You may say I'm a dreamer, but I'm not the only one.

修改系统的默认shell

二18
2012 Leave a Comment Written by Yuan Cheung

大多数系统默认的shell是bash，但是可以修改为其他shell。比如最近比较火的 oh-my-zsh 就是 zsh 的一种配置。安装好新的shell，使用 chsh 命令（即 change shell）即可设置为默认shell。

但是今天用 brew 安装最新的 zsh 后，使用

 chsh -s /usr/local/bin/zsh

修改默认shell时，报错

chsh: /usr/local/bin/zsh: non-standard shell

但是直接运行 /usr/local/bin/zsh 却是正常的。

经查， /etc/shells 文件中，包含了 login shell 的列表，应用程序通过该文件来判断一个shell是不是合法。我的系统里该文件内容如下：

# List of acceptable shells for chpass(1).
# Ftpd will not allow users to connect who are not using
# one of these shells.

/bin/bash
/bin/csh
/bin/ksh
/bin/sh
/bin/tcsh
/bin/zsh

因此，必须先将 /usr/local/bin/zsh 加入到此文件中，然后才能使用 chsh 命令将其设置为默认shell。

Posted in Linux - Tagged ,

Vim的SnipeMate插件

二18
2012 Leave a Comment Written by Yuan Cheung

简介

Vim的 SnipMate 插件实现了TextMate一部分snippets，可以在编写文档时，当插入特定单词（trigger），敲击Tab键，自动插入文本。

安装好该插件，打开Vim的文件类型（:filetype plugin on），SnipMate会根据文件类型（filetype）自动加载snippets，默认已经包含了常用的snippets。

如何编写snippets

默认的snippets满足不了需求（比如.erb 文件没有snippets），可以自己写一个。

按照文档，snippet可以定义在两个地方：

  • snippets/<filetype>/<trigger>.snippet
  • snippets/<filetype>.snippets

默认的是第二种。第一种方式的例子可见（https://github.com/scrooloose/snipmate-snippets）。

编写snippet很简单，分为两步

  1. 确定要文件类型，建立文件
  2. 编写snippet

Vim会根据文件名或者文件内容判断文件类型（文档 ），但有时候编写者可能并不确定当前的文件类型是什么。比如Ruby的模板文件 erb、rhtml、rabl文件，会被Vim当做什么类型呢？ vim 提供了 set filetype? 命令来返回当前的类型。Vim 还支持在Vim里设置当前的文件类型，比如 set filetype=html.eruby 。

在我的电脑上，erb、rhtml的filetype为eruby，而rabl的filetype为ruby，因此他们对应的snippet文件分别为 ~/.vim/snippets/eruby.snippets 和 ~/.vim/snippets/ruby.snippets 。
参考 snipmate-snippets 项目，创建 ~/.vim/snippets/eruby.snippets 文件并添加如下内容，便给 .erb 文件添加了 snippets：

snippet if
<% if ${1:condition} %>
  ${2}
<% end %>

snippet ife
<% if ${1} %>
  ${2}
<% else %>
<% end %>

snippet unless
<% unless ${1} %>
  ${2}
<% end %>

snippet unlesse
<% unless ${1} %>
  ${2}
<% else %>
<% end %>

注意：开发Rails项目时，erb文件一般情况也是html模板，因此最好能使用html类型的snippets。因此，可以把 html.snippets 的内容拷贝到 eruby.snippets 文件中，以便长期使用；或者在 .html.erb 文件中，使用 set filetype=html.eruby 来同时使用html.snippet 和 eruby.snippet 。

Posted in Vim - Tagged , ,

Rails中的消息签名和Cookie-Based Session

二12
2012 Leave a Comment Written by Yuan Cheung

ActiveSupport中有一个ActiveSupport::MessageVerifier类，用来生成消息签名和验证签名（makes it easy to generate and verify messages which are signed to prevent tempering）。代码位于 activesupport/lib/active_support/message_verifier.rb。

