pencat

如何把一个表单元素作为变量操作

<form name="form1" method="post" action="?Action=1">
  <input name="test1" type="text" id="test1">
  <input name="test2" type="text" id="test2">
  <input type="submit" name="Submit" value="提交">
</form>
<%
Action = Trim(Request.QueryString("Action"))
If Action = "1" Then 
 For Each ItemName In Request.Form 
  Execute "Dim " & ItemName
  Execute (ItemName & " = Trim(Request.Form(ItemName))")
 Next 
 Response.Write("test1=" & test1 & "<br />")
 Response.Write("test2=" & test2 & "<br />")
End If
%>

红字部分很重要, ItemName如果在双引号里面 则赋值失败

错误的写法:
Execute ("ItemName = Trim(Request.Form(ItemName))")

下午在VM上装了个ubuntu 7.10 server, 在启动mysql的时候失败.  日志记录如下

Jan 21 11:42:51 bigcomic mysqld_safe[5761]: started
Jan 21 11:42:51 bigcomic mysqld[5765]: 080121 11:42:51  InnoDB: Started; log sequence number 0 43655
Jan 21 11:42:51 bigcomic mysqld[5765]: 080121 11:42:51 [ERROR] Can't start server: Bind on TCP/IP port: Cannot assign requested address
Jan 21 11:42:51 bigcomic mysqld[5765]: 080121 11:42:51 [ERROR] Do you already have another mysqld server running on port: 33306 ?
Jan 21 11:42:51 bigcomic mysqld[5765]: 080121 11:42:51 [ERROR] Aborting
Jan 21 11:42:51 bigcomic mysqld[5765]:
Jan 21 11:42:51 bigcomic mysqld[5765]: 080121 11:42:51  InnoDB: Starting shutdown...
Jan 21 11:42:53 bigcomic mysqld[5765]: 080121 11:42:53  InnoDB: Shutdown completed; log sequence number 0 43655
Jan 21 11:42:53 bigcomic mysqld[5765]: 080121 11:42:53 [Note] /usr/sbin/mysqld: Shutdown complete
Jan 21 11:42:53 bigcomic mysqld[5765]:
Jan 21 11:42:53 bigcomic mysqld_safe[5795]: ended

google 了一下 https://bugs.launchpad.net/ubuntu/+source/network-manager/+bug/104466  Alexander的回答让我茅塞顿开.

我在装系统的时候没有配置网卡.  安装好系统配置网卡的时候顺手注释了两行
#auto lo
#iface lo inet loopback

这导致127.0.0.1 PING不通.  而my.cnf里bind的ip正是127.0.0.1  自然也就启动失败了.  注释去掉

/etc/init.d/networking restart
/etc/init.d/mysql start

至此问题解决

1、进入mysql，创建一个新用户pencat：

格式：grant 权限 on 数据库名.表名 用户@登录主机 identified by "用户密码";

grant select,update,insert,delete on *.* to pencat@192.168.2.45 identified by "123456";

查看结果，执行： use mysql; select host,user,password from user;

可以看到在user表中已有刚才创建的xuys用户。host字段表示登录的主机，其值可以用IP，也可用主机名， 将host字段的值改为%就表示在任何客户端机器上能以pencat用户登录到mysql服务器，建议在开发时设为%。 update user set host = '%' where user = 'pencat';

2、 ./mysqladmin -uroot -p21century reload ./mysqladmin -uroot -p21century shutdown

3、./mysqld_safe --user-root & 记住：对授权表的任何修改都需要重新reload，即执行第3步。

如果经过以上3个步骤还是无法从客户端连接，请执行以下操作，在mysql数据库的db表中插入一条记录：

use mysql; insert into db values('192.168.2.45','%','pencat','Y','Y','Y','Y','Y','Y','Y','Y','Y','Y','Y','Y'); update db set host = '%' where user = 'pencat';

重复执行上面的第2、3步。

一切都从我发布了PHOTO插件FOR ZBLOG开始。发布插件的第二天，打开我的BLOG，发现和平时不太一样，速度很慢,而且状态栏中有很多URL没见过，第一反映就是服务器被黑。用FTP拉下来几个文件，发现文件尾被加了IFRAME代码。检查其他网站，没发现有异常，因为这个服务器WEB权限控制的很严格，不是服务器整体被黑其他站点是不会受到影响的。初步判断是ZBLOG的BUG。随即到官方论坛查了一下，发现这不是个别现象。而斑竹们的回复大多是"检查ARP、是你服务器的问题，ZBLOG绝对没问题 等等"。当时正在编写反垃圾邮件的SERVER，没时间处理这东西，而且服务器的远程也连不上，就简单的做了恢复。

接下来的几周简直就是折磨人，我恢复一次，文件被修改一次。最后搞到时间没耐心。换了一个服务器，结果几天后又被黑。

google了一下arp病毒，发现没有能影响磁盘文件的病毒。无奈之下，在论坛上加了某牛人。得到的答复极为干脆！

"安装360arp杀毒工具"

把我的分析说给他听，牛人的回复是

2007-11-19 09:25:43 xxxxx
因为zblog是asp静态的网页

2007-11-19 09:29:54 xxxxx
如果你连防火墙都不安装 中病毒有什么奇怪的

2007-11-19 09:30:45 xxxxx
如果你的局域网中了木马发起arp攻击 而你没装防火墙 那中了也没什么奇怪

2007-11-19 09:31:14 xxxxx
你自己慢慢想吧 我忙工作了 没时间和你扯了

更让我云山雾罩了.......冷静下来仔细分析

1. ARP只是篡改数据报，没有能力写文件到磁盘。那么肯定是有非法程序修改了文件。
2. 只有一个站点受影响， 说明这个站里的程序肯定有漏洞

基于上面两点，把目标锁定在这个站的IIS LOG上。手头没有合适的分析功能，只好传到LINUX下用GREP做简单的排除分析。最后发现可疑记录。

2007-11-17 15:08:22 10.0.0.78 POST /eWebEditor/UploadFile/20071117223945980.asa Action=Cmd1Shell 80 - 222.210.47.142 Mozilla/4.0+(compatible;+MSIE+7.0;+Windows+NT+5.1;+TencentTraveler+;+Mozilla/4.0+(compatible;+MSIE+6.0;+Windows+NT+5.1;+SV1)+) ASPSESSIONIDQCDTRRQQ=GHEIPJLCPCMODIPOBJCKCKDK http://www.3w3.org/eWebEditor/UploadFile/20071117223945980.asa?Action=Cmd1Shell 200 0 0 3832 618
2007-11-18 05:24:12 10.0.0.78 GET /*.asa - 80 - 218.75.223.36 InetURL:/1.0 - - 404 0 123 1468 93
2007-11-18 15:24:42 10.0.0.78 POST /eWebEditor/UploadFile/20071117223945980.asa pass=3328 80 - 202.59.157.58 Microsoft+URL+Control+-+6.00.8169 - - 302 0 0 474 306
2007-11-18 15:24:42 10.0.0.78 GET /eWebEditor/UploadFile/20071117223945980.asa - 80 - 202.59.157.58 Microsoft+URL+Control+-+6.00.8169 ASPSESSIONIDSCBSQRQR=BGHIAGIDDIPCDHNCEOMIOKFC - 200 0 0 8182 297
2007-11-18 15:25:01 10.0.0.78 POST /eWebEditor/UploadFile/20071117223945980.asa Action=Cplgm&M=1 80 - 202.59.157.58 Microsoft+URL+Control+-+6.00.8169 ASPSESSIONIDSCBSQRQR=BGHIAGIDDIPCDHNCEOMIOKFC - 200 0 64 0 525
2007-11-19 00:53:52 10.0.0.78 POST /eWebEditor/UploadFile/200710312427426.asa pass=juelianhacker 80 - 202.59.157.58 Microsoft+URL+Control+-+6.00.8169 - - 404 0 2 1468 329

哭笑不得，原来我很久之前从ZBLOG网站下载了eWebEditor，数据库路径是默认的，而且密码也是默认的。升级之后虽然换了FCKeditor，但有部分文件是用eWebEditor上传的，所以保留了这个目录。隐患啊。

虽然说ZBLOG本身没有BUG，但是不能保证第三方程序也一定安全。 这也是我抵触开源程序的一个原因。同时也感叹WINDOWS的HACK入门门槛太低了。很多电脑白痴用现成的工具就可以把一个网站黑掉。

2007-11-19 00:53:52 10.0.0.78 POST /eWebEditor/UploadFile/200710312427426.asa pass=juelianhacker 80 - 202.59.157.58 Microsoft+URL+Control+-+6.00.8169 - - 404 0 2 1468 329

这行日志很明显是用VB6写的白痴工具产生的。这不得不让我反思。

这次事件的原因很初级，但是我却绕了很多弯路，浪费了很多时间。如果一开始就仔细分析，检查日志，也许很快就能解决问题。抱着图省事的心理去找别人现成的答案，结果被困在ARP的圈子里，真是可笑。当年我Active DLL写的网站，几年都没出过问题，不是程序多么健壮，而是不开源，没人去分析漏洞，呵呵 实在不行就换回当年的程序。或者找个时间，把SERVER换成LINUX，估计那些菜鸟想HACK就没那么容易了。