谈恋爱经

(一)爱你的,你爱的
如果要我去跟刚上大学的自己说的话,我可能会建议她不要谈恋爱,因为大学离家很远,谈了都成不了。
但我知道不可能,当时可想谈恋爱了。所以建议如下:
1.不要和离家很远的人谈恋爱。我一直觉得自己非常包容,但是在前男友家里大早上吃白米饭的时候,我是难以下咽的。因为我们这里早餐品种齐全,我20多年没吃过早餐吃米饭。他妈妈还叫我吃不下去放点开水。而且结婚的时候你才会意识到,本地人在这个城市的社会关系,会让刚出校门的你不至于感觉无所依靠,甚至有时候能成为你的助力。不过我也不建议你纯粹看条件,条件好的很多人很骄傲的,内心看不起对象。性价比不高。
2.别找不积极向上的人。当学生的时候会觉得不努力每天吊儿郎当的人很好玩,但是毕业了大概率是烂泥扶不上墙。为了避免遇到这种人,从一开始就别找,省得人家说我没变,是你变了。
这个我要讲得细致一点。
不要找那种特别会在朋友圈晒健身啊学习啊之类的男的,我遇到过一个,这么说吧,别人这么努力的健身,拍照修图,不是为了你一个女人的。
很多看起来普通的男生,其实有的很努力,要细致地了解。最好常常去图书馆,观察哪些人从大一到大四的目标几乎都一致,别找那种大一想考研,大二又想考公务员,大三又说要考教师,大四投简历的人,当然,如果都成功了可以找。
3.别找恋爱很多的人,我大学差点找了个高中就谈了8个的男生。有一说一,确实不错,约我会买好奶茶,讲话也好听。就是我拒绝了之后跟班里所有女生(共5个)表白了,有点尴尬。
4.别找精虫上脑的人。说你不跟我睡就是不爱我,我们分手吧。那就分,爱不爱的还要从这看,照他这么说性工作者简直普度众生了。这种人大概率以后会不尊重你的看法。
5.别因为寂寞谈恋爱。太难了,我随便写写,你随便看看,小姑娘想找人陪,根本不会冷静下来想想我是不是真的爱他。
6.别跟人品不好的人谈恋爱。到时候他在外面得罪人,别人会认为你也是一丘之貉。
7.遇到合适对象的方法就是:努力做好自己,并且开朗大方。
想找个努力的,你就也要努力,同时不要指望别人主动来找你,而是你去主动跟别人打招呼。相信我,直男的智商不会觉得是你不矜持。一般好的男生真的不会太主动,但我们人类都只会喜欢自己了解的人(看脸除外),所以努力让自己被别人所了解,有问题主动询问,对方帮助了再请个客,吃个饭,大大方方的,如果他对你有意思,一来二去就成了。而且别心急,你也要在普通交往中观察他是个什么样的人。
而且一定要坚持自我,我宁愿你显得自私一点。不要为了男朋友委屈自己,该给的关心、支持给到位,坦荡真诚待人,但不要为了男朋友损伤自己的利益。而且一个低自尊的人是注定被看不起的。坚持你的原则,做对自己好的事,如果有人因为这个离开你,那绝对不是你的良人。这点男女都一样。现在骗子太多了,不得不防。
如果可以的话,别高攀,别勉强,找个爱你,你爱,并且互相尊重的人。我知道这有点难,不过我们只需要一个这样的人啊。
(二)合适的三单
以前呢,大家恋爱都喜欢讲三观。
我想说,不妨也看看三单:账单菜单行程单
账单说明了两个人的消费观念,当然我不是推崇物质主义的恋爱,但是消费观念不一致的人是很难走到一起的。
花多花少是分人,但花在哪里是看心的,其实爱情里,尤其是女孩子,大家不也就是想要那种被放在心上的感觉吗?
菜单不只是在讲吃饭,其实更多的是两个人的生活方式,是看两个人能否和谐的生活。
一个人擅长做什么是他的本事,但一个人愿意为你做什么才是他的心意。他想到今天是你的例假特意给你带了红糖水,叮嘱今天不吃酸辣,记得你爱吃什么讨厌什么,哪天提起有家店很久没去过等等,细节之处可以透露生活。
如果说菜单是柴米油盐酱醋茶的生活,那行程单应该就是诗和远方了。
之前看过一篇文章,大概就是讲两个人合不合适出去旅游一次就知道了。因为只有在陌生环境和未知的世界里,一个人才会表现出本能的真实反应,也更能看出两个人的合适与否。
我见过很多人出去旅行一趟甚至中途就分手,旅途争吵时,他把你一个人扔下你转身就走是否是真的在乎你?两个人遇到困难时他是在冷静的想办法还是彼此埋怨?熟悉环境下的反应是可以控制的,但陌生环境下的本能可以暴露出很多问题。
如果说恋爱不要选哪些人,我建议你不要选三单不同的人。
(三)远离大叔
大叔!!!大叔!!!大叔!!!
重要的事情说三遍。
姑娘们,醒一醒,不要被电视上的那些帅气多金,动不动就壁咚的男人们给骗了啊
你以为你遇到的大叔会是韩商言啊
你以为你遇到的大叔会是温柔,体贴,愿意为你,从一个万花丛中过,片叶不沾身的老狐狸从此从了良?
醒醒吧,姑娘们。
我说的大叔是指三十岁以上,你以为的事业有成,温柔,体贴会照顾人的男人们
大学生,尤其是第一次谈恋爱,大叔这种危险的生物会满足你的虚荣心和所谓的安全感
在你看来,他成熟有魅力舍得给你花钱。在他看来,两三百的口红和出去吃顿大餐,送几次小礼物就能把你拿下!
都是久经沙场的老狐狸,骗的你团团转,你还要给他数钱呢
到时候,骗钱都是小事,要是真被骗了色,他拍拍屁股走了人,你失去清白不说,万一怀孕什么的,后顾之忧都是你的。吃亏的永远是女孩子!
所以啊,在大学里,什么样的男孩子没有啊。帅气的,闷骚的,高的,矮的,阳光正直有点直男的,稳重偶尔孩子气的,学霸的,学渣的,学霸装学渣的,学渣装学霸的,什么样的没有啊,总有一款适合你。
最起码,这些男孩子不会害你。当然,我不排除有那种和吕子乔一样,一心就为了泡妞的人存在,但是,相比较与社会来说,大学里的人真的是大多数都是很不错的啊
所以啊,姑娘们,擦亮你的眼睛,要是狐狸们真的想把尾巴藏起来,你觉得你会是他的对手?
大学生,还没出社会,以为校园里的人就是所有人了
以为体会过学生会的黑暗,有过不对等的奖学金评比,就是见过不公平的世界了
我告诉你,你还差远了
等你去社会上摔打几年,有了一定阅历,有了一定的认知水平,你就会明白原来的你有多么地可笑。
所以,少看点电视剧,少看点霸道总裁,多睁眼看看这个世界。
(四)远离暴躁的人
最好不要选那些容易情绪失控,性格偏激的人。
不论男孩子女孩子,离家上大学都容易产生焦虑和孤独感,也有一些同学是为了结伴学习,于是开始考虑发展亲密关系。
如果你正在接触的异性朋友在早期交往过程中出现这些问题,你就要谨慎考虑是否要及时止损。这些问题包括:
1.一句话就惹得他暴跳如雷,难以交流,或者对方的语言中透露着霸权主义。
比如你因为异性朋友随意翻看你的微信聊天、邮箱内容并且随意查看、回复和删除而不满,于是提出郑重交涉要求对方尊重你的隐私权。对方立刻反驳:你是不是有见不得人的事情?你是不是瞒着我有其他计划?你为什么没经过我同意就发出这些消息?谁允许你联系这个人的?
不要以为这种朋友很奇葩,在大学校园里很常见,他们往往打着:情侣之间没有隐私,我是为你考虑,你考虑不周全等等名号干涉你绑架你的社交圈。
2.控制欲非常强,不容你提出不同观点。
对方做事情我行我素,看电影只选自己喜欢的,吃饭只点自己爱吃的,安排学习计划完全按照自己所需,并且所有安排要求你必须一致,不考虑你的实际情况和所需。当你提出异议的时候,对方就说:我以为你会喜欢的,你怎么会不喜欢我安排的呢?我把你当做我的另一半,你要跟上我的节奏和安排,我做什么你就跟着走。计划都是我现成做好的,你还有什么不满意的?这些都属于人格绑架,强迫你变成另一个她/他。
3.常常通过否定你的价值观来灌输他/她的观念。
你可能喜欢和基友们偶尔打个游戏放松放松联络一下感情,结果被质问“不干正事”“游手好闲”“以后绝对不能让我看见你玩游戏”。当你喜欢某种风格的衣服,喜欢收拾一下摄影留念,就被指责“卖弄风骚”“不务正业”“轻薄”。不同的教育背景和家庭理念可能会产生不同的观念,允许每个人表达自己的想法。但是将自己的观念横加在别人身上并且让他/她产生耻辱感和否定自己,这是完全不能接受的。
4.容易情绪化、偏激,难以控制自己的脾气。
不随自己心意就发脾气,摔打,暴走,甚至拳打脚踢或者语言胁迫对方,因为一点琐事就爆发自己的负面情绪,并且将对方当做自己的出气筒,这是错误和失智的表现,这不是真性情,不是可爱或娇憨。
而且过于情绪化或者偏激的人也往往表现出暴力倾向,包括肢体暴力、语言暴力、精神暴力和性暴力。
5.否定自己做错事,拒绝道歉,回避指责。
做错事就要反思错误的来源,反思自己的行为,并且要及时改正及时道歉。但是以“我的出发点是好的,我只是做的不好,我不会为自己的行为道歉”为幌子为自己辩护,这是错误的。面对对方的批评和指责,完全忽视或者回避,这会埋下祸患,下次仍然继续发生同样的矛盾。
6.不尊重你的人格。
你是一个独立自强的人,对生活充满热情和期待,有自己的规划和安排,但是对方不断给你洗脑:你以后就跟着我混,我俩一起干。你那么要强干什么,以后还不是靠我?没有人喜欢那么聪明的的女生/男生!
在大学不仅是寻求知识,更要寻求自己的价值观。如果你有找对象的计划,最好找一个价值观相符的,人品端正的伴侣,而不是找一个烫手山芋。
后记:
什么样的不能找呢?
1.你走心,它走肾的。
2.喜欢你,但不止喜欢你一个的,爱你,又爱她她他(脚踏n条船)
3.把你对它的容忍,直接无视成你就这么善良
4.甜言蜜语一大堆,结果做到没几样
5.和你做了所有男女朋友该做的事,但就是不和你确定关系
6.一切责任推向对方(男或女),自己丑事做尽,还想给自己立个贞节牌坊
7.家中有妻室,家外有二奶。
8.对你若即若离,用时亲近,没价值时便一脚踢开
9.妈宝男
10.中央空调,对所有女的都暖洋洋,泡一个是一个
11.不主动不拒绝不负责
12.渣男锡纸烫,渣女大波浪(这条调节气氛勿当真)

原文链接:https://art.china.com/news/hot/13003932/20200805/38604407_1.html

nofollow标签

nofollow

今天要跟大家讲的是html代码中的nofollow属性,事实上在一般的中小企业网站中基本用不上,但对于内容更新频繁且数量较大的资讯型网站来说还是很有帮助的。

nofollow是什么意思

先来看看nofollow是什么意思,作为A链接的属性值,nofollow的意义在于告诉搜索引擎不要追踪设置了nofollow属性的链接url。举个例子:<a href=”http://www.abs.com/abc.html” rel=”nofollow”>signin</a>,这里就告诉搜索引擎不要追踪http://www.abs.com/abc.html这个链接。

 

另外,nofollow也可以设置在网页元标记中,如<meta name=”robots” content=”nofollow” />,意思就是告诉搜索引擎不要追踪该页面上所有的链接。这种用法基本很少用到,笔者在本文不做过多的介绍。

从上面的内容我们不难总结,nofollow标签最基本的意义在于告诉搜索引擎不要追踪某些具体的链接。

nofollow怎么用

在明白nofollow的概念和基本意义之后,我们再来看看nofollow怎么用。上面有提到nofollow有两种基本用法,一种是写在meta里,只是这种极少用;另一种则是写在A链接里。

页面上有很多链接,对于这些链接哪些应该使用nofollow标签,是我们需要考虑的,笔者简单的介绍几种nofollow典型的用法。

1.底部链接。尤其是在商城网站中,底部往往会有类似“关于我们”、“投诉建议”、“免责声明”、“帮助中心”等等链接。这些链接对于用户来说有帮助,但是对于搜索来,并没有搜索需求,因此这些页面也就不需要被收录排名,可以使用nofollow。

2.类似“阅读更多”的链接。比如首页文章列表,列出了固定条数后有时候会做一个“阅读更多”的链接,这样的链接方便用户点击,但对搜索引擎来说并没有好的意义,因此链接也可以使用nofollow。

3.正常链接。如果页面内容相对少且更新不是很频繁,那么是否使用nofollow并无区别,如果内容多更新快,为了让更多的新链接被搜索引擎抓取,可以通过设置某些链接(已经被收录的页面链接)的nofollow来促进其他链接被抓取。

关于nofollow的做法,上面说了3种使用到nofollow的情况,这么做的目的是什么,有什么作用,笔者从三个方面说明。

1.节约蜘蛛抓取量。我们知道搜索引擎蜘蛛对网站页面链接的抓取配额有限,对于那些不需要被收录的页面(或者已经被收录的页面)链接我们设置了nofollow,那么就可以把这些配额用到其他需要被抓取收录的页面链接上,这就有利于重要页面的收录。

2.防止权重分散。页面上每个链接都附带了一定的权重,权重是分散的,如果对于那些不重要的页面设置了nofollow,那么就可以把这一部分的权重分配到其他链接身上,提高其他链接的权重。

这里需要注意:关于权重百度官方并没有明确说明,这里只是根据经验讲述。

3.锚文本统一。类似“阅读更多”这样的链接,虽说用户体验好,但是无形中也造成了链接锚文本的多样性,如果文本内容极为相关还行,否则就会导致权重分散。设置了nofollow的话,这个问题可以得到完美解决,又不会影响用户体验。

最后总结:nofollow有其特别的用处,但建议大家不要强求,不要为了nofollow而去制造一些nofollow出来,本站就没有使用。

另外,在友情链接上不要使用nofollow属性,在跟别人交换链接的时候也需要检查对方是否使用了nofollow。

js文件被浏览器缓存的思考

网上找的关于js缓存的问题,由于大多数用户不知道 Ctrl + F5,这一对web开发者来说就像吃饭一样的快捷键,所以感觉这篇文章还是很有可借鉴性的。类似的所有静态资源,其实都可以采用这种方式啊。。。。

js文件被浏览器缓存的思考

我们的用户量大,修改js文件后,用户反馈登录出现问题。实际上刷新一下就没事了。就是因为用户的浏览器使用的还是本地缓存的js代码。

强制刷新一般就会重新去服务器获取新的js代码。但不能让用户每次都这样子去做。

于是我思考一个问题:

如果修改了js文件中的js代码,发布代码到线上后。用户的浏览器使用的还是原来js缓存。所以并不会马上生效。

如何才能让浏览器使用最新的js文件呢?

很多人想到的第一反应是,在在后面加一个时间戳来解决。这样url地址每次变化,浏览器就会请求服务端的js,而不会使用缓存。 这样是解决了。但是会导致浏览器每次都要去请求服务端的js文件。占用带宽。作为技术,能不能有种更好的办法呢?既能避免用户的浏览器每次去请求服务端获取js文件。又能在发布新的js代码后,能够使用最新的js文件? 据说,在问号后面加版本号,现在很多网站都这么干。加个版本号能够解决问题吗? 加个版本号,js有个版本。如果每次发布新的js代码。后面就会附加新的版本号。然后用户加载html页面的时候。版本号附加在在

如果没有修改,那么版本号还是原来的,这样做到了:不发布代码的时候,浏览器使用的是本地缓存。因为版本号没有变化。

现在疑问是,js的版本号如何生成呢?

生成一个日期吗?

当天的日期比较好。

这样的确解决了问题。让用户可以使用。

只不过出现一个新的问题来临了。

js文件加上当天的发布日期作为版本号即可了。

有些人针对url后面带时间戳的做法,会导致浏览器每次请求都不会缓存,因为每次请求时间都会变化,url就变化了,于是浏览器认为是一个新的地址了。

有人针对这个问题的解决办法是:这里URI不是静态,可能会造成某些浏览器不会进行缓存,可以采用伪静态配合URL重写来解决

网上查询资料,纵观大家的解决思路总结如下:

1、修改js的文件名。我觉得这样很麻烦。造成版本系统的维护困难。不建议。除非是完全ftp。不过每次发布都修改文件名称。的确造成维护的时候很茫然,接手的人看到文件名称变化,会比较难维护

2、路径后面加时间戳或者随机数的方式。

一般都是在html模版中使用一个时间戳或者随机数函数生成一个值。

今天和明天的值不同了,重新请求服务器。使用时间戳,每刷新一次html,值都不同。随机数也是一样的

不推荐使用这种方式。

因为这样的方式导致的问题是,每次刷新html,时间戳都是变化的,url就总是唯一的,于是浏览器总是去请求服务端获取js文件,不会使用浏览器本地的缓存。占用带宽,影响速度

3、路径后面加js的版本号。这样是业界比较成熟的做法。

关键是这个版本号,怎么做版本? 难道真的纳入版本系统里面去?不是的。我突然灵感来,想到一种程序员自己控制的办法。

自己主动加时间,如果本次发布,修改了哪几个js文件。那么就在后面加上一个时间点:年月日

如果一天会发布多次对js文件的修改,那么程序员还要精确点。年月日时分秒即可。

如下:

我去看了一下淘宝,发现也是这样一种方式额,不知道对不对? 如下: 15年8月12日补充: 公司有好几千万注册会员,于是第三方应用使用我们网站会员帐号实现在第三方网站登录,需要设计oauth2.0授权的平台,于是需要参考微博的oauth体制。 无意中发现他们的css也是使用年月日来控制 进一步思考: 这种加时间方法是可行。。不是系统生成的时间,不是所有js文件都加。 是不是可以进一步考虑一种办法,用程序来进行开关呢? 自己勾选。如果这个文件修改了。那么就设置为更新。模版中判断,就根据这个开关,把时间戳自动打上去? 不过这样子觉得没必要。因为还没到那么重大。其实初期,完全可以程序手动把日期打上去即可了。 该了什么js文件,就给哪个js文件加,这样已经是折衷了。就跟改代码一样。代码都要修改的,这点改也没多少工作量。 总结思路: js文件的内容修改了,可以加个t参数表明一下日期,用这个日期来作为版本号,看到日期也能知道是哪天发布的。 没有修改js文件根本就不用修改日期。 实践:

如果下一次修改了这个js文件,那么发布的时候,就修改日期

没有修改的js文件,保留原来的值不动即可。

文章来源:http://www.cnblogs.com/wangtao_20/p/4589898.html

dedecms安装后common.inc.php 文件权限一直是777的解决方法

dede common.inc.php这个文件总是777权限的解决方案

今天无忧主机小编给无忧主机客户在免备案空间安装好dedecms之后,过了没有多久客户找过说是后台提示有安全的问题,于是进去查看了一下common.inc.php这个文件是777权限,按照官方的要求必须是644权限,所以去修改之后刷新了一下又变回了777权限。那么经过精心的去发现以及查看资料终于得到了解决方案。
于是乎无忧主机小编猜测是有文件该文件有写入权限,把权限改了444后问题依然。如何解决?通过测试在后台的点击其它页面文件权限不会改变,那就是一登陆主页产生的写入权限。
接下来无忧主机小编就给大家说说如何解决:
找到目录下的dede/templets下的index_body.htm,全部删除测试看看是不是不会有这样的问题了。后来发现有一个js文件不加载就可以了。
下接将文件的这个js 去掉 就可以了

1 <script language="javascript" src="js/drag.js"></script>

其它不会有这问题的,可将这个common.inc.php改为444,后台就不会再有提示,并且不会自动更改了,如图1所示:

220 dedecms安装后common.inc.php 文件权限一直是777的解决方法

在刷新下,发现没有提示安全问题了,如图2所示:

315 dedecms安装后common.inc.php 文件权限一直是777的解决方法

我们在进入空间,看到文件common.inc.php的权限也不变了。那么这个问题也得到了解决。
温馨提示:该技术解决方案的是由无忧主机客服为我们空间客户处理该问题时提供的处理方法,确保在无忧主机能完美实现,因服务较多,客服繁忙,其他主机我们没有过多精力进行大范围测试,不能确保所有虚拟主机都能完美处理,请您理解!

文章来源:无忧主机http://www.51php.com/dedecms/23260.html

至哥们儿的疑惑!

既然你诚心诚意的发问了,我就来大发慈悲的告诉你,我是穿梭在网上的——雷锋!^_^

人们似乎总是怀旧的。于是才有“好汉不提当年勇”的说法。然则,并非每个人都有那般惊天动地的经历,绝大多数人,都是平凡地生活着。但他们,也在怀旧。比如,现在很多人怀念八十年代。因为那时,中国人开始了不同的生活。从买东西要票中走过来的人,发现万元户已然成为鼓励的对象,思想上的冲击,是难以言表的。而咱八〇后,虽然在整个八〇年代还只是小孩,然各种各样的记忆,仍印在心里——这些场景,这些物件,总有一款适合你——经历过的,算怀旧,生得晚的,也可以看稀奇。

56283088_1

 

你用过郁美净儿童霜,但一次见过这么多吗?我还真是第一次见。包装盒上那个小女孩,现在也三四十岁了吧?随便查了下,原来,似乎是姓元,好像是检察官。但并不知真假。大家看看,像不像?

56283088_2

 

 

56283088_3

搪瓷脸盘,那时谁家没几个?还得轻拿轻放,一不小心,就会磕破。白色搪瓷出现放射状的破损,露出里面黑色的铁胎。慢慢就锈穿了。这时,铝牙膏拿便派上了用场,剪下一块,用被单车轮胎的胶水粘到脸盘破损处,照样用。

56283088_4

 

少生优生,幸福一生。世易时移,现在又慢慢放开二胎了。新婚学校,现在谁还要?有几个不从电脑里学成行家啊?

56283088_5

 

泡泡糖,比谁吹得更大。叭,吹破了,嘴巴边上,一条条的胶粘住。还能拿来恶作剧,放同时凳子上之类……还有酸梅粉啊、绿豆冰棒啊……

56283088_6

 

教育要从娃娃抓起。一看那厚厚的眼镜,就知道是人才啊……不过咱见到计算机,至少是一九九七、九八年的事了,毕业后去看小学班主任,在她家里第一次用……

 

56283088_7

谁还记得五讲四美三热爱吗?一个时代有一个时代的口号,但五讲四美,却是不过时的长期任务,只是没有这种旧提法而已。讲文明讲礼貌……任重道远啊。

一老板挖个鱼塘,让用户免费钓鱼,结果……

一老板挖个鱼塘,让用户免费钓鱼,结果……

前几天一鱼塘开张

钓鱼费用是100大洋

老板说没钓到鱼就送一只鸡

于是很多人都去了

回来时每人拎着一只鸡

后来,鱼塘看门老大爷说

老板本来就是个养鸡专业户

这鱼塘就没有鱼

这个方法叫做“去库存”!

过了几天

另一个鱼塘也开张了

钓鱼免费

但钓上的鱼要15元一斤买走

结果还是有许多人去了

奇怪的是

不管会不会钓鱼

都能一天钓几十条

所有人都觉得自己是钓鱼大师

后来,鱼塘看门老大爷说

鱼是从批发市场3块钱一斤买来的

老板的儿子潜在水下

一条一条挂在了他们的鱼钩上……

这个方法叫做“供给侧改革”

过了两天

第三个外地连锁鱼塘开张了

这个鱼塘实行撒网式捕鱼

让顾客穿上蓑衣,戴上斗笠,乘上小舟

扮成渔夫模样,体验农耕文化

鱼塘专门负责派人拍照美图

给顾客发微信朋友圈,提升顾客逼格

最后网到的鱼只要10元一斤

许多人高兴地去了

一网下去就是好几十斤鱼

鱼塘日销售量从500斤上升到10000斤

而且时间周期大大缩短

顾客体验捕鱼很高兴

批发市场也去了库存

后来,鱼塘看门大爷说

这个方法叫做“去杠杆改革“

第四个鱼塘又开张了

受前面三个鱼塘的启发

这鱼塘钓鱼免费

钓上的鱼也可免费拿走

许多人高兴的去了

居然有人钓到了美人鱼!

然后钓鱼的和美人鱼共进午餐

餐饮服务收入比之前钓鱼收入高得多!

看鱼塘的老大爷说

其实美人鱼都是花钱请来的!

这个方法叫做“深层次挖掘客户需求”

最近鱼塘开张比较多

成了热门项目

老板对经常钓鱼的顾客讲

投资鱼塘太赚钱了

半年回本,一年翻倍

为了回馈老顾客,现推出会员激励计划

一次性投入一万八,可享受终身会员待遇

同时享有1%股份,每年分红五千

如果需要钱,还能转让股权

顾客正愁没处投资呢,这么好的项目

不到一上午,一百个人交了钱


后来鱼塘看门大爷说

老板去年跟银行贷款20万,一直逾期

今天终于还上了,欠了半年的工资也发了

这个方法叫“资产证券化”

第五个鱼塘开张当天

媒体广泛报道

很多大腕级的企业家都去取经求道

鱼塘老板招架不住啦

 

最后只得交代:

原来看门大爷才是鱼塘幕后的大股东

主导了每次变革转型的成功

老大爷在接受记者访谈时饱含眼泪哽咽着说:

我以前只是个企业中层,能有今天成就

来源就是不断的学习!


这叫:“知识改变命运,思路决定出路”!

攻下隔壁女生路由器后,我都做了些什么

路由器被蹭网后,会出现的问题

不少人的八卦心窥探欲还是很强烈的,强烈到让人恐惧。所以很多人喜欢看一些八卦文章,比如:如何优雅的窥探别人?

通常这样的文章很容易火起来,因为不少人都喜欢看而且百看不厌。

最近路由安全沸沸扬扬,可以翻阅我微信公众号历史文章查看关于路由安全的文章以及央视当时的采访。鉴于天时地利人和,最后我成功的在现实生活中上演了这样一场精彩好戏,为了满足众人的欲望,我就写成故事。大家好好琢磨琢磨蹭网之后,我们还能做些什么?

声明: 这是一个虚构故事,图片均加万恶马赛克。

———————

记忆中隔壁是一个还算不错的妹子,那天 Z 来找我的时候恰巧碰到了,进屋后跑到我耳边说:“隔壁那个妹子你能不能要到微信,我觉得挺不错的呢~”

这么三俗的场景竟然发生在我的身边,我说等两天我给你消息。

入口

既然是住在隔壁的年轻人,必然不可缺少的就是路由器,于是我打算从路由器当做入口开始这次旅程,将 wifi 打开后发现了三个信号,我首先选择这个名字非常独特的路由: ** LOVE **
http://p1.zhimg.com/91/24/9124c87b6fc9ee16bfa0b17fabd76ef1_m.jpg
根据名字 ** LOVE ** 可大概看出两个人名,应该是男朋友,想到这心里为 Z 君凉了一半。

找到疑似对方入口的地方就好说了,翻出 minidwep(一款 linux 下破解 wifi 密码的工具)导入部分密码字典,开始进行爆破。因对方使用 WPA2 加密方式,所以只能使用暴力破解方式进入,WEP 则目前可以直接破解密码,所以破解 WPA2 加密方式的路由基本上成功率取决于黑客手中字典的大小。

喝了杯咖啡回来,发现密码已经出来了:198707**,于是愉快的连接了进去。

困难

成功连接到对方路由后,下面我需要做的就是连接路由的 WEB 管理界面(进入 WEB 路由管理界面后便可以将路由 DNS 篡改、查看 DHCP 客户端连接设备以及各种功能)。

查看网段后开始访问路由器 WEB 管理界面,发现女神竟然机智的修改了默认登录帐号密码。

TP-LINK W89841N,通过路由设备漏洞进入失败后,想必只能使用暴力美学了。

通过抓取登录路由器的请求,然后遍历帐号密码发送请求查看返回数据包大小则判断是否登录成功,抓到的 GET 请求如下:

其中:Authorization: Basic YWRtaW46YWRtaW4= 为登录的帐号密码

使用 Base64 解密开查看内容:admin:admin

于是我编写了一个 python 脚本将字典中的密码与“admin:”进行组合然后进行 base64 加密,进行破解。十一点的钟声响起,发现密码已经成功爆破出来,成功登录:

查看设备连接列表,发现只有孤零零的自己,看来女神早已歇息,等待时机。

时机

第二天晚饭过后,登录路由管理界面,这时已经有好几个设备了,时机到了:

客户端名

android-b459ce5294bd721f

android-44688379be6b9139

**********iPhone

******-iPad

******-PC

我统计了一下,设备为两个安卓设备、一部 Iphone、一个 ipad、一台个人 PC。

从 iphone\ipad\pc 命名来看,我开始的猜测没错,** 确实是路由主人的名字,直觉告诉我非常大的可能这个路由的主人就是 Z 所心仪的女神。

首先测试两台安卓设备,发现其中一台开放端口很多,隐隐约约中感觉是一台小米盒子或者百度影棒这种产品,这样事情就变得有趣了,因为控制电视可就有机会了。

使用 ARP 嗅探安卓开放端口较多的设备,果然是一个影视盒子:

最后基本摸清:电视使用影视盒子,iphone,ipad 以及一台个人电脑。

寻找

找到了那么多有趣的东西,但我仍然没有忘记 Z 让我帮忙的事情,于是便开始对 iphone 进行了嗅探。

嗅探不一会便找到了有趣的东西,女神的照片在她查看自己相册的时候已经被嗅探到,于是我将照片发给了 Z,他已经激动的语无伦次了。

之后我仍然在等待机会,寻找到对方的微信以便我完成 Z 的愿望,希望出现了。

查看流量日志的时候我发现她在刷新浪微博,于是根据 URL 很方便的找到了微博:

看到生日让我想起了 wifi 连接密码,原来是她的出生日期,心想把微信找到就可以让 Z 安心了。

通过女神新浪微博个性化域名地址和获取到信息加以组合,开始猜测微信帐号,很快便搞定了:

将 Z 的心愿完成后,回过头发现还有很多有趣的事情没做,怎能轻易结束。

电视

随着时代的进步科技的发展,互联网逐渐到了物联网层度,从电视使用各种智能盒子便可以看出。影视盒子通常为了方便调试而开启远程调试端口,盒子究竟安全吗?

去年腾讯安全送的小米盒子让我有幸好好研究一番,扫描端口后发现各种各样的端口大开,其中最有趣的就是 5555 端口(adb 远程调试),使用 adb connect ip 直接可连接设备进行远程调试。

虽然是 Z 的女神,但是我想也可以调侃一番,于是我随手写了一个安卓 APK 程序。

adb 远程连接到盒子,然后 adb install 远程安装 apk,最后使用 am start -n *** 进行远程启动。

我本地使用 Genymotion 建立 android 模拟器进行测试:

当输入 am stat – n *** 敲击回车的那一刹那,脑海中曾想象过千万种女神的表情。

但我始终没有忍下心来给电视播放爱情动作片。

账户

微博、人人、淘宝等等凡是登录过后的帐号全部劫持,通过劫持后的帐号又能看到许多表面看不到的东西。

于是理所当然的账户全部被劫持掉了,当然我并没有去翻阅什么东西,窥探欲早已麻痹。

联系

我想是时候做一个结束了,当然故事过程中还有很多有趣而又精彩的东西实在无法用言语来表达。

于是我没有恶意的拿她的微博发了一条消息:hey,test

通过 MITM 中间人我又向网页中注入了 javascript,大概是这样的:alert(/ 早点休息,QQ:***/);

当然这个 QQ 是我为了取得对方最后联系而注册的:

—————————

追溯源头,其实无非就是很常见的蹭网,连接 wifi 之后设备处于同一个局域网中,于是才能做出那么多有趣的事情,上面这个故事中我未曾有过恶意以及 DNS 劫持,那么我通过路由究竟控制或者得到了哪些信息:

微博
微信
人人网
QQ 号码
手机号(淘宝获取)
照片
电视
More

常说不要连接陌生公开 WIFI,有点儿安全意识。不是没办法黑你,只是你没有被黑的价值。

但是人们总是毫不在意,常说我本来就没啥价值。这样放弃治疗的人令你头疼。

防御

作为小白用户,下面几点做到的越多,你就越安全:

1、路由器连接密码要复杂一点,比如 testak47521test 要比 ak47521 好很多

2、赶紧把路由器管理后台的帐号和密码改掉。90% 的懒人还在 admin admin

3、不要告诉不可信人员你的 Wi-Fi 密码。

4、移动设备不要越狱不要 ROOT,ROOT/ 越狱后的设备等于公交车随便上

5、常登陆路由器管理后台,看看有没有连接不认识的设备连入了 Wi-Fi,有的话断开并封掉 Mac 地址。封完以后马上修改 Wi-Fi 密码和路由器后台帐号密码。

6、More

上面这些方法都搜索的到,防御 ARP 劫持嗅探很简单,电脑上装个杀软基本就差不多,被攻击劫持时候会弹出警告,但是人们却丝毫不当回事儿,出现弹框就把杀软给关掉了,继续上网冲浪。

至于手机上的杀软,还真没啥用,劫持嗅探样样不拦截。

最后 Z 请我吃了一顿大餐 —— 热干面

Joomla 3.4.3版本 SQL注入漏洞分析

0x00 漏洞分析

漏洞触发的代码位于:/administrator/components/com_contenthistory/models/history.php,getListQuery()函数内:

4cf1a8d2985c5601fbdeb7a9e4a09234077751bf

通过SQL及报错信息,可以知道我们的注入payload被插入到了红色框部分内。跟进getState()函数,位于libraries/legacy/model/legacy.php文件内,代码如下:

fdee547d4719f061f5da0cbb08cc60b14d985666

从函数参数和官方注释,可以知道,getState()函数功能是获取一个model的属性及属性对应的值,getState()函数在model的属性未设置时,会执行$this->populateState()来对model的一些属性进行赋值操作。

我们跟进populateState()函数看下做了什么操作,代码位于:/administrator/components/com_contenthistory/models/history.php 内:

fe099e32ddc96330647b1d252557f043a6aafc7c

该函数从用户输入中取出item_id,type_id,type_alias,等几个变量,对当前model的属性进行赋值,可控变量均强制为integer类型,无法利用。顺着最后一行代码:parent::populateState(‘h.save_date’, ‘DESC’),继续跟到父类中看父类populateState()函数的定义,代码位于:libraries/legacy/model/list.php,482行附近:

6b6d229c8fd724ed7d494a0d368530e987005085

getUserStateFromRequest()函数用于将GET/POST中得list[]变量取回到$list中,并在第三个参数中指定该变量类型为array(),继续跟进:

1f82a0a1dfcae93ffa84026ba3c57b76f52a30cc

代码对取到的list[]数组进行了遍历,并做相应的过滤、拆分,可以看到list[select]没有处理逻辑,会进入default的case,后续$this->setState(‘list.’ . $name, $value)代码执行后,导致请求中list[select]变量没有任何变量被直接赋值给Model属性,继续回头看文章最开始的注入位置,此时我们可以控制$this->getState(‘list.select’)的返回值,构造SQL注入。

确认了输入可控的位置,构造有效的payload,还需要解决几个小问题。构造POC:

index.php?option=com_contenthistory&view=history&item_id=1&type_id=1&list[select]=(exp(~(select * from(select md5(1))x)))


会发现出现错误提示 Unknown column ‘Array’:

5b0ddaad6fc53783244ae7406a7f0d802419e492

需要增加list[ordering]=将原SQL中的order by字段值清空。
最终可执行POC:

/index.php?option=com_contenthistory&view=history&item_id=1&list[ordering]=&type_id=1&list[select]=(exp(~(select * from(select md5(1))x)))


执行会返回:

64449bf7f63be7eb106449ea72ff55b63c17b467

此带回显POC成功执行需要一个前提条件,就是传入的item_id 可以在Joomla_ucm_history表中查询到,否则会返回“500 – Layout default not found.”的提示。根据原文描述,可以暴力猜解item_id或使用time_based payload,不再赘述。

0x01 漏洞影响

joomla3.2-3.4.4版本

0x02 修复方案

目前Joomla官方已经跟新3.4.5版本,用户可登陆后台进行更新。
或下载官方升级包升级,下载地址:
https://github.com/joomla/joomla-cms/releases

0x03 参考链接

https://www.trustwave.com/Resources/SpiderLabs-Blog/Joomla-SQL-Injection-Vulnerability-Exploit-Results-in-Full-Administrative-Access/

作者:云盾攻防对抗团队 – 千霄

发表日期:2015年10月23日

WordPress.com 开源,发布桌面端应用

       WordPress.com 在今天迈出了自成立以来的最跨越性的一步。Automattic 公司从头重写了 WordPress.com,将这项计划命名为 Calypso(译者注:卡吕普索,希腊神话的海之女神),从内到外一切都焕然一新。以下为其详细更新内容。

       首先,WordPress.com 现在从 WordPress 核心代码中完全剥离出来。如今的 WordPress.com 是一套管理界面,它同 WordPress 核心代码的交互方式,与其它现有的第三方的界面、应用相同。网站使用 REST API 来完成诸如获取旧日志、推送新日志、上传照片等任务。

其次,WordPress.com 团队还进行了大刀阔斧的改造。WordPress.com 不再沿用 PHP 和 MySQL,而是转用 JavaScript 和 API 调用。也就是说,当你访问网站时,你将从服务器获取一个全功能的、在浏览器中运行的 WordPress 客户端。

       客户端是一个单页应用,这意味着当你在界面上进行操作时,将会很少看到载入界面出现。而且该应用在你的手机和平板上同样适用——因为它采用响应式设计。如果你过去通过后台管理 WordPress,现在你依然可以直接访问后台。但是如果你使用的是托管式 WordPress、安装了 Jetpack 插件的半托管式 WordPress  或者像 TechCrunch 一样的 WordPress VIP,Automattic 还在 WordPress.com 上提供了另一种登录选项。

最后,以上详尽或未详尽的代码都在 GitHub 上托管并开源。你可以查看代码、建立自己的代码分支并且重新使用它,只要你遵循 GNU 通用公共许可证第二版的内容。

       此外,WordPress.com 团队并不满足于此。现在,你可以下载新款 Mac 应用 来访问 WordPress.com。从很多方面看,这款应用很接近 Slack 的桌面应用。它利用网络技术和桌面功能,让你获得与 WordPress.com 一致或相近的体验,还加入了一些好用功能,比如通知。Windows 版和 Linux 版应用正在开发中。

我下载了该应用,并且把玩尝试了几分钟。如果你熟悉 WordPress.com 界面,你会感到宾至如归,因为它们看起来完全一样。不过在 Dock 上有一个应用图标总归更加方面。

       那么 Automattic——这家 WordPress.com 背后的公司,为什么要 不惜代价 地去重写代码?WordPress.com 如今给人的感觉和工作方式宛如一款现代的在线应用。这是它重返战局,迎战诸如 Medium 等新晋挑战者的重要一步。

尽管编辑器还缺乏很多高级用户(包括 TechCrunch 作者们)的常用功能,WordPress.com 已经算得上是一款简洁高效的写作工具,它应该会吸引到一批 Medium 上的写作者。

据统计, 今天全球约有 25% 的网站运行着 WordPress。这是一个伟大壮举,WordPress 不再是一家青涩、急躁、总想着对抗巨头的创业公司,它自己已然成为了网络巨头。通过今天的举动 Automattic 向人们证明了,它对行业环境以及潜在威胁仍然有着清晰的评判。对于 WordPress 的未来,这亦是一个鼓舞人心的举措。

 

全世界最富有的七个人 钱都是这样赚来的!

转自微信公众号 O2O商学院

其实很多亿万富翁都乐于分享自己的经验,如果你用心去聆听,并且能够吸收其中的精华,对自己的事业和人生都会有很大帮助。

1.比尔·盖茨 微软创始人

“你知道吗?在1975年我们创办微软公司的时候,我们说要让每个家庭,每张办公桌上都有一部电脑。其实当时就连我们自己都不知道有可能会发展成为一家大企业。事实上,每次我都在想,哦,上帝,我们能不能把规模再翻一番?”

创建一家巨头企业,并不是盖茨的终极目标。他充满了激情,有着创建美好未来的愿景,并且积极去实现这一切。

2. 史蒂夫·乔布斯 苹果创始人

“成为世界上最富有的人,对我来说一点儿都不重要。而每天晚上上床之前可以对自己说,我们做了一些无与伦比的事情,这对我来说才是最重要的。”

这是乔布斯众多名言中的一句,或许也是他给出过最好的一条建议。和比尔盖茨一样,乔布斯希望可以改变这个世界,让这个世界可以变得更好。不忘初衷才是他最看重的。

3. 西尔维斯特·史泰龙 演员,作家,

导演“在这个世界上,我不是最富有的人,也不是最聪明,天赋最好的人,而我之所以能够获得成功,是因为我一直在前进、前进、前进。”

史泰龙不是含着金汤勺出生的人。在他推出电影《洛奇》之前,只主演过一部电影,实际上,史泰龙自己写了《洛奇》的剧本,也是这部电影的主演和导演。

4. 孙正义 软银集团董事长

“最初所拥有的只是梦想和毫无根据的自信而已,但是所有的一切都从这里开始。”

孙正义在创建软银公司的时候,没钱也没有经验,同时也没有生意上的关系。唯一仅有只是热情、激情,还有一个成功的梦想。后来,他慧眼投资了阿里巴巴。

5. 阿里科·丹格特 商业巨头

“如果你没有雄心壮志,那么就不该活在这个世上。”

Dangote认为,雄心才是一个人“内在最重要的东西”,它决定了你是一个什么样的人,让你与众不同。正是雄心,让他获得了成功,而且在寻找合作伙伴或招聘员工的时候,他也很看重这一点。

6. Reginald Mengi IPP集团主席

“我是在贫穷中长大的,但是我一直认为这是一种挑战。好的一面是,如果你愿意付出代价,就能克服挑战,而这个代价就是努力工作。”

Mengi所获得的机遇从来不是别人递到他面前的,而是通过自己的辛勤工作,并努力寻求获得的。

7. Carlos Slim Helo 商业大亨

“竞争会让你变得更好,永远竞争下去,你就会永远变得更加出色,即便你的竞争对手获胜,你也会有所成长。”

Helo是墨西哥最富有的人,这就是他通过自己的经验教训给出的建议。Helo在做生意的时候有自己的原则,他喜欢健康的良性竞争,而不是故意拆其他企业家的台。