注册 登录
爱吱声 返回首页

绿葱头的个人空间 http://www.aswetalk.net/bbs/?533 [收藏] [复制] [分享] [RSS]

日志

“摇摇乐”引发的危机……

热度 27已有 586 次阅读2012-10-11 15:03 |个人分类:IT|

     要说这个摇摇乐插件原来是有个漏洞的,只要你稍微研究下JavaScript,小小的在浏览器改动下,爱坛货币马上会恶性通货膨胀,长此以往,坛将不坛。还好在二当家的带领下,俺们修复了这个漏洞,由服务器随机“摇”爱元。这次缝补技术很不高明,显示与实际所得不符,有个补丁难看些好歹比衣不遮体强些,你说是不?当然吃到飞来野鸭的坛众大多躲起来偷着乐去了,少数坛众抱怨没煮熟的鸭子飞了……嗯,俺们正在改进,争取表里如一。
     不料一波未平一波又起,看到鹿社长的这条记录 http://www.aswetalk.org/bbs/home.php?mod=space&uid=30&do=doing&doid=27219 ,不禁为爱坛担心起来。
     万一冰雪聪明滴鹿社长破译的rand函数规律,在女生宿舍内推广开来,我等压在排行榜大山下的男人帮众就悲哀了(当然那个“爱坛如来”阿达民例外),作为男人帮明星会员不能等闲视之。
     说干就干,难事不知问Google大婶……
     果然发现这有个简单的测试,一看之下不禁咋舌,原来还真有这个可能性!
     http://boallen.com/random-numbers.html
     中文翻译:http://blog.bluesky.cn/archives/418/true-random-number-and-pseudo-random-number.html
     急忙在本地实验,惊出一身冷汗:原来Win7+Apache/2.2.22 (Win32)+PHP/5.4.4 下果然存在这个现象!!!
     这是我实验的结果:

     更令人惊讶的是:刷新重复运行图像不变,被鹿社长猜出来那简直是肯定的!
     还好文中结尾提到,Linux的环境要好些。很不放心的拿到Linux实验,果然从图上看基本看不出规律来了。

     第一次结果

     第二次结果
     当然我们要防范某天爱坛要迁移到Windows服务器时的危险,文中提到使用mt_rand就好多了,让我们看看实验结果:

     win环境第一次结果

     win环境第二次结果
     嗯,成功的将一次压倒男人帮行动消灭于萌芽状态。

膜拜
2

鸡蛋
18

鲜花
1

路过
2

雷人
1

开心
1

感动
1

难过

刚表态过的朋友 (26 人)

发表评论 评论 (8 个评论)

回复 老芒 2012-10-11 15:42
让帮主给你发枚护法大勋章。
回复 河蚌 2012-10-11 15:54
后山老僧级别的。
回复 冰蚁 2012-10-11 15:58
哇,葱头护法,牛。
回复 不打不相识 2012-10-11 16:50
太牛了,完全看不到啊。
回复 daxiang 2012-10-11 17:59
不明白,rand()如果跟外部环境挂钩,比如时间,不就不会有这种问题了么...
回复 MacArthur 2012-10-11 22:40
应该把秘技在男帮内部公布之,也该轮到我们翻身坐主人了么。。。  
回复 绿葱头 2012-10-12 10:32
daxiang: 不明白,rand()如果跟外部环境挂钩,比如时间,不就不会有这种问题了么...
木有看PHP内部实现,rand据说直接调用LIBC,随机数的产生和算法有关,和时间相关的随机数有很大可能被猜测,这在加密等场合是有非常大的问题的,记忆中有一个浏览器漏洞就是和时间相关的随机数问题,有可能被劫持。
回复 daxiang 2012-10-12 19:39
绿葱头: 木有看PHP内部实现,rand据说直接调用LIBC,随机数的产生和算法有关,和时间相关的随机数有很大可能被猜测,这在加密等场合是有非常大的问题的,记忆中有一个浏 ...
我的意思是伪随机跟时间关联就不那么有规律了....伪程序员瞎说,不必当真

facelist doodle 涂鸦板

您需要登录后才可以评论 登录 | 注册

手机版|小黑屋|Archiver|网站错误报告|爱吱声   

GMT+8, 2024-5-16 11:02 , Processed in 0.031971 second(s), 19 queries , Gzip On.

Powered by Discuz! X3.2

© 2001-2013 Comsenz Inc.

返回顶部