Good Day, Commander!

學習教材: Jenkins權威指南 CI: Continuous Integration 持續整合 簡單來說就是一個能夠監控你版本控制系統變化的工具，一旦系統內容有所變化，工具就會自動編譯和測試你的應用程式。 它應用在軟體開發上，就是透過更快的feedback來降低開發的風險。 持續佈署與持續交付，成為CI的核心價值 作為CI領頭羊的Jenkins 用戶介面簡單、直觀、平滑的學習曲線、良好的擴展性與社群活躍度，都是Jenkins得以持續得到用戶支持的原因。 接下來，藉由Jenkins七的階段的學習，讓人來一步步地了解Jenkins的運作與好用的地方。 1. 沒有建構SERVER 2. 創建一個建構SERVER 3. 在建構SERVER上面加上自動化測試 4. 加入量度指標 5. 更全面的測試 6. 自動化驗收測試與自動化佈署 7. 持續佈署

SSRF: Server Side Request Forgery 服務端請求偽造。 攻擊者構造形成看似由服務器發起請求的一個安全漏洞。基本上，SSRF的目標是外網無法Access的內部系統。 SSRF如何產生? SSRF形成原因大多是server side從其他server應用獲取data時沒有對於目標位址做過濾跟限制。 比如說從指定的URL獲取了response，像是內容、圖片、下載等等。 當一個可以接受URL的API沒有對URL進行過濾時，那麼駭客可以利用URL的response去探測內網。 SSRF的出現情境 1. 社交分享功能: 獲取超連結的標題與內容並進行顯示。 2. 轉碼服務: 通過URL地址把原地址的網頁內容調優使它適合手機閱覽(內容重新矲版整理) 3. 網頁翻譯: 將網址的網頁內容做文字翻譯 4. 圖片加載/下載: 通過URL在網頁的文本編輯器裡面顯示圖片或下載圖片 5. 圖片/文章收藏功能: 和1的情境差不多 6. 雲端服務: 雲端server可以由遠端執行命令來判斷網站是否存活，如果可以捕獲相應的訊息，就可以進行SSRF 7. 網站採集: 有些網站會對你輸入的URL進行一些訊息採集的工作 8. Database的內置功能: database中像是copy database的function 9. Mail System: 比如接收郵件服務器的位址 10 從遠端伺服器請求資源 SSRF的應對之道 1. 過濾response訊息:如果API要獲取某一種類型的訊息，再獲取response時需要先去過濾它是否符合標準。 2. 統一錯誤訊息 3. 設置URL白名單或是gethostbyname()判斷是否為內網IP 4. 限制請求的端口(Port)，如限制為80, 443, 8080, 8090 5. 禁止跳轉 6. 進用不需要的協議(僅允許http和https請求)

XSS, Cross-site scripting. 在於未充分檢查使用者輸入的訊息，導致使用者有機會去使用scripting language在server執行程式碼，程式撰寫者必須去檢查使用者的資料格式來避免這個問題。 XSS通常會發生在 1. 使用者的http request未檢查 2. 在web application動態產生網頁時，可能會包含未被檢查的內容 3. 在產生網頁時，並沒有方式讓網頁內容不去執行scripting 4. user在瀏覽 gen出來的網頁時成了內含惡意script的犧牲者 Type 1: Reflected XSS (or Non-Persistent) 就是在http request裡面加入惡意的執行指令，然後在web server回應到使用者的browser執行。 Type 2: Stored XSS (or Persistent) 如果Web Server意外把含有惡意的執行指令碼存在server的storage中，然後在使用者使用服務時，藉機在執行指令以獲得一些敏感的隱私資料。 Type 0: DOM-Based XSS DOM-Based XSS 就是指網頁上的 JavaScript 在執行過程中，沒有詳細檢查資料使得操作 DOM 的過程代入了惡意指令。 應對之道:  1. 檢查任何使用者或是Web application所承接近來的input，並檢查裡面有沒有埋藏指令碼。 2. 記得輸出到使用者的response需要經過OWASP的Encoder處理，來避免裡面有駭客埋藏的指令碼。 針對Java的處理Encoder, OWASP的資源提供如下 http://owasp.github.io/owasp-java-encoder/encoder/index.html

