关♥生活，关注互联网。
存档在5月, 2015年
新人指引（pawa项目入门）
5月 22nd
1．项目理解
项目网站中主要的功能模块由产品货架页（可进入产品详情页，预约页，产品认购页以及支付页等等产品流程页）、融资页（登录后可查看用户融资额度及融资详情）、活动页（产品活动详情）、资产管理页（登陆后可进行个人资产管理和对账单）和资讯页（产品相关的行业资讯）、个人中心、订单、帮助中心。
主要产品分类有：
- 理财类【{ 活期理财：活期盈。大额盈 }，{ 定期理财：安盈、汇盈、财富盈、任月盈 }】
- 投资类【稳健投资类，价值投资类】
- 融资类【财富e贷】
项目中主要使用框架/库：jquery， avalon，underscore，store，requirejs等等常用框架还有各种便于开发的插件。
项目目录主要分为 www（用于存放本地开发代码） 、dosc（存放需求文档） 、dist（本地mock文件和构造页面的wealth文件夹），build和release目录是编译配置和相关目录。
掌握这两招，让你变身K吧人气达人——论KM上的两个CSRF漏洞
5月 17th
从绿盟科技的《2014互联网金融安全报告》中可以看到，XSS和CSRF漏洞依然是影响比较突出的两个安全问题。
在这里分享下之前发现的两个内网知识管理系统（KM）的问题，KM系统个人主页的访问记录和关注操作都接受GET请求，只需要构造请求就可以实施一次CSRF攻击。
先看看增加关注者的方法。通过网页代码可以看到，在他人的个人主页上点击“添加关注”按钮时调用的是getJSON方法，且未验证请求来源，于是要欺骗系统就变得异常简单，只需要满足两个条件：
- 构造请求到关注接口；
- cookie中带有用户信息（用户已经登录）。
