- PHP-CGI Windows平台远程代码执行漏洞(CVE-2024-4577)
李火火安全阁
漏洞复现phpXAMPP开发语言
文章目录前言声明一、简介二、漏洞描述三、影响版本四、漏洞复现五、漏洞修复前言PHP在设计时忽略Windows中对字符转换的Best-Fit特性,当PHP-CGI运行在Window平台且使用了如下语系(简体中文936/繁体中文950/日文932等)时,攻击者可构造恶意请求绕过CVE-2012-1823补丁,从而可在无需登陆的情况下执行任意PHP代码声明请勿利用文章内的相关技术从事非法测试,由于传播、
- 代码审计学习路线
白帽子技术分享
python网络安全代码审计
学习代码审计分以下四部分一.编程语言1.前端语言html/javascript/dom元素使用,主要是为了挖掘xss漏洞,jquery主要写一些涉及到CSRF脚本使用的或者DOM型XSS,JSON劫持等2.后端语言基础语法要知道,例如变量类型,常量,数组(python是列表,元组,字典),对象,类的调用,引用等,MVC设计模式要清楚,因为大部分目标程序都是基于MVC写的,包括不限于php,pyth
- window xp系统安装php环境_Windows XP平台上搭建PHP环境
weixin_39618730
windowxp系统安装php环境
WindowsXP平台下搭建PHP环境刚接触PHP那会儿,觉得搭建PHP的运行环境实在是太难,后来发现有现成的套装软件可用,高兴的不得了。最开始因为想建站,所以接触到了DedeCMS,织梦公司还蛮体贴,提供了一个和DedeCMS配套使用的PHP环境搭建套装软件。后来,又接触过像XAMPP,AppServ等软件,AppServ现在还在用。虽然这类套装软件十分好用,但是也存在明显的不足。套装软件里面包
- php代码审计学习路线
子非鱼999
杂记php学习开发语言
学习PHP代码审计可以帮助你识别和修复PHP应用中的安全漏洞,保护应用免受恶意攻击。以下是系统的PHP代码审计学习路线,从基础到高级逐步提升:一、基础阶段:打好编程和安全基础PHP基础学习PHP语言的基础知识,如变量、数据类型、数组、字符串处理、函数、类和对象等。学习PHP的常见操作:文件处理、会话管理、数据库操作(如MySQL)。推荐资源:PHP官方文档PHP相关学习网站(如菜鸟教程)Web安全
- [BUUCTF][极客大挑战 2019]PHP
朋克归零膏
CTFphplinuxfirefox
备份根据提示应该就是网站备份文件能被爆破出来随手写了个爆破脚本,基于御剑字典,只供学习使用importrandomimportrequestsimporttimefrommultiprocessingimportPooldefmultiScan(target,file_name,pool_num,delay):local_pool=Pool(pool_num)dirs=get_path_dict(
- BUUCTF [极客大挑战 2019]Secret File 1
THEMIScale
还差一步这道题就出来了在想了在想了别骂了别骂了打开题目后一片黑这个时候根据经验有事没事先ctrl+a安排一下果然有问题在最下方有一个连接打开链接出现一个按钮按他就完事了并没有出来什么用burp拦截后发现提示:secr3t.php打开后提示flag在flag.php中并且给了一串php其中stristr函数不用绕过直接干就完了然后就是啊哈!你找到我了!可是你看不到我QAQ~~~我就在这里这边最后请教
- 安全见闻(3)
Bulestar_xx
泷羽sec学习笔记安全网络windows
摘要脚本程序主要讨论的是安全性问题。脚本语言因其源代码可见、可复制性高而具有脚本性质。常见的脚本语言包括:-Lua-PHP-Go-Python-JavaScript脚本语言可以编写病毒和木马,例如Python可以编写木马,PHP可以编写一句话木马。编写脚本病毒需要了解脚本语言基础和病毒构成。宏病毒(macro)可以通过工具如metasploit生成,并植入Office文件中,如Word和PPT。宏
- PHP代码审计学习02
玄客)
学习
目录代码审计一般思路Beescms代码审计(upload)Finecms基于前台MVC任意文件上传挖掘思路CLTPHP基于thinkphp5框架的文件上传挖掘思路今天来看PHP有框架MVC类,文件上传,断点调试挖掘。同样还是有关键字搜索和功能点抓包两种方法来找到文件和代码段,最后进行分析。经过这两天的代码审计学习,有了一些认识,那就是渗透测试相当于是黑盒测试,而代码审计相当于是白盒测试,代码审计会
- BUUCTF--[羊城杯 2020]Easyphp2
Uzero.