签名算法

  1. 序列化原始数据（该数据不一定是字符串，所以要序列化，默认使用Marshal）；
  2. 使用Base64编码。得到待签名数据data；
  3. 使用OpenSSL里的HMAC算法和签名密钥（默认的摘要生成方法是SHA1），生成data的签名digest；
  4. 将data和digest使用 -- 分割，拼接起来，就是签名后的消息。

验证算法

  1. 根据签名后的字符串消息，使用 -- 分割，得到 data 和 digest；
  2. 生成data的签名，与digest比较，注意比较时，会将两者强制编码为字符，一个字符一个字符来来比较。如果相同，则验证通过。

实际应用

Rails的基于cookie的session，就是将session中的数据和随机生成的session_id（只在第一次请求时生成）签名后，放在cookie中防止被篡改的。 代码位于 actionpack/lib/action_controller/session/cookie_store.rb 。

由于数据只是被签名，并没有被加密。因此，基于cookie的session中的数据，并不是保密的。使用Base64.decode64解码，再用对应的反序列化算法即可得到session中的数据。需要注意的是，Rails除了使用签名防止session数据被篡改以外，还在生成cookie时，使用HttpOnly标识，这样只能通过HTTP或者HTTPS请求访问，Javascript无法读取，这样防止了XSS。HttpOnly的解释见wikipedia。 比如，访问github网站（http://github.com）。使用firebug查看cookie，得到session数据（注意github的cookie中，没有使用HttpOnly标识，而使用了secure，因此只能通过HTTPS访问）：

_gh_sess=BAh7BzoQX2NzcmZfdG9rZW4iMVhTS3NmZ1pLdllNSC9Lbm81UlkvUjhZSEUwMSt6eHNwVndlY1hWRzJnQTg9Og9zZXNzaW9uX2lkIiU1NTQxNTc1N2I0MGNjNjVkYjc0ZDU5MzlkYTE0ZDlhNw%3D%3D--9c29dc40b18e52a3f3206bc0cc7c93c39096f315; path=/; expires=Sat, 01-Jan-2022 00:00:00 GMT; secure

使用如下方法即可得到session中的对象：

> require 'uri'
> require 'base64'
> cookie = "Ah7BzoQX2NzcmZfdG9rZW4iMVhTS3NmZ1pLdllNSC9Lbm81UlkvUjhZSEUwMSt6eHNwVndlY1hWRzJnQTg9Og9zZXNzaW9uX2lkIiU1NTQxNTc1N2I0MGNjNjVkYjc0ZDU5MzlkYTE0ZDlhNw%3D%3D--9c29dc40b18e52a3f3206bc0cc7c93c39096f315"
> data = URI.decode(cookie).split("--").first
> Marshal.load(data)
=> {:_csrf_token=>"XSKsfgZKvYMH/Kno5RY/R8YHE01+zxspVwecXVG2gA8=", :session_id=>"55415757b40cc65db74d5939da14d9a7"}
Posted in Ruby - Tagged , ,

Ruby和Rack解决因Hash表碰撞导致CPU拒绝服务的Bug

一07
2012 Leave a Comment Written by Yuan Cheung

前几天，各个主流语言都爆出来了大Bug：“通过调用Hash冲突实现各种语言的拒绝服务攻击漏洞”（multiple implementations denial-of-service via hash algorithm collision）。《通过构造Hash冲突实现各种语言的拒绝服务攻击》这篇文章提到PHP里引入了新的配置项，来限制GET/POST/COOKIE输入变量来减少攻击的影响。

Ruby-1.8.7-p357已经修复了该bug，具体代码我没看懂，基本的思想应该是在生成Hash的时候，加入了随意数，防止Hash退化成链表。最新的ree-1.8.7-2011-12 也修复了该bug。ruby的相关提交见： https://github.com/ruby/ruby/commit/e19bd3eaa8bd71cfc9e5bf436527f015b093f31e#diff-0

