OSDC.tw 2010 Day#2, 2010/04/25

隔天早上的第一場是在國際會議廳裡聽 Dustin Whittle 的 "Building a platform from open source at Yahoo!"。

Yahoo 本身除了使用 open source 平台(在前端應用到的有 Apache, PHP, ysymfony / YUI),本身也提供許多開放的 API 供使用。Dustin 認為多數的程式速度緩慢的原因不在程式語言本身,而是在應用程式的設計。就開發時的技術選擇來說,Opensource software = Free (e.g. Apache/PHP/MySQL), Amazon Shared Infrastructure = Cheap (e.g. S3 Storage + Cloudfront),此外可以利用 YUI 來處理跨瀏覽器的外觀問題。




第二場是 Yoshinori TAKESAKO (Cybozu Labs) 的 "Polyglot Programming and Web Security",Yoshinori 是很幽默的日本人,一開始就先用台語問大家 tea time 吃飽沒。 XD

這場提了 Web Security,也就示範了幾項攻擊手法──

(1) 首先是示範了幾張 JavaScript.GIF,可在 IE/Firefox/Opera 執行,這些圖檔是 valid 'GIF89a' file 也是 valid 'JavaScript' file,光是驗證是否是正確的 GIF 格式就放行是不夠的,其中的 JavaScript 可能帶有惡意攻擊語法。
(2) Remote File Inclusion (RFI 攻擊),可執行任何的 shell code 脆弱性語句。
(3) IE bmp XSS 攻擊:如果是被破壞格式的 BMP,在 IE 會自動執行其內容顯示原始碼出來。

他提到增加一段 php code 可以使 JPEG 等圖片的攻擊碼無效:<?php die;?> <plaintext>。另外,他也設計了一個名為 mod_imagefight 的 module 來防止圖片插入的攻擊法。

有一張投影片讓我印象滿深刻的,使用了大量的符號來產生 code,可以被 Ruby/Perl/JavaScript 執行,利用 XOR 來產生文字,遠遠看長得像顏文字一樣,如果是攻擊碼的話很難直接辨識出來啊。

20100424-0425 OSDC.tw 2010





接著聽了李圭烽 (Thinker)、蔡志展 (Rex)、黃昭龍的 "SVG-based Application Development"。過去因為主要的輸入來源是 keyword & mouse,UI 一直都是 windows/menus/radio buttons/checkboxes/icons,但是現在想要把產品應用在不同的平台或機器上(例如在電視上的設備、平板電腦、觸控面板等),有時就需要特殊的 UI;拿傳統的 UI framework 要作給上述的特殊的應用設備時,會有無法直接套用的問題。

整個架構中使用到 Dbus(可以觀察目前進出的 method 等等)、Gecko(畫出向量圖片)、XPCom(現在在 web 寫的 JavaScript 可能無法針對 socket 等作控制,有了這個就可以利用 JavaScript 來控制這些物件)。考慮 security issue,限制 widget 要有簽章才能夠做較大權限的操作。

台下詢問把這個工具使用在 tablet 設備上,是否可能比 firefox 更浪費資源?Rex 和 thinker 的回應是,firefox 還會再額外 load 一些 compement,所以應該會更耗用資源,這是一個小程式,所以理應較節省資源,而且還可以依情況客製化要載入的內容,不過在有 GC 的平台不免會在 runtime 時增加資源的耗用。



下午的 session 因為身體不舒服,體力不支就沒繼續參加了……明年要去之前應該要先跑個馬拉松再來啊。 Orz

今年參加的心得是──
(1) 中研院的場地超正!抽屜位置就有插座和電源線真是太正點了,好適合工程師啊這場地~
(2) 台北天氣真是冷,以後參加活動遇雨保暖衣物要多帶一倍,差點冷死在會場裡。
(3) 講英文的場次好多,太久沒聽英文耳朵又變好鈍,真想申請同步口譯。 Orz


活動投影片可至 slideshare 中 osdctw2010 這個 tag 下載;活動錄影則請到 OSDC.tw 2010 官網下載



【OSDC.tw 2010 活動資訊】

OSDC.tw 2010
2010/04/24 (a.m.09:00 - p.m. 05:30) - 2010/04/25 (a.m. 09:00 - p.m. 05:30)
中央研究院人文所國際會議廳

arrow
arrow
    全站熱搜

    小草 發表在 痞客邦 留言(0) 人氣()