进入后的页面根据题目提示我们可以知道这是一道PHP代码审计的题所以使用伪协议查看源代码,这里使用的是两次url编码绕过/?file=php://filter/read=convert.quoted-printable-encode/resource=GWHT.php/?file=php://filter/read=convert.%2562%2561%2573%2565%2536%2534-enc
- BUUCTF:[ISITDTU 2019]EasyPHP --- rce 超级异或,,,吐了,,,字符之间异或, 成型的异或payload!!!
Zero_Adam
BUUCTF刷题记录RCEpython
目录:一、自己做:二、学的的三、学习WP1.这里先来个不限制字符个数的关于这个%ff以及异或的事情,咱们好好唠唠1.生成异或中间值的python脚本2.看有字符限制的时候,:参考:末初一、自己做:0xd)die('youaresoclose,omg');eval($_);?>过滤了,不少,我一般碰到rce的题,就看自己的笔记,然后把payload一股脑的网上怼,,,二、学的的正则看不明白的时候,可
- Pycharm、IDEA等汉化教程
neo_will_mvp
Python和GO实操生产代码Pycharm汉化Pycharm汉化
本汉化教程对jetbrains全系列可用:IDEA、Pycharm、WebStorm、phpstorm、AndroidStudio、GoLand、RubyMine、CLion此汉化无副作用,绝对安全2019.02.03今天对汉化教程进行改版,解决原教程的汉化会导致setting无法使用和Structure无法显示问题此教程中使用的汉化包并非本人所产,我只是个搬运工。作者为:平方X,感兴趣的同学可以
- 2025.2.1——七、Web_php_unserialize 代码审计
然然阿然然
“破晓”计划第一阶段训练php网络安全学习安全网络
题目来源:攻防世界Web_php_unserialize目录一、打开靶机,整理信息二、解题思路step1:代码审计step2:绕过漏洞1.绕过__wakeup()2.绕过正则step3:脚本运行三、小结一、打开靶机,整理信息熟悉的代码审计,根据题目名称,还涉及到反序列化知识点二、解题思路step1:代码审计file=$file;//将传入的file参数赋值给当前对象的$file属性}functio
- 【SRC排名】安全应急响应中心SRC上榜记录
差不多的张三三
src安全
2023年新氧第三https://security.soyoung.com/top合合第四https://security.intsig.com/index.php?m=&c=hall&a=index2024年好未来第一https://src.100tal.com/index.php?m=&c=hall&a=index(官网是总榜,年榜只有海报)爱奇艺第八https://security.iqiy
- php的使用及 phpstorm环境部署
aaaweiaaaaaa
phpstormandroid网络安全web安全
php语法环境搭建:在小皮中新建网站,注意先填写域名再点击选择根目录。成功创建网站后,打开发现forbidden,因为新建的网站里是空的,需要新建index.php文件---->在Phpstorm中左上角打开文件,打开那个文件所在的文件夹---->新建一个php文件叫index.php.这时候已经可以在小皮中打开面板了,但是在storm中无法打开------>在storm中文件->设置->部署中新
- docker直接运行arm下的docker
张文君
dockerarm开发容器
运行环境是树莓派A+处理器是arm32v6安装了docker,运行lamp编译安装php的时候发现要按天来算,于是用电脑vm下的Ubuntu系统运行arm的docker然后打包到a+直接导入运行就可以了第一种方法sudoaptinstallqemu-user-static导入直接运行就可以了第二种方法运行arm的dockerwget-chttps://github.com/multiarch/qe
- qnx efs文件系统binary修复
MengXP
qnxefs
从spiflash从dump了qnx的固件。进一步提取出efs文件系统但是使用qnxdumpefs命令导出文件系统时发现结构体异常。谷歌到了类似问题患者http://www.openqnx.com/phpbbforum/viewtopic.php?t=3620H[01]L[FFFF]P[00].status=EE8E(WRITE|NO_NEXT|NO_SUPER|NO_SPLIT|BAD|LAST
- docker-compose kafka安装及外部访问不到kafka问题
1010739073
Dockerkafkadocker
