Sablog-X 2.X 后台管理权限欺骗漏洞

一 描叙:
由于Sablog-x v2.x的后台认证过程存在严重的逻辑问题,导致构造特殊的cookie直接登录后台。


二 分析 :

// cp.php

if (!$sax_uid || !$sax_pw || !$sax_logincount || !$sax_hash) {
// 只要这个条件不满足,就可以通过后台的权限验证了
 loginpage();
}
...
if ($sax_group == 1) {
// 如果要获得管理员权限,还必须保证$sax_group的值为1
...

查看更多内容...

Posted in Web开发 at March 1, 2010. by 傻猫 .    Views: 6881    7 Comments

解决typecho文章附件未引用被隐藏的问题

从sablog转到typecho后,数据都导入了,但是由于程序上的原因,有很多附件没有显示出来。Sablog对附件的处理是这样的:如果文章里有ABCD四个附件,文章里引用了AB两个附件,CD没在文章里引用,那么CD会自动在文章末尾显示出来。typecho对附件的处理方法:文章里引用了附件才会显示在前台,如果文章里没有引用附件的话,那这个附件只能在后台看见,前台是看不见附件的。

为此傻猫写了一个小工具,本人对PHP不是很熟悉,所以采用了本人最熟悉的delphi编写了一个小软件,直接对数据库进行处理。下载地址:typechoAtt.rar

处理原理:对文章对应的附件进行检查,如果文章里未引用附件的话,自动在文章末尾添加附件链接,如果已经引用的话则不处理。因为文章和附件内容都存在typecho_contents表中,所以所有操作都在这个表中进行,不会对其它表进行处理。

另附该软件源代码:

查看更多内容...

Posted in Web开发 at August 18, 2009. by 傻猫 .    Views: 4919    No Comments

Bluefeel For Typecho

今天把博客程序从Sablog 转到Typecho了,昨天晚上搞到2点过,今天白天又弄了一天。在此感谢黄金博HJ 提供转换程序,导入文章、附件、标签、评论,过程非常艰辛。不过最终不定期是完美解决了此问题。Sablog使用了好几年,挺好的,很多朋友都转到其它博客程序了,Sa更新确实太慢了,扩展性不够强,今天终于下定决心转了。

另外把以前蓝风的风格也移植了过来,欢迎下载:Newbluefeel.rar

预览请见本站。

 screenshot.png

Posted in 我的生活 at August 16, 2009. by 傻猫 .    Views: 6562    5 Comments

Sablog探秘之《全面了解Sablog-X V2.0》

作为Sablog的忠实使用者,从2006年4月开始使用Sablog,这几年的经验告诉我,Sablog更新的很慢,但是每次版本升级都会加入重量级内容。Sablog-X是一个采用PHP和MySQL构建的博客系,统作为Sablog的后继产品,“速度卓越,操作简单”是她最大的特点,与国际上大大名鼎鼎的WordPress(简称WP)相比,Sablog速度比WP速度快,这也正是我这几年一直使用Sablog的原因,功能方面Sablog短小精悍,作为一个博客系统,完全够用了。

下面一一来展示一下各方面的功能吧,本站就是一个前台演示,主要看一下后台有那些功能和WAP功能。Sablog-X V2.0主要增加了“自定义URL”永久链接功能,非常有利于搜索引擎收录,还增加了站点地图以及模板风格标签的重新定义,制作模板更加简单,WAP功能全面加强,具体的东西看下面图片吧。


控制面板.png

文章管理.png

附件管理.png

模板风格.png

数据库信息.png

添加日志.png

评论管理.png

系统设置-rss.png

系统设置-安全限制.png

系统设置-侧栏.png

系统设置-附件.png

系统设置-基本.png

系统设置-评论.png

系统设置-搜索引擎优化.png

系统设置-显示.png

系统设置-永久连接.png

友情链接.png

wap标签.png

wap分类.png

wap归档.png

wap浏览文章.png

wap浏览文章2.png

wap评论.png

wap首页.png

wap搜索.png

wap写文章.png

Posted in 我的生活 at July 28, 2009. by 傻猫 .    Views: 5469    1 Comment

博客程序升级啦,上传图片遭遇“无效的图片文件”

昨天在我的傻猫实验室里装上了最新版的Sablog程序,发现一个问题,IE上传图片提示“无效的图片文件”,秋爱告诉我说是IE8惹的祸,我之前装过IE8,用了几天后就卸载了,简单看了一下,好像没增加什么新功能,本来想升级的,最后还是忍了,今天晚上终于鼓起勇气升级,把博客程序升级到Sablog-X v2.0 beta Build 20090727 ,升级以后发现以下几个问题:

