文档建议反馈控制台
首页
学习
活动
专区
圈层
工具
MCP广场
文章/答案/技术大牛
发布

前端day11-JS学习笔记(构造函数、对象的API、作用域、arguments关键字)

str2 3-js作用域及变量预解析 3.1作用域：变量起作用的范围 js中只有两种：全局作用域 局部作用域 1.全局作用域：变量在任何地方起作用 全局变量:在函数外面声明 2.局部作用域：变量只能在函数内部起作用...局部变量：在函数内部声明 3.2-作用域链 1.作用域链是怎么来的 默认情况下，我们的js代码处于全局作用域，当我们声明一个函数时，此时函数体会开辟一个局部作用域， 如果我们在这个函数体中又声明一个函数...，那么又会开辟一个新的局部作用域，以此类推，就会形成一个作用域链 2.变量在作用域链上的访问规则 就近原则：访问变量时，会优先访问的是在自己作用域链上声明的变量，如果自己作用域链上没有声明这个变量，那么就往上一级去找有没有声明这个变量...，如果有就访问，如果没有就继续往上找有没有声明，直到找到0级作用域链上，如果有，就访问，如果没有就报错 注意点：js中只有函数才可以开辟作用域，其他的任何语句都不可以 3.3-js预解析 为什么要有预解析机制...，这样的话维护起来更方便 2.什么是预解析机制 （1）其实js代码并不是从上往下执行的，这种说法不严谨 （2）预解析：JS在执行代码之前，会把变量的声明提前到所在作用域的最顶端 a.只是声明提前（相当于提前开辟内存空间

1K10

基于恶意OAuth应用的MFA绕过攻击：微软身份体系中的新型钓鱼威胁研究

本文聚焦于2025年披露的一类高隐蔽性钓鱼攻击：攻击者诱导用户授权伪装成合法工具的恶意OAuth应用，利用其申请的高权限API作用域（如Mail.Read、Files.ReadWrite.All），在无需密码或一次性验证码的情况下访问邮箱...关键词：OAuth 2.0；MFA绕过；Microsoft Entra ID；钓鱼攻击；身份安全；API权限；条件访问；第三方应用治理1 引言随着云办公的普及，Microsoft 365已成为全球企业数字基础设施的核心组成部分...（Access Token）与刷新令牌（Refresh Token）；应用使用令牌调用Microsoft Graph API。...3.4 数据窃取与横向移动获得令牌后，攻击者可调用Microsoft Graph API执行以下操作：# 读取最新100封邮件Invoke-RestMethod -Uri "https://graph.microsoft.com...技术上，需通过策略限制、行为监控与自动化响应降低暴露面；管理上，需提升用户对权限授权的认知水平。唯有将身份治理纳入整体安全架构，方能在云时代有效抵御此类高级钓鱼威胁。

24310
    • 您找到你想要的搜索结果了吗？
    是的
    没有找到

    Office开发者计划-永久白嫖Office365

    所需配置 账户名称+账户密码+应用程序(客户端)ID 账户名称+客户端机密+应用程序(客户端)ID 功能影响 程序中所有API均可调用 部分API权限受限无法调用(官方限制) API权限配置 可由PC...版程序自动配置添加API权限 必须手动配置API权限 ​ 可以选择相应的API进行配置 ​ 此处以Microsoft Graph为参考，选择“委托的权限”，根据列出的API权限需求表进行选择...：证书和密码->添加客户端密码 ​ 确认完成在列表处可以看到生成的记录，点击选择复制值（即客户端密码） b.API调用工具 ​ Microsoft Graph 浏览器是一种基于 Web 的工具...，可用于生成和测试对 Microsoft Graph API 的请求 ​ API需要的权限设定可在预览卡中查阅，授权后则可再次尝试调用响应 ​ Postman 是一个可用于向 Microsoft...Graph API 发出请求的工具：Postman&Microsoft Graph API使用 ​ c.Microsoft Graph 快速入门示例 ​ Microsoft Graph入门