文章目录一、docker-compose.yml二、kafkamanager/kafka-manager连接zookeeper三、PHP生产者、消费者连接总结一、docker-compose.ymlversion:'3'services:zookeeper:image:bitnami/zookeepercontainer_name:zoorestart:alwaysports:-8181:2181
- 【基础教程】Python list列表详解
SAPmatinal
Python
在实际开发中,经常需要将一组(不只一个)数据存储起来,以便后边的代码使用。说到这里,一些读者可能听说过数组(Array),它就可以把多个数据挨个存储到一起,通过数组下标可以访问数组中的每个元素。需要明确的是,Python中没有数组,但是加入了更加强大的列表。如果把数组看做是一个集装箱,那么Python的列表就是一个工厂的仓库。大部分编程语言都支持数组,比如C语言、C++、Java、PHP、Java
- 攻防世界(simple_php、baby_web详解)
l2ohvef
web
一、simple_php1.审计代码如果a==0,输出flag1;如果b是数字,退出;如果b>1234,输出flag2;flag=flag1+flag2;只要输入符合条件的值即可获得flag二、baby_web1.题目:想想初始页面是哪个2.打开burp,拦截抓包,查看返回信息,找到flag
- web安全漏洞之命令注入
rzydal
笔记网络安全web安全安全学习
命令注入1.什么是命令注入通常情况下,开发者使用一些可以执行命令的函数且未对用户输入进行安全检查时,可以造成命令注入。从CTF的角度来讲,命令注入可以实现:1、直接读取flag2、反弹shell3、利用题目环境漏洞,控制整个题目环境,干扰其他队伍解题在各类编程语言中,都存在直接调用系统命令的函数,比如PHP的system函数,Python的os.system,Java的Runtime.exec都可
- rust如何操作sqlserver
扎量丙不要犟
sqlserver数据库rusttiberius
rust中操作mysql和pgsql的技术非常多,也很成熟。但是操作mssql的办法,确实不多。作为一个sqlserver多年的使用者,我总不能用rust之后,就放弃mssql吧。我尝试了一下,我们国人开发的rbatis,rbatis是支持mssql的。但是很遗憾,我使用的是兼容win7的rust1.77.2这个版本,rbatis在这个环境并没有跑起来。我找到了tiberius,这个库是可以用的。
- 老版本chrome浏览器版本下载地址
美兮,乐兮
chromejsjavascript
https://www.slimjet.com/chrome/google-chrome-old-version.php
- workerman文件服务器,workerman开发文档
weixin_39562197
workerman文件服务器
注意,这个是workerman老版本文档,已经不适用目前版本一、workerman是什么workerman是一个高性能的PHPSocket服务器框架,它类似PHP-FPM,提供进程控制及socket通讯功能,区别是PHP-FPM是以FAST-CGI的协议对外提供服务的,而workerman却可以支持各种协议(包括自定义协议),并且支持长链接,支持进程内全局对象资源等永久保持等特性。二、worker
- Workerman-Thrift 使用教程
沈韬淼Beryl
Workerman-Thrift使用教程workerman-thriftThriftRPCforphpbasedonworkerman.项目地址:https://gitcode.com/gh_mirrors/wo/workerman-thrift1、项目介绍Workerman-Thrift是一个基于Workerman的高性能PHPThriftRPC框架。Workerman是一个高性能的PHPsoc
- LNMP架构——nginx+jsp+tomcat完成客户端的动态请求
温柔梦9527
linux运维——企业实战
首先,我先给大家画一张图,来理一下lnmp架构工作的整个过程上一个实验其实我们通过php请求的是nginx服务器上的资源,还是静态资源现在我们想实现动态获取,利用jsp动态获取tomcat服务器上面的资源1.什么是tomcat?Tomcat是Apache软件基金会(ApacheSoftwareFoundation)的Jakarta项目中的一个核心项目由Apache、Sun和其他一些公司及个人共同开
- 使用brew报错:Bad credentials/GitHub API Error: API rate limit exceeded for
weixin_33868027
gitphppython
