Zeroplex 生活隨筆 – 第 289 頁 – 軟體開發、伺服器和生活瑣事

不安全的投票系統

2007 年 4 月 26 日2021 年 3 月 12 日日落尚無留言

今天碰巧遇到一個不安全的投票系統，被我抓到幾個漏洞惡搞，順便做一下筆記免得自己以後也犯了這個錯誤。

下圖是一個幼稚園的「親子臉」比賽，總投票人數已經超過 70 萬人，第一名還有 50 萬票，如果這是真的，我看他以後可以準備去選總統了。

錯誤一：沒有鎖 IP
嚴謹的網路投票系統，至少會對已投票的 IP 進行封鎖，雖然 ADSL 用戶斷線重新連線後可以取得新的 IP，但是可以減少做票的可能性。這個投票系統是使用 cookies 當作以投票的依據，但是 cookies 可以刪除，甚至我可以讓瀏覽器不儲存 cookies，這樣不是很容易做票嗎？

錯誤二：後端沒有做驗證
其實在網頁上面已經用 JavaScript 寫好一人只能選二票的規則，但是我可以把網頁另存新檔以後在改寫，把 JavaScript 全部修掉讓表單資料直接送出，很容易做到。

因為前端做了檢查後端就直接處理資料，實在是很粗心大意。因為如此，我可以用 JMeter 直接把資料用 POST 的方式送出去讓他處理，另外我發現更好玩的事情：他用無限迴圈處理資料直到結束才跳出迴圈，所以我可以一次送出超過投票選項數量的資料，明明只有 23 個選項，我一次送出 500 個結果，他照樣新增進資料庫裡一點都不懷疑。

大家應該知道 JMeter 是什麼東西，用了以後的結果就是：他的伺服器性能每秒能處理 250 query 左右，還算不錯。：P

程式設計, 資訊安全

Mercury QTP Demo

2007 年 4 月 25 日2021 年 3 月 12 日日落有 2 則留言

Mercury QuickTest Professional 是一套專門用來做軟體測試的工具。QTP 可以記錄下你在應用程式中的動作，之後只要程式有變更，就可以使用 QTP 已錄製好的動作重新測試，所以只要做一次動作，後面的測試就可以全部交給 QTP 了。

下面是自己錄的 TestScript 製作方式，我還故意把網頁視窗拉到旁邊縮小了，這樣大家就可以看清楚 QTP 在做什麼了。

先設定要錄製的應用程式類別，網頁或是視窗程式。
按「Record」開始錄製。
錄製過程中盡量不要使用滑鼠右鍵。
錄製結束以後按「Stop」結束。

結束了以後可以從 QTP 的紀錄中更改輸入的資料或是動作。

軟體測試

我越來越天兵了

2007 年 4 月 25 日2021 年 3 月 12 日日落有 9 則留言

今天寫系統程式寫的超順，40分鐘就寫完開始檢查。

剩下五分鐘再稍微看了一下，已經有點憋不住想交卷了，偷偷看看別人為什麼還不交卷。

…..為什麼會看到別人翻考卷？？？

背面有題！！！

配分超過40分，雖然全部會寫，但是一樣不及格。

教授你也行行好，第一頁最下面寫的「翻面繼續作答」好嗎？

ps.就憑這次的學期成績，我大概不用推甄研究所了…..

生活雜記

我被黑了

2007 年 4 月 24 日2021 年 3 月 12 日日落有 5 則留言

今天被學長帶去電子商務中心，才知道已經被黑箱內定去接教育部的一個案子，還要我留下聯絡方式和電腦 IP，傻眼…..。到底是哪個學長這麼毒，快點出來自首！自首無罪，
既往不咎！

資訊處的四個學長都快要畢業了，這才想到，我們這屆只有我一個人留下來，就表示學長的工作會全部接由我繼續做！PHP、JSP、PowerBuilder 還有美工要學，好恐怖啊～

ps. 最近都是抱怨文，有空再把正常的文章補上來　@@

生活雜記

FreeBSD 網路校時 ntpdate

2007 年 4 月 23 日2021 年 3 月 12 日日落尚無留言

讓系統連到 NTP 伺服器進行對時。

> ntpdate time.stdtime.gov.tw
24 Apr 06:19:05 ntpdate[97245]: adjust time server 220.130.158.52 offset -0.002193 sec

FreeBSD, 作業系統