Sablog-X 2.X 后台管理权限欺骗漏洞

作者: 傻猫    分类: 搞软件     发布时间: 03-01 15:25    浏览次数: 10088     7 条留言

一 描叙:
由于Sablog-x v2.x的后台认证过程存在严重的逻辑问题,导致构造特殊的cookie直接登录后台。

二 分析 :
// cp.php
if (!$sax_uid || !$sax_pw || !$sax_logincount || !$sax_hash) {
// 只要这个条件不满足,就可以通过后台的权限验证了
 loginpage();
}
...
if ($sax_group == 1) {
// 如果要获得管理员权限,还必须保证$sax_group的值为1
...

查看更多内容...

解决typecho文章附件未引用被隐藏的问题

作者: 傻猫    分类: 搞软件     发布时间: 08-18 20:50    浏览次数: 6398     无留言

从sablog转到typecho后,数据都导入了,但是由于程序上的原因,有很多附件没有显示出来。Sablog对附件的处理是这样的:如果文章里有ABCD四个附件,文章里引用了AB两个附件,CD没在文章里引用,那么CD会自动在文章末尾显示出来。typecho对附件的处理方法:文章里引用了附件才会显示在前台,如果文章里没有引用附件的话,那这个附件只能在后台看见,前台是看不见附件的。

为此傻猫写了一个小工具,本人对PHP不是很熟悉,所以采用了本人最熟悉的delphi编写了一个小软件,直接对数据库进行处理。下载地址:typechoAtt.rar

处理原理:对文章对应的附件进行检查,如果文章里未引用附件的话,自动在文章末尾添加附件链接,如果已经引用的话则不处理。因为文章和附件内容都存在typecho_contents表中,所以所有操作都在这个表中进行,不会对其它表进行处理。

另附该软件源代码:

查看更多内容...

Bluefeel For Typecho

作者: 傻猫    分类: 爱生活     发布时间: 08-16 21:41    浏览次数: 9575     5 条留言

今天把博客程序从Sablog 转到Typecho了,昨天晚上搞到2点过,今天白天又弄了一天。在此感谢黄金博HJ 提供转换程序,导入文章、附件、标签、评论,过程非常艰辛。不过最终不定期是完美解决了此问题。Sablog使用了好几年,挺好的,很多朋友都转到其它博客程序了,Sa更新确实太慢了,扩展性不够强,今天终于下定决心转了。

另外把以前蓝风的风格也移植了过来,欢迎下载:Newbluefeel.rar

预览请见本站。

 screenshot.png

Sablog探秘之《全面了解Sablog-X V2.0》

作者: 傻猫    分类: 爱生活     发布时间: 07-28 23:08    浏览次数: 8173     1 条留言

作为Sablog的忠实使用者,从2006年4月开始使用Sablog,这几年的经验告诉我,Sablog更新的很慢,但是每次版本升级都会加入重量级内容。Sablog-X是一个采用PHP和MySQL构建的博客系,统作为Sablog的后继产品,“速度卓越,操作简单”是她最大的特点,与国际上大大名鼎鼎的WordPress(简称WP)相比,Sablog速度比WP速度快,这也正是我这几年一直使用Sablog的原因,功能方面Sablog短小精悍,作为一个博客系统,完全够用了。

下面一一来展示一下各方面的功能吧,本站就是一个前台演示,主要看一下后台有那些功能和WAP功能。Sablog-X V2.0主要增加了“自定义URL”永久链接功能,非常有利于搜索引擎收录,还增加了站点地图以及模板风格标签的重新定义,制作模板更加简单,WAP功能全面加强,具体的东西看下面图片吧。


控制面板.png

文章管理.png

附件管理.png

模板风格.png

数据库信息.png

添加日志.png

评论管理.png

系统设置-rss.png

系统设置-安全限制.png

系统设置-侧栏.png

系统设置-附件.png

系统设置-基本.png

系统设置-评论.png

系统设置-搜索引擎优化.png

系统设置-显示.png

系统设置-永久连接.png

友情链接.png

wap标签.png

wap分类.png

wap归档.png

wap浏览文章.png

wap浏览文章2.png

wap评论.png

wap首页.png

wap搜索.png

wap写文章.png

博客程序升级啦,上传图片遭遇“无效的图片文件”