2019独角兽企业重金招聘Python工程师标准>>>背景描述XHProf是一个轻量级的PHP性能分析工具.使用XHProf的时候,在点击[ViewFullCallgraph]查看结果分析图时,会报错,原因是缺少graphviz绘图软件。在使用brew安装graphviz软件出现了一些错误,特此记录一下.具体内容首先使用brew搜索是否存在graphviz软件,报错:$brewsearchgrap
- LNMP(linux+nginx+mysql+php)服务器环境配置[转]
dianyun0789
运维php操作系统
一、简介Nginx是俄罗斯人编写的十分轻量级的HTTP服务器,Nginx,它的发音为“engineX”,是一个高性能的HTTP和反向代理服务器,同时也是一个IMAP/POP3/SMTP代理服务器.Nginx是由俄罗斯人IgorSysoev为俄罗斯访问量第二的Rambler.ru站点开发的,它已经在该站点运行超过三年了。IgorSysoev在建立的项目时,使用基于BSD许可。在高并发连接的情况下,N
- php软件开发--laravel框架
周先森开发
laravellaravel
lv6开发测试站点:http://lv6.gqqf.xyz/admin/index/indexcomposer简介及安装:composer是PHP中用来管理依赖关系的工具一句话,composer是一个工具,是为php项目准备的软件管家。laravel简介,安装,目录结构,运行:PHPWeb开发框架compsoser下载laravel:composercreate-project--prefer-d
- PHP之laravel框架
phpweiyi
phplaravel数学建模vue.js
写在开头的一些话下面的图片是我用laravel框架做出的一个作品,接下来我会用我学到的知识来讲解laravel框架。目录序言laravel简介一、foreach循环语句二、if循环语句三、extends四、csrf五、自动加载类(ClassAuto-loading)六、单元测试(Unit-Testing)1.创建测试类:2.编写测试方法:3.运行单元测试:4.查看测试结果:七、数据缓存1.缓存一个
- 【PHP】Laravel 介绍 史上最优雅的 PHP 框架
Ustinian_310
laravelphp
1.Laravel介绍Laravel是一个开源的PHPWeb应用框架,由TaylorOtwell创建并于2011年6月首次发布。它遵循模型-视图-控制器(MVC)架构模式,旨在简化Web开发的任务,提供了一套丰富的功能,帮助开发者快速构建安全、可扩展的Web应用程序。附注:文末附有Laravel的社区入口,感兴趣的小伙伴可以去社区寻找更多学习资料以下是Laravel的一些主要特点和组件:核心特点M
- Algorithm
香水浓
javaAlgorithm
冒泡排序
public static void sort(Integer[] param) {
for (int i = param.length - 1; i > 0; i--) {
for (int j = 0; j < i; j++) {
int current = param[j];
int next = param[j + 1];
- mongoDB 复杂查询表达式
开窍的石头
mongodb
1:count
Pg: db.user.find().count();
统计多少条数据
2:不等于$ne
Pg: db.user.find({_id:{$ne:3}},{name:1,sex:1,_id:0});
查询id不等于3的数据。
3:大于$gt $gte(大于等于)
&n
- Jboss Java heap space异常解决方法, jboss OutOfMemoryError : PermGen space
0624chenhong
jvmjboss
转自
http://blog.csdn.net/zou274/article/details/5552630
解决办法:
window->preferences->java->installed jres->edit jre
把default vm arguments 的参数设为-Xms64m -Xmx512m
----------------
- 文件上传 下载 解析 相对路径
不懂事的小屁孩
文件上传
有点坑吧,弄这么一个简单的东西弄了一天多,身边还有大神指导着,网上各种百度着。
下面总结一下遇到的问题:
文件上传,在页面上传的时候,不要想着去操作绝对路径,浏览器会对客户端的信息进行保护,避免用户信息收到攻击。
在上传图片,或者文件时,使用form表单来操作。
前台通过form表单传输一个流到后台,而不是ajax传递参数到后台,代码如下:
<form action=&
- 怎么实现qq空间批量点赞
换个号韩国红果果
qq
纯粹为了好玩!!