这种修改Hash算法算法的方式，是最彻底的方法。另外一种间接方法，就是限制Hash的key的数量，来减少攻击的影响，这与在PHP中的解决方法是一致的。

具体的，在Rails等基于Rack的Web框架中，可以在Rack中通过修改HTTP请求里key的长度来减少影响。当前主要分支上的Rack，已经限制了key的总长度。提交内容见： https://github.com/rack/rack/commit/5b9d09a81a9fdc9475f0ab0095cb2a33bf2a8f91#lib/rack/multipart/parser.rb

改提交主要涉及两个方法：Rack::Utils.parse_query 和 Rack::Multipart::Parser#parse 。修复后，默认情况下，请求里的key总长度限制为65536，若大于这个限制，就会抛出异常。

需要注意的是，这个修复是在 December 28, 2011 提交的。因此之前的版本，可能都会受影响。

Posted in 未分类 - Tagged , ,

如何使用密码进行用户认证

十二24
2011 Leave a Comment Written by Yuan Cheung

前几天CSDN用户密码被放出，也算是IT行业的耻辱了。在此，小小普及一下使用密码验证用户身份的方法。

方法1. 明文保存

数据库中的字段：password

显然，这是不安全的。只依赖了数据库文件的安全。

方法2. 使用对称加密（可逆）

数据库中的字段： encrypted_password

在程序中使用古典密码算法或某种对称方法加密。比如换个顺序 abc -> cba 。

这和方法1本质上是相同的，因为加密过程和私钥（如果有的话，比如使用AES，DES）泄漏后，根据加密后的密码（密文），就可以还原所有原始密码（明文）。

方法3. 单向加密（非可逆）

数据库中的字段：encrypted_password

使用MD5，sha1 等哈希算法。只能用来判断用户输入密码是否正确，理论上无法还原。但是，如果两个用户的原始密码相同，那么加密后的密码也相同。所以可以根据字典来根据密文得到明文，破解部分比较常用的密码。

加密函数： encrypted_password=hash(password)

方法4. salt + 单项加密（非可逆）

数据库里保存两个字段： salt 和 encryted_password。

方法3的升级版，只能用来判断用户输入密码是否正确。salt 是个随机数，用户每次修改密码时，会重新生成一次，并保存在数据库。

encrypted_password=hash(password, salt)

由于生成哈希的明文，一般很长（比如salt可以使用128位或更多位，其实多少位都可以，只要够长，够随机），而且是随机的，字典里一般没有这些记录。所以就很难破解了。

这是目前推荐的用户密码保存机制。

举例

奉上一段ruby的authlogic里的生成密码的代码。这个是目前保存用户名密码的通用做法，ruby很好看懂的：
https://github.com/binarylogic/authlogic/blob/master/lib/authlogic/acts_as_authentic/password.rb

def password=(pass)
    return if ignore_blank_passwords? && pass.blank?
    before_password_set
    @password = pass
    send("#{password_salt_field}=", Authlogic::Random.friendly_token) if password_salt_field
    send("#{crypted_password_field}=", crypto_provider.encrypt(*encrypt_arguments(@password, false, act_like_restful_authentication? ? :restful_authentication : nil)))
    @password_changed = true
    after_password_set
end

如何验证密码是否正确？

方法1中，直接比较密码即可。其他方法，可以通过用户的输入，用同样的加密方法生成密文，然后和数据库里的密文比较是否相同。

=====

大多数人关注的是数据库为何明文保存，但忽略了从用户输入到保存到数据库中间其实经历了很多步骤，这其中的任一步，都可能泄露用户名密码。比如，要经过web服务器，而web服务器一般会记录访问日志。如果在日志里，保存了用户的输入，那么日志泄漏后，就能得到用户密码。

真实的经历是：某个同学使用GET请求来处理验证用户，用户名和密码都在URL里，结果前端的Nginx和后端的web框架日志，都记录下了这个URL。结果……没有结果了。这种请求，必须得使用POST请求啊，而且必须后端框架里，把password这个参数过滤掉。

Posted in 未分类 - Tagged ,
« Older Entries