Openfind 2011 Solution Day 筆記

上週四（7/7）去參加 Openfind 2011 Solution Day，活動辦的還不錯。昨天收到行銷寄來的 mail，說是完整的 session 投影片和錄影可以到他們家網站線上觀看，分為影片欣賞和簡報下載。

我覺得最精采的是第二個 session：CEH (白帽駭客) OpenBlue 雲端入侵-郵件攻擊與密碼竊取，在現場講師直接用 VM demo 受害人打開惡意的電子郵件，點了惡意的 URL 或者圖片以後，電腦就被植入後門，此時攻擊者便可為所欲為，包括鍵盤側錄、即時螢幕擷取、web cam 擷取等等。現場看到 demo 真的非常 high 阿！

以下列出一些心得：

• 由於 GPGPU 愈來愈盛行，加上 CPU 的運算能力仍在持續提高，現在長度在 16 位以下的密碼都不夠安全，很容易被暴力破解。參考：T客邦-iPhone 密碼被公開、GPU 極速破解密碼，教你建立高強度密碼。（看來近期內要趕快研究一下怎樣用 LastPass 或者 KeePass Password Safe 之類的解決方案了，重點是要支援 SmartPhone 阿！在 SmartPhone 上面要輸入複雜密碼實在太困難了。）
• 社交工程電子郵件攻擊非常難擋，郵件內容看來完全沒有異狀，被植入後門之後電腦也完全不覺的有任何異常，真的是無聲無息。另一點是，印象中 demo 的時候受害的 pc 都是 Win XP，如果可以的話應該盡量避免使用這款全世界最危險的 OS。
• web cam 平常關閉是沒用的，一旦被入侵，攻擊者可以直接由遠端下指令啟動 web cam，因此除了把網路線拔掉，從此只用電腦玩單機遊戲這種超激進的作法以外，最好的作法就是 web cam 沒有用的時候要用厚的黑紙貼起來，這樣才不會被偷拍，而且使用 web cam 的時候要衣著整齊。當然如果愛用 web cam 玩一些很刺激的視訊的人就只好自求多福了。家中有女性的人一定要特別注意這一點。
  2011-07-15：毛哥在 buzz 的回應提醒我，web cam 應該分為外接式和內建的兩種。外接式的web cam沒有使用就應該拔掉，內建的 web cam 沒用的時候最好要貼起來。
• 2011-07-15：現在很多駭客會把病毒/木馬放到 Dropbox，因為 Dropbox 不會對用戶上傳的檔案進行掃毒。因此除了 email 中的 MS Office 附件 (e.g., .doc, .ppt, 圖檔) 可能很毒以外，在 Dropbox 上公開 share 出來的檔案也可能很毒。我覺得以後這些檔案最好都用 Google Docs 來打開會比較保險，畢竟每個 tab 都是跑在一個 sandbox 裡面，萬一真的開到有毒、又沒有被防毒軟體偵測到的檔案也比較不會造成系統被感染。

再來是第三個 session：導入零負擔，個資防護及訊息保全大揭密，也不錯。講師講的很流利，對個資法也蠻熟的，等到法令正式頒佈實施以後對於軟體廠商來講會產生很多商機，所有公司都應該及早全面檢視相關的議題，這種東西突然要趕工是做不完也做不好的。

以上是今年參加 Openfind Solution Day 的簡單心得，希望明年有機會再去參加 :D

[ASP.NET] 在 Web 專案中進行排程工作

其實在很久之前坎尼就想研究這樣的東西了
概念大致上曉得，只是一直沒時間去實作出來
這幾天有些時間就去翻了一下資料，把它實作出來

坎尼在以前公司的做法有下列幾個：

另外再寫一個 windows service 來執行

用 Windows Form 寫成 AP，再用內建的工作排程來定期執行

不多說，馬上進入正題

---

I. 概念

排程這個東西，就是指定好時間，時間一到程式就會自動去執行
在 ASP.NET 裡，坎尼主要是利用 System.Thread.Timer 來進行排程設定
其他說明可詳見Bill叔所寫的 <三種時間人>
接著在 Timer callback 事件中撰寫要系統做的事 (抓正妹圖之類的…)

II.實作

首先，新增一個 Web 專案 (似乎是廢話)
在專案中新增一個 Global.asax 檔
 
接著宣告一個全域的 Timer
並在 Application_Start 中加入要進行 callback 的事件
最後再設定 Timer 的週期，本範例中是以 5 秒當作一個循環 (50000毫秒)
(第3個參數為 Timer 要在多少毫秒之後啟動事件
範例中所做的事就只是把時間寫進一個文字檔
(由於 sample 沒做好處理，很容易當掉 XD

