利用cookie防範跨站盜表以及粗心關

2019-01-17 约 2129 字 预计阅读 5 分钟

本以為通過增加動態令牌已解決了盜表問題,昨天通過go access分析log,發現又卷土重來。

通過分析來源,基本上可以認定對方是俄羅斯的一家賭場網站,這樣一家名不見經傳的賭博網站,居然輕鬆有幾千萬ip的日流量,看來賭性不獨國人專享,世界各國都流行。
想起百年前叱詫股壇的Jesse Livermore的一句名言


Another lesson I learned early is that there is nothing new in Wall Street. There can't be because speculation is as old as the hills.
華爾街沒有新事物,因為投機像山嶽一般古老

--- 《股票作手回憶錄》

利用cookie防範跨站盜表

分析了一下django的動態令牌,其生成了一個隱藏的表單,傳送到服務器再比對令牌

<form action="" method=post>
<div style='display:none'><input type='hidden' name='csrfmiddlewaretoken' value='blablablablabla' /></div>
但這個還不究竟,對方如果分析HTML源代碼,可以再加數行代碼複製當前頁麵令牌,然後提交到服務器,也能起到盜表之用。

還得再想個辦法,這次我就用cookie來驗證,正常訪問過本人網站的用戶,通過頁麵設置一個cookie,然後服務器端再比對cookie數值,即可防範盜表。

csrf = request.COOKIES.get('csrf', '0')
if csrf == 'presetting':
    result = normalfunction()
else:
    result = "steal from csrf"

傳上去後,又消停了一段時間,不知道對方還會不會改寫源代碼繼續盜表。

本次被盜表,雖然損失了少許錢財,支付了1000刀給amazon服務器,還是學到了不少東西,光是go access的應用就值回票價了。


通關文之粗心關

至聖曰:學而不思則罔,思而不學則殆。又曰:溫故而知新。
孟子曰:心之官則思,思則得之,不思則不得。
悟真曰:俗語常言合聖道,宜從其內細尋討。若將日用顛倒求,大地塵沙盡成寶。
古經雲:識得一,萬事畢;使的二,去處是;認的三,不索參。
此皆教學者細心窮理,必須真知灼見,而不可粗心了事也。
性命之學至重至大,不比世間尋常小事,可以將就而作,稍有差錯,欲求長生,反而促死,豈可輕易?
故欲了性命,先要究明性命之理,然後好作性命之事。
性命之理非身內有形有質之物,亦非身外至重至濁之物。
說到此處,諸天及人皆當驚疑。
其驚疑者,非身內,非身外,將在何處捉摸乎?
自古旁門三千六百,曲徑三百六十,各分枝葉,自拈門戶。
以訛傳訛,以盲引盲,分枝楂葉,愈久愈多,奇奇怪怪,滿耳梆鈴,罩眼蜂蝱。
有絕不經見,絕難想到,出人意外之事;有絕不似道者,僅可以哄愚迷,而不能哄明智。
至於似是而非,似乎道而不是道,不是道而卻似乎道,不但愚迷者信之,即明智者亦被瞞過,一入網中,終身難出。
即如丹書所言陰陽五行元精元氣等語,采戰家以陰陽為男女,愚迷者信之,明智者必不信;工夫家以氣之一呼者為陽,一吸者為陰,愚迷明智者皆信之;有人言五行是心肝脾肺腎,愚迷者信之,明智者必不信;有人言五行是精神魂魄意,愚迷明智者皆信之;有人言元神是思慮之神,元氣是呼吸之氣,元精是交感之精,愚迷者信之,明智者必不信;有人言元神居天穀,元氣在氣海,元精在丹田,愚迷明智者皆信之。
又如丹書所言性命元牝黃庭等象,有人言腎氣為命,心神為性,愚迷者信之,明智者必不信;有人言窮通壽夭為命,賢愚善惡為性,愚迷明智者皆信之;有人言元牝在生門,黃庭在頭腦,愚迷者信之,明智者必不信;有人言元牝是咽喉,黃庭在臍輪,愚迷明智者皆信之。
又如丹書所言清淨虛無、煆煉金丹之說,有人言修煉內丹必須清清淨淨、空虛無物,外丹必須采取藥物,煆煉熟成,內丹修養以了性,外丹服食以接命,不論愚迷明智者皆信之。
凡此似是而非之旁門,最易惑人。
古今多少聰明良材、英雄誌士,皆被瞞過。
碌 碌一生,終無歸結。
殊不知修真大道,所修者先天真一之祖氣。
此氣恍惚杳冥,曰希曰夷曰微。
視之不見,聽之不聞,搏之不得。
然雖不見不聞不得,其實至無而含至有,至虛而含至實,生天地、含陰陽、包五行,萬理具備,萬象皆該。
非可於身內求,非可於身外尋,乃在虛無中來者。
性命於此寓,生死於此寄,仙佛於此成,爐鼎於此安,藥物於此采,火候於此運,四象於此和,五行於此攢,金丹於此成,聖胎於此結。
逆運陰陽在此,竊奪造化在此,超凡入聖在此。
至於元牝門、元關竅、黃庭、土釜無不在此。
所謂得其一而萬事畢者即此,這一些天機秘密,天地鬼神不可得而測度,豈是等閑而知,容易而曉?
惟有大智大慧者方能知,惟有大功大德者方能曉,惟有大力大苦者方能學,惟有大誌大量者方能進,惟有細心追求,耐的久遠,下的功夫者,方能得。
況修持有法則,作用有火候,工程有次序,節節不一,隨時變通。
雖要自己鑽研,還求明師指點。
至若丹經萬卷,多是以有象比無象,以有形喻無形,豈是粗心可以會悟,大意能以見真哉?
世間糊塗學人,用不得心思,下不得苦功,耐不得年月。
一言半語,即要通徹;似是而非,便欲成道。
認其比象,而不究實意;記其話頭,而不細嚐滋味。
無怪乎見偽書即作偽事,遇旁門即走旁路。
不辨真假,不論是非,隻說門門有道,書書演真。
冒作亂為,自招其禍,凡此皆昰粗心而不細心之故。
吾勸真心學道者,速將粗心關口打通。
細心鑽研,把道理撥去一層入一層,悟了一條進一條。
須要分開邪正,辨出是非,見的理之精髓,知的道之肯綮,自己心中了然,實實信得過。
一理貫通,見的天上地下萬事萬物皆是如此。
左之右之,前之後之,道氣盈滿。
方是真知真見,大悟大徹,不被執象著空之事所惑矣。
否則,不能細心鑽研,粗心了事,知的如此而實未見的如此,猶在恍惚疑似之間,妄想直登道岸,難矣。

此關悟元子祖師所說甚詳,值得細讀。
窮理盡性乃至於命,其要就在入微二字


author

Jesse Lau

網名遁去的一,簡稱遁一。2012年定居新西蘭至今,自由職業者。手搓的GPTs
本文采用知識共享署名 4.0 國際許可協議進行許可。簡而言之,可隨意轉發轉載,轉載請注明出處。


留点评论吧: