第136章 论坛程序漏洞（2/2）

这么巧？许毅原本认为既然米歇尔是美国大学的教授可能会在麻省理工有朋友在所以也许能帮忙做个推荐却没想到事情这么巧合原来米歇尔就是麻省理工的教授。这样的话事情就好办多了。许毅并不担心自己的身份公布出去。因为一直以来他和米歇尔都是进行技术交流而已完全是学术上的没有什么不可告人的。西医这么决定其实还有他另一层打算：和米歇尔这种教授级人物打好关系他就可以用最快的度接触到美国大学里面的最前沿的理论知识。毕竟如果只是在学校中规规矩矩的学习真正的高深的内容是学不到的那些都是基础中的基础只有和导师级人物打好关系以后跟在他们身后做一些研究项目这样才可能接触到真正的知识。

米歇尔的水平很高许毅推测他在大学里面的地位应该不低有了他做担保几乎可以说是万无一失了。

现在主要要准备的是苏兰她是决定到美国进修服装设计。当然论进修服装设计还是法国伦敦等地方比较好但苏兰去美国的主要原因并不在于此所以在这方面也就不怎么重视了唯一的条件是：离麻省理工最近。

在此期间许毅和ae1ina的定期比试并没有停止许毅的xyz现在水平还差ae1ina很多但每次xyz都有所进步在ae1ina手下能坚持的时间变长。终于有一次xyz和ae1ina战成平手相持半个小时都没有分出胜负。这么多次都被蹂躏的许毅自然是喜出望外不过他很快就反应过来：这次ae1ina好像不在状态水平感觉下降了很多。想了想许毅给ae1ina去了一封电子邮件问她：“ae1ina你是在故意让我吗？请你全力以赴吧虽然我现在还斗不过你但我迟早会赶上来的。很快的我相信！”

ae1ina的回信很简单：“你还是赢了我再说大话吧。最近我都会用我那个比较低级一点的角斗士和你决斗。”

于是ae1ina的战斗力又恢复到和xyz差不多的水平两者相斗互有输赢。这样一来许毅虽然觉得脸上有些挂不住但偶尔赢上一两次获得的ae1ina源代码对他的启还是很大的所以后来他也就没再提起这件事了只是在心中暗将自己的xyz和以前的ae1ina相比较等他觉得xyz已经成长到有足够战斗力的时候他就会要求和那个水准的ae1ina决斗。

由于黑客学院论坛程序（hanet）的开源很多人都可以仔细研究其源代码所以越来越多的代码漏洞被暴露出来有好几个还是非常严重的程序漏洞好在这些漏洞最先是被黑客学院的成员及时现的所以程序很快就升级好了黑客学院并没有受到什么影响。但这就害苦了那些用hanet的站长们他们现在每天起床的第一件事就是打开黑客学院的网页看看今天有没有最新的安全补丁。考虑到这个问题hanet的维护小组成员后来在论坛程序中加入了一个即时通知模块即如果有最新补丁出现程序就会自动提醒各站长下载下载等手续全部是自动安装只需要点击一个按钮就行。

不过补丁总是在漏洞现之后才出现的虽然维护小组一直在努力寻找程序的漏洞并及时修正但遗漏总是有的。黑客就是这样他们往往能够将程序员的失误无限的放大一个看似很小得不能再小的失误在他们手中往往就会成为致命的漏洞。所以后来黑客学院还是遭到了一些有段程序方面的攻击。当然都不是很严重在管理员和维护人员的及时响应下没有造成多大影响。黑客学院还专门表了声明对此类漏洞现者给予鼓励和表彰。当然黑客学院提倡的是现者直接邮件联系维护小组。不过大家显然没有响应他们这次的倡议往往是一有新的现先试验的第一对象就是黑客学院这让维护小组的成员们有些哭笑不得。

此类攻击中最值得一提的是hanet的“短消息漏洞”。那是在五月份的一个午夜黑客学院的论坛突然变得非常缓慢起来。打开一个页面都需要很长一段时间有时候等上很久却没有得到响应很快这种情况越来越严重很多用户最后已经登6不上黑客学院了。虽然时间是午夜但由于大多数技术人员都是夜猫子所以此刻反而是访问流量的最高峰。现在出现这种情况大家的第一反应就是———黑客学院被人入侵了！

维护人员立刻着手开始检查服务器中各种服务察看有没有可疑进程察看防火墙日志察看其他服务日志……一系列的检查下来现并不是服务器本身的问题也没有遭到任何人的入侵。但现在服务器资源正被大量消耗是事实。最后他们终于现罪魁祸正是论坛程序的原因。经过进一步确认现有人正在利用论坛程序的一个漏洞对服务器进行攻击。

管理人员及时做出反应将论坛关闭取而代之的是一个论坛关闭通知页面对外称：论坛程序又被人现新漏洞对方正利用此漏洞对论坛动攻击故出现了这重情况请大家暂时稍等技术人员正在努力排除故障……

原来是这样！大家恍然大悟纷纷猜测这次到底又被现了什么漏洞到底是哪个牛人这么厉害竟然让黑客学院挂牌。对于黑客学院的解释他们都很理解黑客学院作为国内技术方面的权威对此类情况并不故意隐瞒相反每次都如实公布出来让大家知道这点并没有降低大家对黑客学院的信任相反大家对黑客学院的这种做法还非常赞赏。作为技术人员他们都相信——理论上是不存在绝对安全的系统或程序的。由于个人原因或者时代的原因总是存在一些在所难免的疏忽一个小遗漏往往就会造成非常严重的后果。就算是你编程的时候是正确的可是随着技术的展以前的牢固的安全措施在后来也许就变成了“漏洞百出”。所以说出现此类情况是不可避免的更何况这是在论坛程序开源之后。大家都非常理解除非是那些什么都不懂只知道看热闹的菜鸟。

最后查明这次时间是因为论坛的短消息送次数未限制而引起的。在源代码中对论坛短消息的送时间间隔并没有做限制也就是说可以连续不断的给某个用户送短消息——消息炸弹。用简单的脚本程序编写一小段代码然后运行持续送短消息时间长了之后服务器的空间和资源都会被严重消耗严重时还会导致拒绝服务的出现。

查名原因之后就很好处理了短消息送的时间间隔可以用php的sessIon或者cookIe来限制只加入少少的两三句代码就将这个漏洞补上了。

黑客学院很快就恢复了正常运行。技术人员宣布在两天之后将公布此漏洞。这是黑客学院的管理这两天时间是用来给各大网站站长以反应的时间在此期间各论坛管理员都会收到打补丁的通知这样可以尽大限度的减少此漏洞带来的损失。

这个漏洞的现者并没有出现危机被解决之后他就消失了虽然大家都想知道他是谁。当然大家也认为这个漏洞的技术含量过低也许正是因为这个原因他才没有出来“表示负责”。