進行測試，在 Visual Studio 中按 F5 (讓虛擬伺服器啟動)

注意，由於是另外開個 Thread
所以在伺服器關掉之前都會持續進行 callback事件
 
測試結果，果然有成功的在 background 進行寫時間 log 的動作

III. 小結

本次的範例下載
有興趣的人可以回去研究如何應用 :p

[NPOI] 輕鬆地將 GridView 匯出成試算表-修正版

之前坎尼有發佈一版 Web User Control，讓 GridView 可以輕鬆匯出成 Excel
(詳見 [NPOI] 輕鬆地將 GridView 匯出成試算表)

後來有讀者發信來問：「為什麼他匯出的檔案標題列都是空白?」
經一番追查之後發現，原來是 GridView 啟用了排序 (AllowSorting)
HeaderText 會自動轉換成 LinkButton
以至於原本抓取標題部分的程式碼只抓到空白文字

於是坎尼稍做了一下修改，如下圖紅框所示
 
可以看到，不論標題是否可排序
新版本的 Web User Control 仍可以抓取標題文字
 
 

請有需求的讀者到 這邊 下載

在自行撰寫的 DNN Module 中使用 & 列印 Microsoft Chart Controls 的注意事項

前陣子因緣際會的又摸了一下 DNN，根據官網上的 Basic DotNetNuke Module Development Video 教學影片的說明開始自行撰寫模組，並且在模組中用到 Microsoft Chart Controls 來呈現圖表。過程中陸續遇到一些問題，以下是解法。

問題一：error: Invalid temp directory in chart handler configuration [c:\TempImageFiles\]

這個問題挺好解的，因為錯誤訊息很明確，直接 Google 就可以找到解法，重點在於自己新增的 DNN Module 專案（位於 C:\inetpub\wwwroot\dotnetnuke\DesktopModules\[YourModule]）下的 web.config 是找不到 Chart Handler 的設定的，必須要去找最上層的 DNN 站台的 web.config，位置是 C:\inetpub\wwwroot\dotnetnuke\web.config：

找對 web.config 檔案以後，把多餘的「c:\TempImageFiles\」設定刪除，或者指定一個確實存在且有寫入權限的目錄即可。

問題二：無法列印 Chart Control 圖表，列印時會看到表示圖檔不存在的紅色叉叉


經過一番搜尋，最後在 StackOverflow 找到這篇文章，雖然該文作者說在 web.config 的 ChartImageHandler 設定中加上「deleteAfterServcing=false」對他們的專案偶爾也沒作用，但我試著加上這個設定之後，測試到目前為止每次都可以順利的把圖表列印出來！而從這個問題一直到現在都沒人回覆的狀況來看，大概只有極少數狀況在加上此設定以後仍然無法確保100% 正確的執行結果，因此有需要列印 Chart Control 的內容的話，加上這個設定就沒錯啦！（看起來就是叫系統不要把暫存圖檔立刻刪掉）


以上就是最近在 DNN Module 中使用 Microsoft Chart Control 遇到的問題 & 解法，有了這次的經驗，下次開發就可以更順利啦！

IIS 7.5 設定網站的實體路徑執行身分 (Physical Path Credentials) 時，AD 帳密輸入錯誤不會跳出錯誤訊息

去年底去恆逸上了一堂 SCVMM 的課（Microsoft Official Course 6331A: Deploying and Managing Microsoft System Center Virtual Machine Manager），在實作的過程中一切都很順利，但是在我要打開 SSRS 的報表網站來檢視報表時，卻一直跳出類似「網站無法存取」的錯誤，但是老師和課堂上其他同學的系統都很正常。

接下來就是恐怖的 debug 時間，老師親自過來在我的機器上測試各種設定，從 IIS、SSRS、AD、VMM Admin Console 一路到 SCOM 都查遍了，甚至把 VMM Admin Console 和 SCOM 砍掉重裝，問題還是沒有解決。最後花了將近一個半小時，終於找出問題！原因就是在設定 IIS & SSRS 網站的時候，設定「實體路徑執行身分 (Physical Path Credentials)」時要輸入 AD 的帳密，此時如果帳密輸入錯誤，IIS 是不會跳出錯誤訊息的！！！

