作者： Mr.Tang

伯虎

沙画

汉城国际卡通动画影展中的一件作品 — 沙画
很早就看到过这场沙画表演，不过可惜后来遗失了。
今天再次看到，再回味一下！
视频全长 9 分 14 秒
最后时表演者在左侧女人头，右侧男人头的背景下，画出了一只眼。
接着在中间画出了  SICAF Seoul 2003 ，在令人神往的意境中表演结束。
 
视频版：

如果视频连接过慢，请下载观看！或查看下面的Flash版！
下载地址：http://www.lookatentertainment.com/nneu231nd1zd823/vids/v-229.wmv
文件大小: 18910 KB

由视频转制的Flv, Flash 版:

浏览器的自动配置脚本

参考原文:自动配置IE代理脚本 http://ttyp.cnblogs.com/archive/2005/11/18/279124.html

用本本上网时,往返家里和单位,因为单位是用的代理上网,家里是直接连接.因此每次都要修改IE的代理设置,虽然是个小事,但是每次都要修改总是有点烦,于是参考GOOGLE,写了一个自动配置代理的脚本.这样无论在家和在公司,只要连上局域网就可以上网了.

function FindProxyForURL(url,host){
if((isPlainHostName(host))||shExpMatch(url,”http://127.0.0.1/*”)||isInNet(host,”192.168.0.0″, “255.255.255.0”)){
return “direct”;
else {
　　 if(myIpAddress()==”192.168.0.49″)
　　　 return “PROXY 192.168.0.6:808”;
else
　　 return “direct”;
}
}
把以上代码另存为proxy.pac的文件,如:c:proxy.pac,然后在IE的菜单里”工具”->”INTEL选项”->”连接”->局域网设置把使用自动配置脚本选上,然后在地址栏填入file:///c:/proxy.pac,注意file后是两斜杠,要使设置生效,需要关闭IE再重新打开.

浏览器自动配置脚本的语法是js语法,js的内置函数可以使用,要实现自动配置代理,需要实现FindProxyForURL这个函数,其参数url代表要访问的连接,host代表要访问连接的主机名,该函数有三个返回参数
direct:直接连接
proxy IP:PORT
socket IP:PORT
返回结果大小写不敏感

PAC的其他内置语法见http://wp.netscape.com/eng/mozilla/2.0/relnotes/demo/proxy-live.htmlPAC脚本另外一个重要的应用是多台代理服务器并存的情况下，通过pac脚本的控制：

用户随机选择使用多台代理服务器中的任意一台来达到流量负载均衡的目的； 
管理员通过PAC脚本控制用户使用和不使用某台代理服务器，这样可以空出时间对代理服务器进行维护；
让服务器工作在主备模式，当主服务器宕机时，会自动切换到其它备用服务器而不会中断服务；
根据访问目的地的不同，自动选择最佳代理服务器。

列举几个PAC的实例,顺便学习下它的语法:

a、isPlainHostName(host)，本例演示判断是否为本地主机，如http://myservername/
的方式访问，如果是直接连接，否则使用代理

function FindProxyForURL(url, host)
{
if (isPlainHostName(host))
return “DIRECT”;
else
return “PROXY proxy:80”;
}
b、dnsDomainIs(host, “”)、localHostOrDomainIs(host, “”)，本例演示判断访问主机
是否属于某个域和某个域名，如果属于.company.com域的主机名，而域名不是
www.company.com和home.company.com的直接连接，否则使用代理访问。
function FindProxyForURL(url, host)
{
if ((isPlainHostName(host) ||
dnsDomainIs(host, “.company.com”)) &&
!localHostOrDomainIs(host, “www.company.com”) &&
!localHostOrDomainIs(host, “home.company.com”))

return “DIRECT”;
else
return “PROXY proxy:80”;
}

c、isResolvable(host)，本例演示主机名能否被dns服务器解析，如果能直接访问，否
则就通过代理访问。
function FindProxyForURL(url, host)
{
if (isResolvable(host))
return “DIRECT”;
else
return “PROXY proxy:80”;
}

d、isInNet(host, “”, “”)，本例演示访问IP是否在某个子网内，如果是就直接访问，
否则就通过代理，例子演示访问清华IP段的主页不用代理。
function FindProxyForURL(url, host)
{
if (isInNet(host, “166.111.0.0”, “255.255.0.0”))
return “DIRECT”;
else
return “PROXY proxy:80”;
}
e、shExpMatch(host, …

Windows Internet 服务器安全配置

Windows Internet服务器安全配置

原理篇

我们将从入侵者入侵的各个环节来作出对应措施
一步步的加固windows系统.
加固windows系统.一共归于几个方面
1.端口限制
2.设置ACL权限
3.关闭服务或组件
4.包过滤
5.审计

我们现在开始从入侵者的第一步开始.对应的开始加固已有的windows系统.

 

1.扫描
这是入侵者在刚开始要做的第一步.比如搜索有漏洞的服务.
对应措施:端口限制
以下所有规则.都需要选择镜像,否则会导致无法连接
我们需要作的就是打开服务所需要的端口.而将其他的端口一律屏蔽

2.下载信息
这里主要是通过URL SCAN.来过滤一些非法请求
对应措施:过滤相应包
我们通过安全URL SCAN并且设置urlscan.ini中的DenyExtensions字段
来阻止特定结尾的文件的执行

3.上传文件
入侵者通过这步上传WEBSHELL,提权软件,运行cmd指令等等.
对应措施:取消相应服务和功能,设置ACL权限
如果有条件可以不使用FSO的.
通过 regsvr32 /u c:\windows\system32\scrrun.dll来注销掉相关的DLL.
如果需要使用.
那就为每个站点建立一个user用户
对每个站点相应的目录.只给这个用户读,写,执行权限,给administrators全部权限
安装杀毒软件.实时杀除上传上来的恶意代码.
个人推荐MCAFEE或者卡巴斯基
如果使用MCAFEE.对WINDOWS目录所有添加与修改文件的行为进行阻止.

4.WebShell
入侵者上传文件后.需要利用WebShell来执行可执行程序.或者利用WebShell进行更加方便的文件操作.
对应措施:取消相应服务和功能
一般WebShell用到以下组件
WScript.Network
WScript.Network.1
WScript.Shell
WScript.Shell.1
Shell.Application
Shell.Application.1
我们在注册表中将以上键值改名或删除
同时需要注意按照这些键值下的CLSID键的内容
从/HKEY_CLASSES_ROOT/CLSID下面对应的键值删除

5.执行SHELL
入侵者获得shell来执行更多指令
对应措施:设置ACL权限
windows的命令行控制台位于\WINDOWS\SYSTEM32\CMD.EXE
我们将此文件的ACL修改为
某个特定管理员帐户(比如administrator)拥有全部权限.
其他用户.包括system用户,administrators组等等.一律无权限访问此文件.

6.利用已有用户或添加用户
入侵者通过利用修改已有用户或者添加windows正式用户.向获取管理员权限迈进
对应措施:设置ACL权限.修改用户
将除管理员外所有用户的终端访问权限去掉.
限制CMD.EXE的访问权限.
限制SQL SERVER内的XP_CMDSHELL

7.登陆图形终端
入侵者登陆TERMINAL SERVER或者RADMIN等等图形终端,
获取许多图形程序的运行权限.由于WINDOWS系统下绝大部分应用程序都是GUI的.
所以这步是每个入侵WINDOWS的入侵者都希望获得的
对应措施:端口限制
入侵者可能利用3389或者其他的木马之类的获取对于图形界面的访问.
我们在第一步的端口限制中.对所有从内到外的访问一律屏蔽也就是为了防止反弹木马.
所以在端口限制中.由本地访问外部网络的端口越少越好.
如果不是作为MAIL SERVER.可以不用加任何由内向外的端口.
阻断所有的反弹木马.

