-limits
http://zee.balogh.sk/?p=1722
 

Cho server bị lỗi lại và kiểm tra thông tin trong file này xem giá trị `numtcpsock` và `tcpsndbuf` là bao nhiêu. 

cat /proc/user_beancounters
Version: 2.5
uid resource held maxheld barrier limit failcnt
110148: kmemsize 9732552 14133253 134217728 154217728 0
lockedpages 0 5 512 512 0
privvmpages 87370 116635 131072 131072 0
shmpages 1283 3363 24576 24576 2
dummy 0 0 0 0 0
numproc 61 142 500 500 0
physpages 46285 74687 0 9223372036854775807 0
vmguarpages 0 0 131072 131072 0
oomguarpages 46286 74688 131072 131072 0
numtcpsock 490 500 500 500 254579
numflock 10 33 400 600 0
numpty 2 2 81 81 0
numsiginfo 0 11 512 512 0
tcpsndbuf 1264032 8539880 8388608 8888608 8122883
tcprcvbuf 1222000 3931792 8388608 8888608 0
othersockbuf 83552 391552 8388608 8888608 0
dgramrcvbuf 0 16944 8388608 8888608 0
numothersock 53 186 500 500 0
dcachesize 985011 1031433 8388608 8888608 0
numfile 2150 2570 13056 13056 0
dummy 0 0 0 0 0
dummy 0 0 0 0 0
dummy 0 0 0 0 0
numiptent 28 500 500 500 6553

jin9x wrote:

quanta wrote:

VPS bạn đang dùng cái gì vậy: http://people.redhat.com/~rjones/virt-what/? 

openvz
 

Bạn gửi kết quả `# cat /proc/user_beancounters` lên xem. 

cat /proc/user_beancounters
Version: 2.5
uid resource held maxheld barrier limit failcnt
110148: kmemsize 6564392 14133253 134217728 154217728 0
lockedpages 0 5 512 512 0
privvmpages 70601 116635 131072 131072 0
shmpages 643 3363 24576 24576 2
dummy 0 0 0 0 0
numproc 50 142 500 500 0
physpages 30540 74687 0 9223372036854775807 0
vmguarpages 0 0 131072 131072 0
oomguarpages 30541 74688 131072 131072 0
numtcpsock 42 500 500 500 250750
numflock 12 33 400 600 0
numpty 1 2 81 81 0
numsiginfo 0 11 512 512 0
tcpsndbuf 1048032 8539880 8388608 8888608 8122883
tcprcvbuf 559008 3931792 8388608 8888608 0
othersockbuf 32448 391552 8388608 8888608 0
dgramrcvbuf 0 16944 8388608 8888608 0
numothersock 36 186 500 500 0
dcachesize 563400 1031433 8388608 8888608 0
numfile 1510 2570 13056 13056 0
dummy 0 0 0 0 0
dummy 0 0 0 0 0
dummy 0 0 0 0 0
numiptent 28 500 500 500 6553

VPS bạn đang dùng cái gì vậy: http://people.redhat.com/~rjones/virt-what/? 

Có 512Mb Ram mà vừa dùng cho kernel + daemon + nginx + apache (+ mysql) rồi phang nó kiểu đó thì "(105: No buffer space available)" là đúng rồi. 

socket: No buffer space available (105) 

[alert] 32680#0: *1476165 socket() failed (105: No buffer space available) while connecting to upstream, client: x.x.x.x, server: domain.com, request: "GET / HTTP/1.0", upstream: "http://x.x.x.x:8080/", host: "domain.com" 

#######################################################################
#
# This is the main Nginx configuration file.
#
# More information about the configuration options is available on
# * the English wiki - http://wiki.nginx.org/Main
# * the Russian documentation - http://sysoev.ru/nginx/
#
#######################################################################

#----------------------------------------------------------------------
# Main Module - directives that cover basic functionality
#
# http://wiki.nginx.org/NginxHttpMainModule
#
#----------------------------------------------------------------------

user apache;
worker_processes 1;
error_log /var/log/nginx/error.log;
#error_log /var/log/nginx/error.log notice;
#error_log /var/log/nginx/error.log info;

pid /var/run/nginx.pid;


#----------------------------------------------------------------------
# Events Module
#
# http://wiki.nginx.org/NginxHttpEventsModule
#
#----------------------------------------------------------------------

events {
worker_connections 1024;
}


#----------------------------------------------------------------------
# HTTP Core Module
#
# http://wiki.nginx.org/NginxHttpCoreModule
#
#----------------------------------------------------------------------

http {
server_tokens off;
include /etc/nginx/mime.types;
default_type application/octet-stream;

log_format main '$remote_addr - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent" "$http_x_forwarded_for"';

access_log /var/log/nginx/access.log main;

sendfile on;
#tcp_nopush on;

keepalive_timeout 0;
#keepalive_timeout 65;

