利用cookie防范跨站盗表以及粗心关

2019-01-17 约 2129 字 预计阅读 5 分钟

本以为通过增加动态令牌已解决了盗表问题,昨天通过go access分析log,发现又卷土重来。

通过分析来源,基本上可以认定对方是俄罗斯的一家赌场网站,这样一家名不见经传的赌博网站,居然轻松有几千万ip的日流量,看来赌性不独国人专享,世界各国都流行。
想起百年前叱诧股坛的Jesse Livermore的一句名言


Another lesson I learned early is that there is nothing new in Wall Street. There can't be because speculation is as old as the hills.
华尔街没有新事物,因为投机像山岳一般古老

--- 《股票作手回忆录》

利用cookie防范跨站盗表

分析了一下django的动态令牌,其生成了一个隐藏的表单,传送到服务器再比对令牌

<form action="" method=post>
<div style='display:none'><input type='hidden' name='csrfmiddlewaretoken' value='blablablablabla' /></div>
但这个还不究竟,对方如果分析HTML源代码,可以再加数行代码复制当前页面令牌,然后提交到服务器,也能起到盗表之用。

还得再想个办法,这次我就用cookie来验证,正常访问过本人网站的用户,通过页面设置一个cookie,然后服务器端再比对cookie数值,即可防范盗表。

csrf = request.COOKIES.get('csrf', '0')
if csrf == 'presetting':
    result = normalfunction()
else:
    result = "steal from csrf"

传上去后,又消停了一段时间,不知道对方还会不会改写源代码继续盗表。

本次被盗表,虽然损失了少许钱财,支付了1000刀给amazon服务器,还是学到了不少东西,光是go access的应用就值回票价了。


通关文之粗心关

至圣曰:学而不思则罔,思而不学则殆。又曰:温故而知新。
孟子曰:心之官则思,思则得之,不思则不得。
悟真曰:俗语常言合圣道,宜从其内细寻讨。若将日用颠倒求,大地尘沙尽成宝。
古经云:识得一,万事毕;使的二,去处是;认的三,不索参。
此皆教学者细心穷理,必须真知灼见,而不可粗心了事也。
性命之学至重至大,不比世间寻常小事,可以将就而作,稍有差错,欲求长生,反而促死,岂可轻易?
故欲了性命,先要究明性命之理,然后好作性命之事。
性命之理非身内有形有质之物,亦非身外至重至浊之物。
说到此处,诸天及人皆当惊疑。
其惊疑者,非身内,非身外,将在何处捉摸乎?
自古旁门三千六百,曲径三百六十,各分枝叶,自拈门户。
以讹传讹,以盲引盲,分枝楂叶,愈久愈多,奇奇怪怪,满耳梆铃,罩眼蜂蝱。
有绝不经见,绝难想到,出人意外之事;有绝不似道者,仅可以哄愚迷,而不能哄明智。
至於似是而非,似乎道而不是道,不是道而却似乎道,不但愚迷者信之,即明智者亦被瞒过,一入网中,终身难出。
即如丹书所言阴阳五行元精元气等语,采战家以阴阳为男女,愚迷者信之,明智者必不信;工夫家以气之一呼者为阳,一吸者为阴,愚迷明智者皆信之;有人言五行是心肝脾肺肾,愚迷者信之,明智者必不信;有人言五行是精神魂魄意,愚迷明智者皆信之;有人言元神是思虑之神,元气是呼吸之气,元精是交感之精,愚迷者信之,明智者必不信;有人言元神居天谷,元气在气海,元精在丹田,愚迷明智者皆信之。
又如丹书所言性命元牝黄庭等象,有人言肾气为命,心神为性,愚迷者信之,明智者必不信;有人言穷通寿夭为命,贤愚善恶为性,愚迷明智者皆信之;有人言元牝在生门,黄庭在头脑,愚迷者信之,明智者必不信;有人言元牝是咽喉,黄庭在脐轮,愚迷明智者皆信之。
又如丹书所言清净虚无、煅炼金丹之说,有人言修炼内丹必须清清净净、空虚无物,外丹必须采取药物,煅炼熟成,内丹修养以了性,外丹服食以接命,不论愚迷明智者皆信之。
凡此似是而非之旁门,最易惑人。
古今多少聪明良材、英雄志士,皆被瞒过。
碌 碌一生,终无归结。
殊不知修真大道,所修者先天真一之祖气。
此气恍惚杳冥,曰希曰夷曰微。
视之不见,听之不闻,搏之不得。
然虽不见不闻不得,其实至无而含至有,至虚而含至实,生天地、含阴阳、包五行,万理具备,万象皆该。
非可於身内求,非可於身外寻,乃在虚无中来者。
性命於此寓,生死於此寄,仙佛於此成,炉鼎於此安,药物於此采,火候於此运,四象於此和,五行於此攒,金丹於此成,圣胎於此结。
逆运阴阳在此,窃夺造化在此,超凡入圣在此。
至於元牝门、元关窍、黄庭、土釜无不在此。
所谓得其一而万事毕者即此,这一些天机秘密,天地鬼神不可得而测度,岂是等闲而知,容易而晓?
惟有大智大慧者方能知,惟有大功大德者方能晓,惟有大力大苦者方能学,惟有大志大量者方能进,惟有细心追求,耐的久远,下的功夫者,方能得。
况修持有法则,作用有火候,工程有次序,节节不一,随时变通。
虽要自己钻研,还求明师指点。
至若丹经万卷,多是以有象比无象,以有形喻无形,岂是粗心可以会悟,大意能以见真哉?
世间糊涂学人,用不得心思,下不得苦功,耐不得年月。
一言半语,即要通彻;似是而非,便欲成道。
认其比象,而不究实意;记其话头,而不细尝滋味。
无怪乎见伪书即作伪事,遇旁门即走旁路。
不辨真假,不论是非,只说门门有道,书书演真。
冒作乱为,自招其祸,凡此皆昰粗心而不细心之故。
吾劝真心学道者,速将粗心关口打通。
细心钻研,把道理拨去一层入一层,悟了一条进一条。
须要分开邪正,辨出是非,见的理之精髓,知的道之肯綮,自己心中了然,实实信得过。
一理贯通,见的天上地下万事万物皆是如此。
左之右之,前之后之,道气盈满。
方是真知真见,大悟大彻,不被执象着空之事所惑矣。
否则,不能细心钻研,粗心了事,知的如此而实未见的如此,犹在恍惚疑似之间,妄想直登道岸,难矣。

此关悟元子祖师所说甚详,值得细读。
穷理尽性乃至于命,其要就在入微二字


author

本文由Jesse Lau原创

2012年定居新西兰至今,自由职业者,从事网站和程式交易,曾获得Dukascopy外汇程序交易比赛2届月度冠军(id:Tradingwithea).
本文采用知识共享署名 4.0 国际许可协议进行许可。


留点评论吧:

本网站使用cookie技术以提高用户体验度。 了解我们的隐私政策 我已了解