8.擦除脚印
入侵者在获得了一台机器的完全管理员权限后
就是擦除脚印来隐藏自身.
对应措施:审计
首先我们要确定在windows日志中打开足够的审计项目.
如果审计项目不足.入侵者甚至都无需去删除windows事件.
其次我们可以用自己的cmd.exe以及net.exe来替换系统自带的.
将运行的指令保存下来.了解入侵者的行动.
对于windows日志
我们可以通过将日志发送到远程日志服务器的方式来保证记录的完整性.
evtsys工具(https://engineering.purdue.edu/ECN/Resources/Documents)
提供将windows日志转换成syslog格式并且发送到远程服务器上的功能.
使用此用具.并且在远程服务器上开放syslogd,如果远程服务器是windows系统.
推荐使用kiwi syslog deamon.

我们要达到的目的就是
不让入侵者扫描到主机弱点
即使扫描到了也不能上传文件
即使上传文件了不能操作其他目录的文件
即使操作了其他目录的文件也不能执行shell
即使执行了shell也不能添加用户
即使添加用户了也不能登陆图形终端
即使登陆了图形终端.拥有系统控制权.他的所作所为还是会被记录下来.

额外措施:
我们可以通过增加一些设备和措施来进一步加强系统安全性.
1.代理型防火墙.如ISA2004
代理型防火墙可以对进出的包进行内容过滤.
设置对HTTP REQUEST内的request string或者form内容进行过滤
将SELECT.DROP.DELETE.INSERT等都过滤掉.
因为这些关键词在客户提交的表单或者内容中是不可能出现的.
过滤了以后可以说从根本杜绝了SQL 注入
2.用SNORT建立IDS
用另一台服务器建立个SNORT.
对于所有进出服务器的包都进行分析和记录
特别是FTP上传的指令以及HTTP对ASP文件的请求
可以特别关注一下.

本文提到的部分软件在提供下载的RAR中包含
包括COM命令行执行记录
URLSCAN 2.5以及配置好的配置文件
IPSEC导出的端口规则
evtsys
一些注册表加固的注册表项.

实践篇

下面我用的例子.将是一台标准的虚拟主机.
系统:windows2003
服务:[IIS] [SERV-U] [IMAIL] [SQL SERVER 2000] [PHP] [MYSQL]
描述:为了演示,绑定了最多的服务.大家可以根据实际情况做筛减

1.WINDOWS本地安全策略 端口限制
A.对于我们的例子来说.需要开通以下端口
外->本地 80
外->本地 20
外->本地 21
外->本地 PASV所用到的一些端口
外->本地 25
外->本地 110
外->本地 3389
然后按照具体情况.打开SQL SERVER和MYSQL的端口
外->本地 1433
外->本地 3306
B.接着是开放从内部往外需要开放的端口
按照实际情况,如果无需邮件服务,则不要打开以下两条规则
本地->外 53 TCP,UDP
本地->外 25
按照具体情况.如果无需在服务器上访问网页.尽量不要开以下端口
本地->外 80
C.除了明确允许的一律阻止.这个是安全规则的关键.
外->本地 所有协议 阻止

2.用户帐号
a.将administrator改名,例子中改为root
b.取消所有除管理员root外所有用户属性中的
远程控制->启用远程控制 以及
终端服务配置文件->允许登陆到终端服务器
c.将guest改名为administrator并且修改密码
d.除了管理员root,IUSER以及IWAM以及ASPNET用户外.禁用其他一切用户.包括SQL DEBUG以及TERMINAL USER等等

3.目录权限
将所有盘符的权限,全部改为只有
administrators组 全部权限
system 全部权限
将C盘的所有子目录和子文件继承C盘的administrator(组或用户)和SYSTEM所有权限的两个权限
然后做如下修改
C:\Program Files\Common Files 开放Everyone　默认的读取及运行 列出文件目录 读取三个权限
C:\WINDOWS\ …

