Follow me on GitHub

存档在五月, 2015

新人指引(pawa项目入门)

1.项目理解

项目网站中主要的功能模块由产品货架页(可进入产品详情页,预约页,产品认购页以及支付页等等产品流程页)、融资页(登录后可查看用户融资额度及融资详情)、活动页(产品活动详情)、资产管理页(登陆后可进行个人资产管理和对账单)和资讯页(产品相关的行业资讯)、个人中心、订单、帮助中心。
主要产品分类有:

  1. 理财类【{ 活期理财:活期盈。大额盈 },{ 定期理财:安盈、汇盈、财富盈、任月盈 }】
  2. 投资类【稳健投资类,价值投资类】
  3. 融资类【财富e贷】

项目中主要使用框架/库:jquery, avalon,underscore,store,requirejs等等常用框架还有各种便于开发的插件。
项目目录主要分为 www(用于存放本地开发代码) 、dosc(存放需求文档) 、dist(本地mock文件和构造页面的wealth文件夹),build和release目录是编译配置和相关目录。

More >

掌握这两招,让你变身K吧人气达人——论KM上的两个CSRF漏洞

从绿盟科技的《2014互联网金融安全报告》中可以看到,XSS和CSRF漏洞依然是影响比较突出的两个安全问题。

在这里分享下之前发现的两个内网知识管理系统(KM)的问题,KM系统个人主页的访问记录关注操作都接受GET请求,只需要构造请求就可以实施一次CSRF攻击。

先看看增加关注者的方法。通过网页代码可以看到,在他人的个人主页上点击“添加关注”按钮时调用的是getJSON方法,且未验证请求来源,于是要欺骗系统就变得异常简单,只需要满足两个条件:

  1. 构造请求到关注接口;
  2. cookie中带有用户信息(用户已经登录)。

More >

茵特拉根温泉一日游

跟了个华侨城一日游的团,始发点基本上齐,没有中途上客所以到得比较早,请容许我用一张全景图开场:

拿着茶溪谷的门票发现游乐场已是人山人海,游乐项目几乎每个都要排队,那画面太美我不敢拍大家自行脑补。

More >

移动设备浏览当前页