上传图片时,提示“无效的图片文件”,解决方法如下:

1、找到工具栏点击Internet选项
2、进入安全菜单
3、选择自定义级别
4、找到 “将文件上载到服务器时包含本地目录路径” 点击启用就可以了。

以前的模板不能用了,原来Normal.php这个文件里,以前的$tatol字符错误已经修复,把它改为$total 就可以正常显示了。图片水印问题还没解决,自动保存文章的功能好像也有点问题,进入后台右下角提示脚本错误等等,总的来说,后台变化很大,跟Wordpress的后台差不多,有变化总是好的,有问题不怕,就怕一辈子保持一个样,不改进,不进步是最可怕的,问题慢慢解决,呵呵。

最后附上Sablog-X v2.0 beta Build 20090727 下载地址:

http://www.sablog.net/download/20090727.rar

Posted in Web开发 at July 27, 2009. by 傻猫 .    Views: 3476    No Comments

cnbeta山寨版博客完成!!

本博客以前一直使用《蓝风秋雨》那套模板,挺喜欢的,用了一年多了,有点腻了,所以想换一套皮肤。现在Sablog也处于半死状态 ,论坛也寥寥无几人在上面,想找个现成的模板,又要找个喜欢的模板,那恐怕比上青天还难,一直想自己移植一套模板。去年刚开始学Sablog2.0模板文件的时候,做了几套皮肤,其中就有cnbeta版的,由于当时没有完全做好,算是个半成品吧,所以一直也没有。

做模板的方法跟老鬼学的,比着框框买鸭蛋,先把别人的模板存为html文件,再把模板内容代码套进去,准确地说是插进去,把一个整面的代码拆分为head,foot,normal三个部分就可以了。昨天晚上花了一个晚上时间来完善这个半成品模板,去年保存的确cnbeta网页已经不存在咯,如果CB已经换了代码,包括css代码都更新换代几次了,在移植文件的过程中,最头痛的是样式表,也叫css,一大串的代码就是一大串属性,直接移植过来显示正常就OK,当想自己修改一下CSS属于,调一下位置就很困难了,从阅读CSS代码就可以看出,我web设计水平与作者的差距,对了好像我在一个CSS备注里还看到了hoofei的名字。

现在说说我选择移植这个模板的原因,第一是比较大气,有王者风范。第二是布局很合理,文章内容的处理,评论的处理,最大最大的好处是,这个模板的广告位比较多,主要集中在顶部一个460X60的Banner广告位,右上角的搜索广告位,以及右上两个软件推荐位,右边侧栏足够大的SiderBar位置,可以非常容易的放下Google和百度的广告,而且不会对浏览品有所影响,广告足够多,而且用户体验特别好。

对了,这个模板只是偶个人研究学习之用,仿Cnbeta风格,以前cnbeta采用Wordpress作为平台,伴着CB成长的同时,我也成长了,因为喜欢你,所以抄你,哈哈。

Posted in 我的生活 at June 7, 2009. by 傻猫 .    Views: 7423    8 Comments

Sablog2.0蓝风风格下载

蓝风1.6的风格大家都很喜欢吧,我以前就一直用这个风格,挺好的,当升级到2.0以后当然以前的风格不能用了,问蓝风要了一个2.0的风格,不知道是服务器的原因还是其它原因,风格用不了,于是我按sablog官方模板的格式,把蓝风传给我的风格重新调整了下,在IE、Firefox、Opera浏览器下测试通过。

我在链接页添加了显示PR值的图标,PR查询服务由 http://samool.com/pagerank/ 提供。

风格版本:sablog2.0

风格下载:newbluefeel.rar    (解压密码:samool.com)

风格预览:newbluefeelsrc.png

Posted in Web开发 at August 13, 2008. by 傻猫 .    Views: 7364    13 Comments

同花顺风格下载 For Sablog2.0

这个皮肤来源于国外网站,原来是WordPress的主题,被我看到后发现整个页面比较大气,而且深一点的绿色也不刺眼,一下子就喜欢上这个皮肤了,所以花时间转到Sablog上面来了,绿色版的,我已经把google广告链接去了,在友情链接页面上已经加上了自动显示PageRank的图标,喜欢的朋友就下载,请注明是傻猫修改的就可以了,只要百度Google有收录的博客,欢迎与我做友情连接。

皮肤版本:Sablog2.0

皮肤下载:samoolfun.rar

皮肤预览:

9auehwzve1.png

Posted in 我的生活 at August 12, 2008. by 傻猫 .    Views: 5212    3 Comments