Je M’ appelle Helene

 

Je M＇appelle Helene – 我的名字叫伊莲 [中/法对照版歌词]

在线试听 & 原文: http://hello.pp.ru/enet/4

 

Hélène
（伊莲）
Je m＇appelle Hélène
（我的名字叫伊莲）
Je suis une fille
Comme les autres
（一个很普通的女孩）

Hélène
（伊莲）
J＇ai mes joies mes peines
Elles font ma vie
Comme la votre
（我也有快乐和忧伤）
（有喜怒哀乐的生活）

Je voudrais trouver l＇amour
Simplement trouver l＇amour
（我只想找到简单的爱情）
（属于我的爱情）

Hélène
（伊莲）
Je m＇appelle Hélène
（我的名字叫伊莲）
Je suis une fille
Comme les autres
（一个很普通的女孩）

Hélène
（伊莲）
Si mes nuits sont pleines
De rêves de poémes
（我盼望夜里诗歌和美梦的陪伴）
Je n＇ai rien d＇autre
（那样我会别无所求）

Je voudrais trouver l＇amour
Simplement …

La lsla Bonita MTV

 

漂亮的法国天后 艾莉婕(Alizee)

翻唱 麦当娜 的成名曲 La lsla Bonita

Swf,Flv Conversion by eNet bohu.net

艾莉婕(Alizee)：

一个出生于法国南部柯西嘉岛海港的小女孩，年仅20岁的艾莉婕Alizee,能有让整个欧洲为之倾倒的魔力?

1984年8月21日出生于法国南部海港-阿亚丘 Ajaccio 的她在2000年参加了法国电视台 M6 新秀选拔的试镜比赛，这一试，一举惊艳了在场的法国首席女歌手 Mylene Farmer(玛莲法莫)及其御用制作人 Laurent Boutonnat 的目光，这对超级艺人/制作人组合随即与Alizee签下歌手合约，双方合作录制的处女单曲“Moi…Lolita”推出后风靡欧陆，席卷法国、西班牙、意大利、德国、俄罗斯、以色列、荷兰及波兰等8大国排行冠军宝座，单曲销量不但在法国获颁钻石唱片，包括比利时(双白金)、瑞士(金唱片)、荷兰(金唱片)及德国(金唱片)等欧陆各国都纷纷写下双白金或金唱片的纪录，这些荣耀让 Alizee 尝到走红的滋味，单曲“Moi…Lolita”同时在英国写下新纪录，成为继法国著名歌星 Vanessa Paradis(凡妮莎帕拉迪丝)后第二位打进排行榜 Top10 的法国女艺人。

La Isla Bonita

last night i dreamt of san pedro
just like i’d never gone, i knew the song
a young girl with eyes like the desert
it …

2006 德国世界杯德语主题曲 Time of Our Lives

2006德国世界杯的官方主题曲

“生命之巅”（Time of Our Lives）

SonyBMG 唱片公司

演唱组合: “美声男伶”（Il Divo）

[audio:http://data.bandao.cn/bdw/xxk/06sjb.MP3]

德语歌词:

Deutsch, deutsch, deutsch, deutsch, deutsch, deutsch

德国, 德语，德意志，德国人，……………

natürlich hat ein deutscher “wetten, dass … ?” erfunden

肯定只有德国人才能说出这样的话：“我说的是不会错的，打个赌好吗？”

vielen dank für die schoenen stunden

非常感谢，我们过的非常愉快！

wir sind die freundlichsten kunden auf dieser welt

我们是这个世界上最好的顾客

wir sind bescheiden, wir haben geld

我们谦虚并富有

die allerbesten in jedem sport

我们有最好的运动员

die steuern hier sind weltrekord

德国的捐税世界闻名

bereisen sie deutschland und bleiben …