Messages posted by: raulgonzalez

Để phòng chống SQL Injection, mình nghĩ tốt nhất là dùng Prepared Statement.
Hoặc tiện hơn nữa các bạn dùng luôn ORM nếu website của bạn không quá phức tạp.

TQN wrote:

Các thông tin về victim, về cấu hình phần cứng, serial number của CPU, harddisk, username, computername, licenseID, danh sách các phần mềm đã instal, IE ver, path, name của thư mục %UserProfile%... mà mấy anh còn lấy được, còn úp về được thì victim hết đường chối khi mấy anh muốn "bạch hoá". Thậm chí em đang run những phần mềm nào trên máy, mấy anh còn lấy list luôn (PSAPI hay ToolHelp32 API), dùng EnumWindows hết tất cả window đang mở rồi ghi xuống Global Temp File của mấy anh (so siếc, encode gì đó xong) rồi để up đi thì còn cái gì của victim mà mấy anh không biết nữa ? Mấy anh đang vi phạm trắng trợn quyền bảo mật thông tin của công dân đấy nhé !

Các thông tin khác em không nói, nhưng stl lấy thông tin về cấu hình phần cứng, serial number của CPU, harddisk, username, computername, licenseID thì em nghĩ các đồng chí stl là người của Orange rồi, vì hacker bình thường lấy mấy thông tin có vẻ không hữu dụng khác, còn với Orange thì, he he, đó là bằng chứng.

Em em nghĩ thì "đi tắt đón đầu" cần hiểu theo nghĩa: phát triển thẳng các ngành nghề công nghệ cao nếu có thể. Vd: ưu tiên phát triển CNTT thay vì ưu tiên phát triển nông nghiệp. Cấp phép cho Intel chế tạo chip (không nhất thiết phải là cty VN, miễn là trong lãnh thổ VN). Hoặc chế tạo máy mà không nhất thiết phải phát triển luyện kim trước (nhập). Các bác IT gọi là don't reinvent the wheel.
Không nên hiểu đi tắt đón đầu là đốt cháy giai đoạn.
Về STL, quả thực nếu liên hệ với phát biểu của bác Triều thì khó có thể không nghi ngờ nguồn gốc STL là từ CAM.

~simon~ wrote:

-Xin lỗi chứ em không gọi là bạn được ,từ này em gọi bọn stl là bọn địch chắc đang ức chế lắm khi HVA vẫn trơ như tượng đá.
-Cũng có lẽ cấp trên chỉ thị mấy chú không hạ được HVA thì tháng này cắt luơng cũng nên )

Các bạn cứ thoải mái phê phán hành vi của stl. Các bác nào có tài thì góp sức với anh TQN với conmale để vạch mặt đám này. Nhưng đừng khiêu khích theo kiểu "còn lâu mới làm gì được HVA", nhất là khi mình không nằm trong BQT.

Thực ra BKAV không tệ như mọi người hay nói. Chủ yếu là thiên hạ ghét bác Quảng nên cứ cái gì của BKAV cũng chửi hết.
Mình từng dùng BKAV, thấy nó diệt virus khá tốt. Tuy nhiên nó không ổn định. Với nhiều máy khác, nó quét mà chẳng phát hiện ra con nào, hoặc quét xong không diệt được (điều này đôi khi cũng đúng với các trình AV khác, nhất là khi máy nhiễm rồi mới cài). BKAV ngày xưa cũng hay xung đột với 1 số chương trình như Unikey hoặc Google Desktop và các chương trình cần hook và system như BKAV. Việc xung đột này dẫn tới lỗi màn hình xanh, dump.
Ngày xưa mình cũng xài Avira. Hồi đó trong các trình AV miễn phí thì thằng này tốt nhất. Nhưng AV thì năm nay ngon nhất nhưng sang năm thằng khác nó ngon hơn. Một thời gian sau Avira không còn hiệu quả nữa, nhiều trường hợp không dectect được virus (giống BKAV).
Avast có 1 đặc điểm mình rất thích là nó có thể quét trước khi logon vào Windows, như vậy nó có thẻquyets khi nhiều virus chưa load, chưa chiếm quyền kiểm soát hệ thống -> khả năng diệt cao hơn và triệt để hơn. Nhưng, chiêu này cũng dùng được 1 thời gian, sau đó cũng ko hiệu quả.
Bây giờ mình xài MS Essential, và thấy rất tốt. Nhiều bác ghét MS không kém BKAV, có lẽ sẽ chửi MSE, nhưng mình thấy cái này ổn nhất trong các AV miễn phí hiện giờ.
Các trình có phí thì mình ít dùng, vì kiếm đợt khuyến mại dùng thử cỡ 6 tháng cũng ít, mà 3 tháng thì quay qua quay lại lại phải gỡ ra cài mới.
Túm lại: dùng AV thì không có cái nào vĩnh viễn no.1. Khi nào nó còn giữ cho máy bạn sạch thì ko cần đổi, nhưng khi bạn biết có virus (đôi khi nhìn thấy file lạ là biết) mà ko diệt được thì bạn phải thử và tìm cái diệt được các virus mình gặp. Mỗi lúc có 1 AV mà bạn cho là tốt nhất. Tốt nhất của tôi chưa chắc là tốt nhất của các bạn.