#gzip on;

#
# The default server
#
server {
listen 80;
server_name 127.0.0.1;

#charset koi8-r;

#access_log logs/host.access.log main;

location / {
root /usr/share/nginx/html;
index index.php index.html index.htm;
}

error_page 404 = /404.html;
location = /404.html {
root /usr/share/nginx/html;
}

# wwwect server error pages to the static page /50x.html
#
error_page 500 502 503 504 = /50x.html;
location = /50x.html {
root /usr/share/nginx/html;
}

# proxy the PHP scripts to Apache listening on 127.0.0.1:80
#
#location ~ \.php$ {
# proxy_pass http://127.0.0.1;
#}

# pass the PHP scripts to FastCGI server listening on 127.0.0.1:9000
#
#location ~ \.php$ {
# root html;
# fastcgi_pass 127.0.0.1:9000;
# fastcgi_index index.php;
# fastcgi_param SCRIPT_FILENAME /scripts$fastcgi_script_name;
# include fastcgi_params;
#}

# deny access to .htaccess files, if Apache's document root
# concurs with nginx's one
#
#location ~ /\.ht {
# deny all;
#}
}

# Load config files from the /etc/nginx/conf.d directory
include /etc/nginx/conf.d/default.conf;
include /etc/nginx/conf.d/virtual/*.conf;
}
 

GET là lấy về
POST là gửi đi
Mình hiểu đơn giản là thế 

Theo sự hiểu gà mờ của mỉnh thì nếu sử dụng GET hoặc POST trong form thì bác cứ nhìn trên thanh địa chỉ trình duyệt sẽ thấy dùng GET hoặc POST.
 

<form name="form1" method="post" action="Default.aspx" id="form1">
<div>
<input type="hidden" name="__EVENTTARGET" id="__EVENTTARGET" value="" />
<input type="hidden" name="__EVENTARGUMENT" id="__EVENTARGUMENT" value="" />
<input type="hidden" name="__VIEWSTATE" id="__VIEWSTATE" value="/wEPDwUKMTUyNzUzNTM5OGRkYpxbYf/8X27Ez4G2MA+epsHroa0=" />
</div>  

Như thế này có nghĩa là không có cách nào để ta xoá được dấu vết à 

Log trên *nix server thường dc đặt tại đâu ? thuộc sở hữu của user nào ? có quyền gì ?  

4a. làm sao để xác định được GMail dùng "cái gì" để tải file về?

4b. làm sao để xác định cái đó có hỗ trợ Javascript hay không? nếu có thì có những chuyện gì để nói?
 

Em biết anh nói là trong trường hợp up được shell và xem được file config. Nhưng một vấn đề là nếu như nó chuyển cái file config kia ra chỗ khác hoặc mã hoá mất rồi thì tính làm sao đây. Ý của em là gặp phải file config giả hoặc đã bị mã hoá. Có thể là ta sẽ giải mã hoặc là không giải được. Như vậy tức là không sờ được vào file config rồi! 

jin9x wrote:

bạn có được quyền gì trên trang web bạn muốn xem ? 

Nếu có quyền j đó rồi thì hỏi làm j nữa:-< 

Xin giúp tôi viết đoạn code này bằng autoit. Tìm tất cả các file .exe trong tất cả các thư mục của ổ d, e, f,... khi tìm thấy thì copy và đổi tên file vnhcm.doc trong ổ c thành tất cả các file.exe đó.
Ví dụ tìm thấy 2 file theo đường dẫn d:\setup\coppy nhanh.exe và e:\caidat\lichvn.exe thì coppy đè file c:\vnhcm.doc lên 2 file .exe đó nghĩa vẫn giữ nguyên tên là coppy nhanh.exe lichvn.exe, và giữ nguyên icon của nó 

Không nên học Pascal vì tốn thời gian nhưng sau này có thể không dùng.
Mình bắt đầu lập trình với C và bây giờ vẫn tiếp tục với C thỉnh thoảng dùng shell script cho đỡ nhức đầu.

Nên bắt đầu: html && Javascript, shell script, Perl hay Python
 

Ví dụ tôi đã có được link để dẫn tới Cpanel của một host vậy có cách nào dò tìm password không ? 

Bạn nào biết cách viết một chương trình nhập user name và password từ một file text rồi đăng nhập vào một trang web. Và nó phải trả về kết quả là đăng nhập thành công hay không. Có bạn nào biết không, giúp mình với!