物件序列化 簡單來說就是將 物件 變成資料流，可以將物件儲存成 檔案 ，可以永久儲存在硬碟中，而且可以在2台電腦之間傳遞物件，是非常實用的功能。 物件反序列化 就是將 檔案 還原成 物件 ，並拿來使用。 重點  : 要被虛列化的物件必須加入Serializable介面，如果該類別也使用到其他類別的物件，那麼其他類別也必須使用Serializable介面，否則執行時期會發生錯誤。 Source:  http://lolikitty.pixnet.net/blog/post/36759934-java-%E5%BA%8F%E5%88%97%E5%8C%96-%E5%8F%8D%E5%BA%8F%E5%88%97%E5%8C%96-%28serialization-deserialization%29

問題分類 袋中有10個球，每個球都標了號碼，從1號標到10號，現在從袋子中抽出3個球，抽出後不得在放回袋子中。 排列問題: 把球上的數字，按照抽出的順序記下，也就是(1 2 3)以及(3 2 1)代表不同樣的事件 組合問題: 把球上的數字記下，但毋須理會球被抽出的先後順序，也就是(1 2 3)以及(3 2 1)代表同樣一件事 組合(Combination): 定義:如果有n個不同物體，取出m個(先後順序不同，但內容一樣，則視為相同) 組合方式: 記做  n C m (因為html打不出正確的格式，先以此方式表示，否則正確的格是應該是n和m會在C的右側，一上一下) 公式: (n*(n-1)*(n-2)*......(n-m+1))/(m*(m-1)*....2*1)，可以記做(n!) / (m!(n-m)!) 這個公式的意義在哪邊? 是怎麼推導過來的? 這要從排列定義的著手。 排列(Permutation) 定義:如果有n個不同物體，取出m個(先後順序不同視為不同) 排列方式: 記做  n P m (因為html打不出正確的格式，先以此方式表示，否則正確的格是應該是n和m會在P的右側，一上一下) 公式: n*(n-1)*(n-2)*......(n-m+1)，這個意義在於，第一抽有n個可能，第二抽有n-1個可能，第m抽有(n-m+1)種可能。可以記做 n! / (n-m)! 從排列到組合(Permutation to Combination) 從定義來看，排列為從n個中挑出m個後的可能結果後，再乘這m個前後順序不同的所有可能結果，也就是如果10顆球，如果挑出(1 2 3)，則這(1 2 3)的先後次序有3 * 2 * 1 = 6種可能結果 寫成數學表達，則是 n P m  =  n C m  *  m P m    由這個等式就可以導出  n C m  = (n!) / (m!(n-m)!) 結語: 理解排列組合的概念，有助於之後關於二項式展開以及數學常數e的定義推導，也是微積分和統計的基石之一。

先在command shell使用sc命令 加入服務:sc create ServiceName binPath= 路徑 start= auto(等號後面的空格必須) 刪除服務:sc delete ServiceName e.g 將Tomcat加入到系統服務中: sc create Tomcat binPath= F:\apache-tomcat\bin\startup.bat start= auto 將Tomcat服務刪除: sc delete Tomcat 將tomcat加入系統服務裡面 一、將Tomcat註冊到服務裡面 1，在dos下進入tomcat\bin目錄 2，在命令列輸入service install [服務名，預設Tomcat5] 3，要啟動該服務，輸入：net start 服務名 二、修改、刪除服務 語法：sc create | delete | config 服務名 [參數] 主要參數清單： 　　start= demand|boot|system|auto|disabled|delayed-auto　　//啟動類型 　　binPath= BinaryPathName　　　　　　　　　　　　　　　　//可執行檔路徑 　　depend= 依存關係(以 / (斜杠) 分隔) 　　DisplayName= <顯示名稱> 　　　　　　　　　　　　　　　//螢幕顯示名稱 作用依次是：新建、移除、重佈建服務。 例如：重新佈建服務mysql的執行路徑的方法是： sc config mysql binPath= "新路徑" 參考:   http://fecbob.pixnet.net/blog/post/38258335-tomcat%E5%8A%A0%E5%85%A5%E5%88%B0%E7%B3%BB%E7%B5%B1%E6%9C%8D%E5%8B%99%E4%B8%AD

問題現象 maven project的Web專案出現了錯誤"Dynamic Web Module 3.1 requires Java 1.7 or newer" 問題解決 在pom.xml裡面的<build>tag間加上     <plugins>       <plugin>         <groupId>org.apache.maven.plugins</groupId>         <artifactId>maven-compiler-plugin</artifactId>         <version>3.1</version><!-- Servlet 3.1-->         <configuration>           <source>1.8</source><!-- source compile Java version -->           <target>1.8</target><!-- target compile Java version -->         </configuration>       </plugin>     </plugins> 之後在專案上面按右鍵 Maven-> Update Project....來更新專案，錯誤就會消失了。