tmd wrote:

Ai đang sài windows thì coi chừng chuyện tương tự. Sự vụ là như vầy, phim định dạng .wmv down đâu đó trên mạng, từ các nguồn, bao gồm torrent không có xuất xứ rõ ràng thì nên đề phòng. Một số .wmv hoặc tương tự được thêm thắt hoặc được định dạng lại để trình coi phim thông dụng windows media player phải download một cái bộ codec trong gói DivXInstaller.exe từ cái địa chỉ http://divcrypt.com/dlfiles/DivXInstaller.exe. Vì một lý cháu nào đó mà trong cái bộ cài này có 3 file .exe là stb2.exe, babylon3.exe,killwnd.exe. Trong số 3 file này, cả 3 đều là trojan, thì cái file stb2.exe sẽ chạy ngay khi mình trỏ con chuột vào đó. Cả 3 file đều được cài vào máy và tự chạy, tự kết nối ra đâu đó internet mà người chơi windows khôgn biết gì hết. Cả 3 đều đã bị liệt vào loại trojan hoặc phần mềm nguy hiểm tiềm năng theo như dữ liệu của mấy trình diệt thông dụng.
Nói chung là coi phim, nghe nhạc ,... mà phần mềm thông dụng bị đòi download thêm thắt cái gì đó từ nguồn không rõ ràng thì nên ngừng lại.

Cảm ơn bạn tmd.
Xin bổ sung thêm là trước khi download torrent thì các bạn nên xem comment về torrent đó, hoặc xem mọi người vote như thế nào. Người dùng đánh giá tốt thì mới down.

Mình nghĩ cái nick postder… này là ai đó reg ra để vào hoạt náo cho vui topic chứ ko phải người thật đâu . Bác conmale trả lời nghiêm túc vậy coi chừng lầm smilie

Thông báo: Kỳ thi đợt này có nhiều thí sinh xuất sắc tham gia. Bạn muốn chắc ăn có 1 suốt moderator?
Có 2 cách:
1. Mua đề.
2. Mua ghế (Chạy chức moderator).
Liên hệ "chị" gammar.

hqthao wrote:

@raulgonzalez: mình thấy ý kiến bạn không khả thi lằm nhỉ giả sử úp một file ảnh, nếu diễn đàn đó có chức năng hiển thị hình ảnh dạng thumbnail chẳng hạn thì "may ra" còn có thể chạy script ẩn trong file ảnh đó. nhưng nếu script ẩn trong các file word,.... thì diễn đàn chỉ đơn giản là lưu lại thôi, làm sao mà chạy cái script đó để hỏng server được ?

Ý của mình không phải nhúng vào trong file ảnh, mà là up thẳng 1 file khaithac.php lên. Nếu không kiểm soát kĩ mà để user upload 1 file đuôi .php (hoặc ngôn ngữ khác miễn là cùng ngôn ngữ với diễn đàn) thì có thể dẫn đến mất quyền kiểm soát.

@Jinno Hoang: bạn hiểu nhầm ý bạn Jenny_k19, bạn ấy hỏi là nếu không có username, pass (tất cả các thể loại) thì làm sao mà up lên được?