「實體路徑執行身分 (Physical Path Credentials)」的位置在哪裡呢？以 IIS 7.5 為例：

在每個網站的 Features View 裡面，右邊的控制面板中間可以看到「Advanced Settings」：

點進去以後，可以看到「Physical Path Credentials」這個設定值：

在接下來的設定畫面中，要把預設的「Application user (pass-through authentication)」改為「Specific user」，並在此處輸入 AD 的帳密：

問題就是出在這一步！！

在這裡雖然 Password 有 confirm 的機制，但是若連續兩次輸入錯誤（暈倒），IIS 就會接受這個錯誤的密碼，而後當網站實際上執行，以這組帳密去驗證時就會失敗，進而產生「網站無法存取」或者「存取被拒」之類的錯誤訊息了！

雖然說密碼連續兩次輸入錯誤還蠻扯的，但是若是跟我一樣習慣盲打的人，有時候用到一支鍵位配置跟平常習慣的鍵位不一樣的鍵盤時，是可能會連續兩次輸入錯的一模一樣的字串的。特別是這個欄位是密碼欄位，在畫面上看不到實際輸入的內容，因此當系統顯然沒有真的嘗試用此組帳密進行驗證，只是單純用 confirm password 的方式驗證時，就會發生這次的狀況了！

在這樣的狀況下，最好的作法就是設定完 AD 帳密以後，馬上試著打開網站看看能否正常運作，如果發現問題的話才有機會回頭檢查設定是否有誤。


後記：

雖然我只有用 IIS 7.5 來驗證，但是既然最新版的 IIS 都會有這問題，那麼舊版應該也是免不了的 ~

[無用小工具] 大樂透對獎程式

好久沒寫這個系列了
這次剛好台灣彩卷要開出100組的對獎號碼
所以坎尼順手寫了個對獎小程式 (不然100組會對到眼花吧…)

---

首先是 程式下載

以下為使用說明：
解壓之後會有三個檔案
 
Lottery.exe => 主執行檔
l.xml => 預設的開獎號碼 (可用 notepad 打開修改)
numbers.xml => 對獎號碼範例 (可用 notepad 打開修改)

預設的開獎號碼 (l.xml)

數字用空格分隔，記得特別號要放在最後一碼

主程式畫面

加入對獎號碼有三種方式

1. 手輸 (用空格分隔)
2. 用選的
3. 載入 xml 檔

圖中藍色框框則為對獎按鈕
 
手輸，記得用空格區隔數字

用選的，選完六個號碼之後按下確定即會把選好的號碼回傳

xml 檔格式，可開啟範例檔以同樣的方式進行修改
一樣是用空格來分隔數字

對獎

確定載入自己的對獎號碼之後，即可進行對獎動作
點下右下方的對獎按鈕，程式就會自動執行對獎
並將結果顯示在號碼後方的狀態欄中 (如下圖)
 
以上為自得其樂的中頭彩示範

不過現在台彩網站似乎流量爆了
要得到開獎號碼可能要再等晚一點 XD

如何升級 MacOS X 內建的 vim

雖然說 MacOS X 內建的 vim 版本已經很新 (v7.2, 2008-08-09)，但有些軟體會利用到最新版 vim 的功能 (v7.3, 2010-08-15)，如T客邦介紹的：vmail (see Prerequisites)，就一定要使用 vim v7.3 才能正確運作，那麼要如何升級 MacOS 中內建的 vim 呢？

我一開始先找到了這個參考資料，直接下載最新版的 vim source code 來自己編譯 & 安裝，雖然步驟看來沒啥特別，但是後來沒有成功。又經過一番搜尋之後，我發現一個更簡單的作法，只要安裝 MacVim (a port of the text editor Vim to MacOS X，之後再開啟 terminal 修改 home 目錄下的 .profile 隱藏檔，加上以下兩行即可：

alias vim=/Applications/MacVim.app/Contents/MacOS/Vim
alias vi=vim

簡單說就是把vim這個指令作為MacVim執行檔的alias就可以了。要確認此 alias 是否生效，要先登出再登入 OS，再於 terminal 執行 vim --version 來確認目前執行的是最新版 (v7.3) 的 vim。

有些資料會寫說在 home 目錄下新增一個原本不存在的 .bash_profile 隱藏檔（跟一般 linux 一樣），而後在 .bash_profile 中加上那兩行就可以，但我測試以後發現 .bash_profile 沒有作用，在 Mac OS 中還是直接修改 home 目錄下原本就已經存在的 .profile 隱藏檔比較正確&有效。

參考資料：

• macvim 官網