作者: 傻猫    分类: 搞软件     发布时间: 07-27 23:48    浏览次数: 4938     无留言

昨天在我的傻猫实验室里装上了最新版的Sablog程序,发现一个问题,IE上传图片提示“无效的图片文件”,秋爱告诉我说是IE8惹的祸,我之前装过IE8,用了几天后就卸载了,简单看了一下,好像没增加什么新功能,本来想升级的,最后还是忍了,今天晚上终于鼓起勇气升级,把博客程序升级到Sablog-X v2.0 beta Build 20090727 ,升级以后发现以下几个问题:

上传图片时,提示“无效的图片文件”,解决方法如下:

1、找到工具栏点击Internet选项
2、进入安全菜单
3、选择自定义级别
4、找到 “将文件上载到服务器时包含本地目录路径” 点击启用就可以了。

以前的模板不能用了,原来Normal.php这个文件里,以前的$tatol字符错误已经修复,把它改为$total 就可以正常显示了。图片水印问题还没解决,自动保存文章的功能好像也有点问题,进入后台右下角提示脚本错误等等,总的来说,后台变化很大,跟Wordpress的后台差不多,有变化总是好的,有问题不怕,就怕一辈子保持一个样,不改进,不进步是最可怕的,问题慢慢解决,呵呵。

最后附上Sablog-X v2.0 beta Build 20090727 下载地址:

http://www.sablog.net/download/20090727.rar

cnbeta山寨版博客完成!!

作者: 傻猫    分类: 爱生活     发布时间: 06-07 23:32    浏览次数: 12120     8 条留言

本博客以前一直使用《蓝风秋雨》那套模板,挺喜欢的,用了一年多了,有点腻了,所以想换一套皮肤。现在Sablog也处于半死状态 ,论坛也寥寥无几人在上面,想找个现成的模板,又要找个喜欢的模板,那恐怕比上青天还难,一直想自己移植一套模板。去年刚开始学Sablog2.0模板文件的时候,做了几套皮肤,其中就有cnbeta版的,由于当时没有完全做好,算是个半成品吧,所以一直也没有。

做模板的方法跟老鬼学的,比着框框买鸭蛋,先把别人的模板存为html文件,再把模板内容代码套进去,准确地说是插进去,把一个整面的代码拆分为head,foot,normal三个部分就可以了。昨天晚上花了一个晚上时间来完善这个半成品模板,去年保存的确cnbeta网页已经不存在咯,如果CB已经换了代码,包括css代码都更新换代几次了,在移植文件的过程中,最头痛的是样式表,也叫css,一大串的代码就是一大串属性,直接移植过来显示正常就OK,当想自己修改一下CSS属于,调一下位置就很困难了,从阅读CSS代码就可以看出,我web设计水平与作者的差距,对了好像我在一个CSS备注里还看到了hoofei的名字。

现在说说我选择移植这个模板的原因,第一是比较大气,有王者风范。第二是布局很合理,文章内容的处理,评论的处理,最大最大的好处是,这个模板的广告位比较多,主要集中在顶部一个460X60的Banner广告位,右上角的搜索广告位,以及右上两个软件推荐位,右边侧栏足够大的SiderBar位置,可以非常容易的放下Google和百度的广告,而且不会对浏览品有所影响,广告足够多,而且用户体验特别好。

对了,这个模板只是偶个人研究学习之用,仿Cnbeta风格,以前cnbeta采用Wordpress作为平台,伴着CB成长的同时,我也成长了,因为喜欢你,所以抄你,哈哈。

Sablog2.0蓝风风格下载

作者: 傻猫    分类: 搞软件     发布时间: 08-13 10:38    浏览次数: 11637     13 条留言

蓝风1.6的风格大家都很喜欢吧,我以前就一直用这个风格,挺好的,当升级到2.0以后当然以前的风格不能用了,问蓝风要了一个2.0的风格,不知道是服务器的原因还是其它原因,风格用不了,于是我按sablog官方模板的格式,把蓝风传给我的风格重新调整了下,在IE、Firefox、Opera浏览器下测试通过。

我在链接页添加了显示PR值的图标,PR查询服务由 http://samool.com/pagerank/ 提供。

风格版本:sablog2.0

风格下载:newbluefeel.rar    (解压密码:samool.com)