逻辑很简单
1 打开浏览器console;输入以下代码。
先上添加赞的代码
var tools={};
//添加所有赞
function init(){
document.body.scrollTop=10000;
setTimeout(function(){document.body.scrollTop=0;},2000);//加
- 判断是否为中文
灵静志远
中文
方法一:
public class Zhidao {
public static void main(String args[]) {
String s = "sdf灭礌 kjl d{';\fdsjlk是";
int n=0;
for(int i=0; i<s.length(); i++) {
n = (int)s.charAt(i);
if((
- 一个电话面试后总结
a-john
面试
今天,接了一个电话面试,对于还是初学者的我来说,紧张了半天。
面试的问题分了层次,对于一类问题,由简到难。自己觉得回答不好的地方作了一下总结:
在谈到集合类的时候,举几个常用的集合类,想都没想,直接说了list,map。
然后对list和map分别举几个类型:
list方面:ArrayList,LinkedList。在谈到他们的区别时,愣住了
- MSSQL中Escape转义的使用
aijuans
MSSQL
IF OBJECT_ID('tempdb..#ABC') is not null
drop table tempdb..#ABC
create table #ABC
(
PATHNAME NVARCHAR(50)
)
insert into #ABC
SELECT N'/ABCDEFGHI'
UNION ALL SELECT N'/ABCDGAFGASASSDFA'
UNION ALL
- 一个简单的存储过程
asialee
mysql存储过程构造数据批量插入
今天要批量的生成一批测试数据,其中中间有部分数据是变化的,本来想写个程序来生成的,后来想到存储过程就可以搞定,所以随手写了一个,记录在此:
DELIMITER $$
DROP PROCEDURE IF EXISTS inse
- annot convert from HomeFragment_1 to Fragment
百合不是茶
android导包错误
创建了几个类继承Fragment, 需要将创建的类存储在ArrayList<Fragment>中; 出现不能将new 出来的对象放到队列中,原因很简单;
创建类时引入包是:import android.app.Fragment;
创建队列和对象时使用的包是:import android.support.v4.ap
- Weblogic10两种修改端口的方法
bijian1013
weblogic端口号配置管理config.xml
一.进入控制台进行修改 1.进入控制台: http://127.0.0.1:7001/console 2.展开左边树菜单 域结构->环境->服务器-->点击AdminServer(管理) &
- mysql 操作指令
征客丶
mysql
一、连接mysql
进入 mysql 的安装目录;
$ bin/mysql -p [host IP 如果是登录本地的mysql 可以不写 -p 直接 -u] -u [userName] -p
输入密码,回车,接连;
二、权限操作[如果你很了解mysql数据库后,你可以直接去修改系统表,然后用 mysql> flush privileges; 指令让权限生效]
1、赋权
mys
- 【Hive一】Hive入门
bit1129
hive
Hive安装与配置
Hive的运行需要依赖于Hadoop,因此需要首先安装Hadoop2.5.2,并且Hive的启动前需要首先启动Hadoop。
Hive安装和配置的步骤
1. 从如下地址下载Hive0.14.0
http://mirror.bit.edu.cn/apache/hive/
2.解压hive,在系统变
- ajax 三种提交请求的方法
BlueSkator
Ajaxjqery
1、ajax 提交请求
$.ajax({
type:"post",
url : "${ctx}/front/Hotel/getAllHotelByAjax.do",
dataType : "json",
success : function(result) {
try {
for(v
- mongodb开发环境下的搭建入门
braveCS
运维
linux下安装mongodb
1)官网下载mongodb-linux-x86_64-rhel62-3.0.4.gz
2)linux 解压
gzip -d mongodb-linux-x86_64-rhel62-3.0.4.gz;
mv mongodb-linux-x86_64-rhel62-3.0.4 mongodb-linux-x86_64-rhel62-
- 编程之美-最短摘要的生成
bylijinnan
java数据结构算法编程之美
import java.util.HashMap;
import java.util.Map;
import java.util.Map.Entry;
public class ShortestAbstract {
/**
* 编程之美 最短摘要的生成
* 扫描过程始终保持一个[pBegin,pEnd]的range,初始化确保[pBegin,pEnd]的ran
- json数据解析及typeof
chengxuyuancsdn
jstypeofjson解析
// json格式
var people='{"authors": [{"firstName": "AAA","lastName": "BBB"},'
+' {"firstName": "CCC&
- 流程系统设计的层次和目标
comsci
设计模式数据结构sql框架脚本
流程系统设计的层次和目标
 
- RMAN List和report 命令
daizj
oraclelistreportrman
LIST 命令
使用RMAN LIST 命令显示有关资料档案库中记录的备份集、代理副本和映像副本的
信息。使用此命令可列出:
• RMAN 资料档案库中状态不是AVAILABLE 的备份和副本
• 可用的且可以用于还原操作的数据文件备份和副本
• 备份集和副本,其中包含指定数据文件列表或指定表空间的备份
• 包含指定名称或范围的所有归档日志备份的备份集和副本
• 由标记、完成时间、可
- 二叉树:红黑树
dieslrae
二叉树
红黑树是一种自平衡的二叉树,它的查找,插入,删除操作时间复杂度皆为O(logN),不会出现普通二叉搜索树在最差情况时时间复杂度会变为O(N)的问题.