@Jenny_k19: thông thường các diễn đàn cho thành viên đăng kí miễn phí, và có 1 số diễn đàn cho upload file (vd: hình ảnh, hoặc document để chia sẻ). Nếu không kiểm soát kĩ, thành viên có thể upload lên 1 file chứa mã độc của ngôn ngữ diễn đàn đó sử dụng (vd: khaithac.php). File này có thể được dùng để đọc, ghi, xoá (nếu chmod là 777 chẳng hạn) các file khác.

conmale wrote:

Số chủ đề trong trang thì đã tăng lên 20 nhưng phần em đề nghị thì cần phải xem lại bởi vì nó là một phần của css đã có sẵn. Nếu tự nhiên tăng kích thước chỉ mỗi phần đó lên thì nhìn không hợp.

Mình không nhất thiết phải tăng font size của phần đó, chỉ cần thêm padding vào CSS của phần này (class genmail thì phải) thì phần clickable area sẽ tăng lên. Ví dụ thế này:

Lúc này, người đọc chỉ cần đưa chuột vào phần ô vuông là đã có thể click được, thay vì phải rê chuột lên con số (nhỏ hơn).
Để chắc ăn về mỹ quan: em thấy lịch sử HVA trong giai đoạn đầu có 1 "công thần" là Apomexus. Tài năng design của anh này rất giỏi. Giờ đây nếu BQT nhớ anh đó review tổng thể về mặt design thì chắc chắn anh này sẽ rất sẵn lòng giúp thôi.
Việc này em chỉ góp ý vậy thôi, còn giải quyết thì từ từ cũng được, vì cũng chỉ là 1 điểm rất nhỏ thôi.

tamgui wrote:

vậy chi phí cho 1 sv riêng chắc là cao lắm hả bạn.

Mịnh định đầu tư cho 1 con VPS và nhờ bên vietvbb code lại web và coi sóc 4rum cho mình luôn, giá của vietvbb chăm sóc web hằng ngày là 1tr/tháng. còn con VPS 500k/thang mà nên chọn cấu hình như thế nào vậy.

Mà hình như là nếu chạy bandwith unlimited thì ko lo ddos hả bạn.

Bạn không cần code lại web, vì giả sử viết lại và optimize để web chạy tốn ít tài nguyên hơn... thì hiệu quả cũng không nhiều.
Theo mình, nếu trước mắt bạn chưa có điều kiện tài chính thì có thể search trên mạng biện pháp chống DDOS bằng .htaccess (hình như của các bạn bên cuasotinhoc.com). Nếu bạn có điều kiện mua VPS thì cài đặt tường lửa để chặn. Nếu quen ai rành IT thì nhờ họ phân tích gói tin rồi hình thành biện pháp để cản, nếu không thì xài tạm mấy cái rules cho tường lửa iptables có sẵn trên mạng, rồi nghiên cứu dần để tự bảo vệ smilie

Về bảo mật web application thì hiện nay tổ chức OWASP (Open Web Application Security Project) có các hướng dẫn rất cụ thể và hữu ích, bạn có thể tham khảo tại http://www.owasp.org/index.php/Main_Page

bluearrow wrote:

Về bản chất, botnets truy cập thường xuyên vào trang web của mình trong thời gian dài dẫn đến nghẽn băng thông.
Thân!

Bạn nhận diện dấu hiệu ("bản chất" ) của DDOS chưa đúng. Vấn đề nằm ở chỗ gửi nhiều gói tin, mở nhiều connection.... trong thời gian ngắn, chứ không phải truy cập trong thời gian dài. Nếu mấy trang báo mạng mà làm vậy thì dẹp tiệm hết.
Thêm nữa, giải pháp nhận diện dựa vào tình trạng đăng nhập thì phải ứng dụng ở trên tầng application, mà như vậy thì tốn nhiều tài nguyên hơn chặn ở tầng dưới -> không đem lại hiệu quả nhiều nhất.

conmale wrote:

raulgonzalez wrote:

2: Liên quan đến navigation: phần navigation giữa các trang hơi nhỏ, khó bấm. Cái này thuộc về usability, các bác xem có thể cho to thêm tí nữa được không?