    11.3K32

    【壹刊】Azure AD 保护的 ASP.NET Core Web API （下）

    是只谁颁发的这个令牌，很显眼就我们azure认证的一个域在加上我们创建的这个租户 3，iat：令牌颁发时间 4，exp：令牌过期时间，与上面的颁发时间相差5分钟 5，appid：客户端Id，就是在Azure...3）查看WebApi的作用域 　　选择 管理=》公开 API 复制 WebApi的作用域 4）查看WebApi的终结点 复制当前应用程序的 OAuth 2.0令牌终结点(v2)链接，注意圈起来的...参数必传 这时候，就又有人问了，为什么这里的 scope 参数的值和上面不一样，确实，我也有这个疑问，后来找到微软官方给我的文档解释道： Microsoft Graph 示例中，该值为 https...://graph.microsoft.com/.default。...此值告知 Microsoft 标识平台终结点：在为应用配置的所有直接应用程序权限中，终结点应该为与要使用的资源关联的权限颁发令牌 使用共享机密访问令牌请求：https://docs.microsoft.com

    3K10

    你打出去的“客服电话”，正在把黑客请进公司内网——Microsoft Teams通知成新型钓鱼跳板，回拨型攻击席卷全球企业

    他没有多想——这是Teams的标准通知格式，发件域是微软官方，链接也看似无害。但当他拨通那个“客服电话”，一场精心策划的入侵就此开始：对方自称微软认证工程师，称其账户存在异常登录，需“远程协助排查”。...例如：浏览器中已登录的Outlook、SharePoint、OneDrive；Windows凭据管理器中存储的域账号密码；已缓存的Kerberos票据（TGT）。...邮件层：增强Teams通知监控限制Teams外部邀请：在Microsoft 365管理中心配置策略，禁止非组织成员创建团队或邀请用户；监控异常团队命名：通过Microsoft Graph API定期扫描团队名称...，识别含“PayPal”“Billing”“Urgent”等关键词的可疑实体；# 示例：通过Graph API列出所有团队GET https://graph.microsoft.com/v1.0/groups...终端层：限制远程工具与权限禁用普通用户安装远程控制软件：通过组策略或MDM（移动设备管理）禁止安装AnyDesk、TeamViewer等；启用应用控制：仅允许可信发布者签名的应用运行；配置EDR告警规则

    18410

    基于Security Copilot的钓鱼邮件智能分拣机制研究

    值得注意的是，该代理强调“可解释性”与“人机协同”——不仅输出“是否为钓鱼”的二元判断，更以自然语言形式说明判断依据（如“邮件包含伪装成Microsoft Teams会议邀请的恶意链接，且发件域未通过DMARC...上下文关联：查询Microsoft Graph，确认发件人是否为已知联系人、近期是否有类似通信。...理由如下：发件域‘microsoft-security[.]net’非微软官方域名，且未通过DMARC验证（p=none）；邮件包含短链接（bit.ly/xxx），经展开后指向已知恶意载荷分发站点；正文使用...Graph API提交反馈import requestsdef submit_feedback(message_id, is_phish, comment):url = f"https://graph.microsoft.com...此外，企业可通过角色权限控制（RBAC）限制谁可查看代理输出。

    25210

    基于OAuth同意滥用的假冒微软应用钓鱼攻击研究

    此类攻击不依赖凭据窃取，而是滥用OAuth 2.0授权框架中的“用户同意”流程，使恶意应用获得长期有效的刷新令牌（refresh token），进而通过Microsoft Graph API静默读取邮件...关键词：OAuth 同意滥用；假冒微软应用；Entra ID；多因素认证绕过；Graph API；条件访问1 引言多因素认证（MFA）作为现代身份安全的核心防线，已在绝大多数企业环境中广泛部署。...）；用户点击“接受”，微软返回授权码；应用用授权码向令牌端点兑换访问令牌与刷新令牌；应用使用令牌调用Microsoft Graph API。...://graph.microsoft.com/v1.0/me/messages?...可通过Microsoft Graph API动态评估权限风险：HIGH_RISK_SCOPES = {'Mail.ReadWrite', 'MailboxSettings.ReadWrite','User.ReadWrite.All