风格预览:newbluefeelsrc.png

同花顺风格下载 For Sablog2.0

作者: 傻猫    分类: 爱生活     发布时间: 08-12 09:09    浏览次数: 7584     3 条留言

这个皮肤来源于国外网站,原来是WordPress的主题,被我看到后发现整个页面比较大气,而且深一点的绿色也不刺眼,一下子就喜欢上这个皮肤了,所以花时间转到Sablog上面来了,绿色版的,我已经把google广告链接去了,在友情链接页面上已经加上了自动显示PageRank的图标,喜欢的朋友就下载,请注明是傻猫修改的就可以了,只要百度Google有收录的博客,欢迎与我做友情连接。

皮肤版本:Sablog2.0

皮肤下载:samoolfun.rar

皮肤预览:

9auehwzve1.png

Sax2.0-20080806注入漏洞解决方案

作者: 傻猫    分类: 搞软件     发布时间: 08-06 09:59    浏览次数: 6179     1 条留言

漏洞描述:http://www.80sec.com/sablog-sql-injectio.html

Sablog1.6和Sax2.0都有这个问题,算是小BUG吧,在sablog的trackback.php中的转码函数存在问题,当$encode为GBK字符集的时候,用户提交%bf’将会被转化为一个正常的UTF-8字符和一个单引号,如果数据未加处理进入数据库将导致SQL注射。

官方已经发布了最新的补丁文件,如果你的博客已经禁止trackback功能,可以完全不用理会这个漏洞。不过出于安全考虑,还是提供一下解决方法。漏洞解决方法是不转换编码,现在UTF-8编码才是王道,转不转换无所谓啦,如果你是非UTF-8编码的话,发过来的trackback就是乱码,呵呵。官方提供的补丁文件是Sablog1.6的,并没有提供Sax2.0预览版补丁,其实Sablog1.6和Sax2.0的trackback.php文件基本上差不多,只需要修改两个地方就可以了,详看补丁文件,强制修改编码为UTF-8就OK了。

请把补丁文件上传到网站目录下即可,除修改trackback.php外,另外修改了一下include\sax_version.php,把版本号改为跟sablog1.6一样,这样后台就不会提示升级了。

最后修改一下模板文件的show.php,删除以下代码,去掉GBK和BIG5编码的trackback链接。

[php]
<td width="85" height="20"><a href="javascript:;" onclick="showajaxdiv('trackback', '$options[url]getxml.php?action=trackback&amp;id=$article[articleid]&amp;encode=gbk', 300);"><img src="$options[url]templates/$options[templatename]/img/gbk.jpg" width="73px" height="15px" border="0" alt="点击获得Trackback地址,Encode: GB2312 or GBK" /></a></td>
<td width="85" height="20"><a href="javascript:;" onclick="showajaxdiv('trackback', '$options[url]getxml.php?action=trackback&amp;id=$article[articleid]&amp;encode=big5', 300);"><img src="$options[url]templates/$options[templatename]/img/big5.jpg" width="73px" height="15px" border="0" alt="点击获得Trackback地址,Encode: BIG5" /></a></td>
[/php]


sax2.0-pach-20080806.rar

换个新主题,换种心情

作者: 傻猫    分类: 爱生活     发布时间: 08-04 21:26    浏览次数: 7612     6 条留言

重新找一款WP皮肤,同花顺主题很简单,但是非常大气,我就喜欢这样的皮肤,移植到Sablog上来,真是爽歪歪呢,最近一段时间都很郁闷,心情很不好,想换个主题,给点新鲜空气,来点新的灵感吧,一切从新的开始,我喜欢同花顺,豹子头,希望同花顺的好运一直陪着我。

顺便记录一下:由于这个主题的正文内容ID是content,与评论的内容ID相同,导致引用评论功能失效,要兼容的话只有重新去修改模板名称和CSS,太麻烦了,只好把评论的ID修改为contentComment,同时修改了include\jscript\show.js 的addquote函数,把content修改为contentComment,下次做模板的时候注意一下这个文件,已经备份了这个文件,下次还原就可以了。

我本人比较喜欢两栏式模板,这个模板凝聚Google Adsense广告的精华,哈哈,将三个内容广告框充分利用起来,还添加了一个链接广告,希望能大大地提高点击率,高价广告一个不留,哈哈哈哈,同花顺,我赢!我必赢!!!


samoolfun.png