红黑树必须遵循红黑规则,规则如下
1、每个节点不是红就是黑。 2、根总是黑的 &
- C语言homework3,7个小题目的代码
dcj3sjt126com
c
1、打印100以内的所有奇数。
# include <stdio.h>
int main(void)
{
int i;
for (i=1; i<=100; i++)
{
if (i%2 != 0)
printf("%d ", i);
}
return 0;
}
2、从键盘上输入10个整数,
- 自定义按钮, 图片在上, 文字在下, 居中显示
dcj3sjt126com
自定义
#import <UIKit/UIKit.h>
@interface MyButton : UIButton
-(void)setFrame:(CGRect)frame ImageName:(NSString*)imageName Target:(id)target Action:(SEL)action Title:(NSString*)title Font:(CGFloa
- MySQL查询语句练习题,测试足够用了
flyvszhb
sqlmysql
http://blog.sina.com.cn/s/blog_767d65530101861c.html
1.创建student和score表
CREATE TABLE student (
id INT(10) NOT NULL UNIQUE PRIMARY KEY ,
name VARCHAR
- 转:MyBatis Generator 详解
happyqing
mybatis
MyBatis Generator 详解
http://blog.csdn.net/isea533/article/details/42102297
MyBatis Generator详解
http://git.oschina.net/free/Mybatis_Utils/blob/master/MybatisGeneator/MybatisGeneator.
- 让程序员少走弯路的14个忠告
jingjing0907
工作计划学习
无论是谁,在刚进入某个领域之时,有再大的雄心壮志也敌不过眼前的迷茫:不知道应该怎么做,不知道应该做什么。下面是一名软件开发人员所学到的经验,希望能对大家有所帮助
1.不要害怕在工作中学习。
只要有电脑,就可以通过电子阅读器阅读报纸和大多数书籍。如果你只是做好自己的本职工作以及分配的任务,那是学不到很多东西的。如果你盲目地要求更多的工作,也是不可能提升自己的。放
- nginx和NetScaler区别
流浪鱼
nginx
NetScaler是一个完整的包含操作系统和应用交付功能的产品,Nginx并不包含操作系统,在处理连接方面,需要依赖于操作系统,所以在并发连接数方面和防DoS攻击方面,Nginx不具备优势。
2.易用性方面差别也比较大。Nginx对管理员的水平要求比较高,参数比较多,不确定性给运营带来隐患。在NetScaler常见的配置如健康检查,HA等,在Nginx上的配置的实现相对复杂。
3.策略灵活度方
- 第11章 动画效果(下)
onestopweb
动画
index.html
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/
- FAQ - SAP BW BO roadmap
blueoxygen
BOBW
http://www.sdn.sap.com/irj/boc/business-objects-for-sap-faq
Besides, I care that how to integrate tightly.
By the way, for BW consultants, please just focus on Query Designer which i
- 关于java堆内存溢出的几种情况
tomcat_oracle
javajvmjdkthread
【情况一】:
java.lang.OutOfMemoryError: Java heap space:这种是java堆内存不够,一个原因是真不够,另一个原因是程序中有死循环; 如果是java堆内存不够的话,可以通过调整JVM下面的配置来解决: <jvm-arg>-Xms3062m</jvm-arg> <jvm-arg>-Xmx
- Manifest.permission_group权限组
阿尔萨斯
Permission
结构
继承关系
public static final class Manifest.permission_group extends Object
java.lang.Object
android. Manifest.permission_group 常量
ACCOUNTS 直接通过统计管理器访问管理的统计
COST_MONEY可以用来让用户花钱但不需要通过与他们直接牵涉的权限
D