    23710

    寄生在“官方邀请”里的骗局：微软 Entra 访客功能成钓鱼新温床，TOAD 攻击席卷全球企业

    关键在于：邀请邮件由微软官方服务自动发送，发件域为 @microsoft.com，且内容结构高度标准化。...从攻防角度看，Microsoft Entra B2B 邀请功能存在几个关键设计特性，使其极易被滥用：1. 低门槛邀请权限默认情况下，许多企业未限制“谁可以发送访客邀请”。...企业可通过 Microsoft Graph API 监控可疑邀请行为。...以下是一个基于 PowerShell 的监控脚本雏形：# 获取最近24小时内所有外部邀请$invites = Invoke-MgGraphRequest -Uri "https://graph.microsoft.com...can invite”；启用 Conditional Access Policy，限制访客用户仅能访问特定应用；配置 Microsoft Purview Communication Compliance

    14910

    PwnAuth——一个可以揭露OAuth滥用的利器

    API——资源 客户端希望访问的目标应用程序。在本例中，Microsoft OneDrive API 终端是资源。 资源拥有者 允许访问其部分帐户的人员。在本例中，就是你。...授权服务器 授权服务器提供资源所有者用来同意或拒绝的接口。服务器可以与API资源相同，或者是另一个不同的组件。在本例中，Microsoft登录门户是“授权服务器”。...以下是授权流程示例： 1.创建一个“同意”链接，以应用程序的标识和请求的作用域为参数，指示资源所有者访问授权服务器。 https://login.microsoftonline.com/auth ?...虽然任何允许OAuth应用程序的云环境都可以成为目标，但是PwnAuth目前使用一个模块来支持恶意Office 365应用程序，捕获OAuth令牌并使用捕获的令牌与Microsoft Graph API...依据API资源，企业可用的选项差异很大，但通常包括： · 限制第三方应用程序可以请求的API范围。

    2.5K20

    基于可信云服务跳板的OneDrive钓鱼攻击机制与防御对策研究

    一旦得手，攻击者可立即利用Graph API遍历收件箱，提取包含财务、合同、人事等关键词的邮件线程，自动生成极具欺骗性的横向钓鱼内容，形成指数级扩散。面对此类攻击，仅依赖邮件层防护已显不足。...Graph API遍历收件箱：import requestsACCESS_TOKEN = "eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIs..." # 从AiTM获取headers...4 防御体系构建4.1 启用基于上下文的条件访问策略Azure AD条件访问可限制高风险会话的令牌颁发。...以下为通过Microsoft Graph API创建条件访问策略的示例：policy = {"displayName": "Block risky logins to SharePoint","state...会话的User-Agent、IP、地理位置是否与共享创建者一致？通过构建会话图谱（Session Graph），将文件访问、登录、API调用等事件关联，可有效识别异常跳转链。

    30010

    将终结点图添加到你的ASP.NET Core应用程序中

    您可以使用，在Microsoft.AspNetCore.Mvc.Testing中暴露的底层DI容器中的WebApplicationFactory设施实现。...现在，让我们来试下吧 使用VS或dotnet new xunit来运行一个新的xUnit项目（我选择的测试框架） 通过运行dotnet add package Microsoft.AspNetCore.Mvc.Testing...安装Microsoft.AspNetCore.Mvc.Testing 将测试项目的元素更新为Microsoft.NET.Sdk.Web"> 从测试项目中引用您的...您需要使用此类来记录xUnit的测试输出。直接写Console不会起作用。。...这些限制可能不是问题，具体取决于您要实现的目标。对我来说，单元测试方法可以解决我的大多数问题。 无论使用哪种方法，都只能生成本文中显示的“默认”终结点图。