Cái này anh chưa rõ lắm. Ý em là phần nào? Em chụp đoạn navigation đó và kèm theo giúp anh để anh xem chính xác là chỗ nào nha.

Thanks,

Cái này nè anh (phần tô đỏ)

Em thấy cái clickable area nên to lên 1 chút, ví dụ như practice này: http://www.smashingmagazine.com/2007/11/16/pagination-gallery-examples-and-good-practices/

Em có 2 góp ý thế này:
1. Liên quan đến pagination: Em nghĩ hiện nay số topic/trang trong 1 phân mục được setup hơi ít. Điều này dẫn đến nếu em muốn duyệt qua tất cả các topic (để xem có chủ đề nào hấp dẫn không mà tham gia) thì phải chuyển trang rất nhiều.
2: Liên quan đến navigation: phần navigation giữa các trang hơi nhỏ, khó bấm. Cái này thuộc về usability, các bác xem có thể cho to thêm tí nữa được không?

actuladn wrote:

cám ơn anh!!!
thầy em kêu tạo khoảng 10 rule iptables ngăn chặn tấn công. Anh gợi ý cho em vài rule với.

Bạn nên tìm hiểu các rules cua iptables trước, sau đó có gì không hiểu thì lên thảo luận. Anh conmale muốn cung cấp cho mọi người cần câu chứ thường ông ấy ko cho con cá đâu. Reply ở trên có thể xem là chiếu cố đặc biệt đó.

Anh Conmale và các cao thủ cho em hỏi về một số chi tiết em còn thắc mắc sau khi đọc (nhiều lần) loạt ký sự DDOS vào HVA:
- Khi bị X-flash, mặc dù anh xác định được đặc điểm trong payload của gói tin có X-flash nhưng biện pháp đầu tiên của anh lại là giới hạn connection. Điều này hơi trái với phản ứng thông thường. Có phải vì giới hạn connection có nhiều ưu điểm hơn nên ưu tiên trước.
- Trong ký sự thì Snort “làm việc” với gói tin trước rồi mới đến Iptables. Nhưng trong 1 số tài liệu khác em lại thấy hình như Iptables làm việc ở tầng thấp hơn và đụng đến gói tin trước?
- Khi Snort xử lý gói tin thì nó có dừng gói tin lại để xử lý, xong rồi mới cho qua không? Tại sao Snort rơi vào tình trạng “đánh gió”?
Tạm thời mấy câu này đã smilie

Thanks all

Thêm một link nữa cho người mới bắt đầu:
http://akrabat.com/zend-framework-tutorial/

Mình đã dùng qua aLinux thấy đồ họa cũng đẹp, thân thiện với người dùng.
Tuy nhiên mình vẫn thích Ubuntu hơn vì tính thân thiện của hệ điều hành này.
Hơn nữa Ubuntu cung cấp đĩa CD miễn phí, gửi đến tận nhà bạn.

Nên học HTML, sau đó học PHP hoặc ASP.net. Nên thực hành nhiều, vì những lỗi trong quá trình thực hành sẽ giúp chúng ta học rất nhiều.

Seii TaiShogun wrote:

Cài thằng Zend Core vào trước rồi tính nhá, ko có nó thì đừng mơ cài Zend Framework.

Zend Framework thì cứ copy vào 1 thư mục nào đó, include nó vào là chạy, chẳng cần cài đặt gì sất.

Dưới đây là một số trang web về Security/hacking mình biết (rất hạn chế), bạn nào biết những trang khác thì post lên cho mọi người tham khảo nhé:
Việt Nam:
www.hvaonline.net
www.vniss.net
vnsecurity.com
http://vnhacker.blogspot.com/ (Founder: Mrro)
http://conmale.blogspot.com/ (Personal)
http://vietnamsecurity.googlepages.com/ (Security News - Founder: HYXD)
http://www.procul.org/blog/category/b%e1%ba%a3o-m%e1%ba%adt-va-m%e1%ba%adt-ma-h%e1%bb%8dc/

Nước ngoài:
www.securityfocus.com
http://blogs.securiteam.com/
http://www.insecuremag.com/archive.html
http://suif.stanford.edu/~livshits/work/griffin/lit.html

Hope that it's useful for you. If you know any other site(s), please post for me other members reference.