    5.2K20

    OpenAI推出企业级SharePoint连接器，挑战Microsoft 365 Copilot

    虽然Microsoft 365 Copilot拥有更多与Microsoft 365应用的集成点，包括SharePoint代理、新的知识代理（预览版）以及在Copilot Studio构建的自定义代理中使用...访问通过针对Entra ID的OAuth认证授予，并且仅限于用户可访问的信息，就像任何其他使用Graph API与SharePoint Online和OneDrive for Business交互的应用一样...使用Graph权限读取SharePoint的应用示例可在此处找到。...再加上一些敏感和机密信息本不应出现在AI生成的输出中，你就能理解为什么微软在现实世界（而非精心策划的演示）中难以让Copilot在SharePoint中发挥作用。...OpenAI的优势在于从微软的困境中学习。OpenAI似乎使用范围限定来限制ChatGPT可以处理的SharePoint内容，这有点类似于受限内容发现的功能。为什么要使用OpenAI连接器？

    16810

    推荐一个企业级知识图谱增强的检索增强生成(RAG)的项目

    介绍 Microsoft GraphRAG 是一个开源项目，旨在利用 Microsoft Graph 的强大功能构建企业级的知识图谱增强的检索增强生成（RAG）方案。...使用 Microsoft Graph API 来安全、高效地访问这些数据。 数据连接器需要处理各种数据格式和结构，并将其转换为统一的中间表示形式。...配置数据连接器： 根据实际数据源配置数据连接器，包括 Microsoft Graph API 的访问权限、数据源的连接信息等。...一般来说，需要以下资源： Microsoft GraphRAG 具有以下优势： 企业级知识图谱： 利用 Microsoft Graph 构建企业级的知识图谱，提供丰富的上下文信息。...总结 Microsoft GraphRAG 是一个非常有潜力的项目，它利用 Microsoft Graph 的强大功能构建企业级的知识图谱增强的 RAG 方案，为企业应用带来了新的可能性。

    1.5K10

    深度学习_1_Tensorflow_1

    a,b,sum1也有graph graph = tf.get_default_graph() print(a.graph) print(graph) # session()运行默认的图,当运行的元素不是默认图的时候...(graph=c) 指定图运行, 里边run的时候要注意 # session.run的作用:启动整个图 # session.close:关闭,释放资源河 # Session中的参数 # tf.Session...reserve/model") if __name__ =="__main__": myregression() # ======================== # tensorflow变量作用域...tf.variable_scope()创建指定名字的变量作用域 # 不同的部分放在不同的作用域下,tensorflowboard中graph 会更加清晰,作用分明 with tf.variable_scope...tf.variable_scope()创建指定名字的变量作用域 # 不同的部分放在不同的作用域下,graph 会更加清晰,作用分明 with tf.variable_scope("name"):

    70730

    基于生产力惯性诱骗的Microsoft 365钓鱼攻击与防御机制研究

    例如，一封标题为“您有1个未读的共享文档”的邮件，其发件人显示为“Microsoft SharePoint no-reply@microsoft.com”，内容包含一个“立即查看”按钮。...邮件HTML中嵌入真实Microsoft Logo与CSS样式，提升视觉可信度。2.2 登录门户伪装与反向代理恶意登录页通常托管于两类位置：被攻陷的合法域名：如某合作方网站遭入侵，子域office....获得有效会话后，攻击者通过Graph API注册恶意OAuth应用：POST https://graph.microsoft.com/v1.0/applicationsContent-Type: application...4 多层次防御架构设计4.1 条件访问策略（Conditional Access）通过Azure AD条件访问，限制高风险上下文中的登录行为：{"displayName": "Block High-Risk...有效的应对必须从架构层面重构：通过条件访问限制风险上下文，通过阻断遗留协议消除弱认证入口，通过OAuth审批控制第三方应用权限，并通过统一日志实现行为闭环监控。

    22810

    ASP.NET WebApi+Vue前后端分离之允许启用跨域请求

    在搭建完成前后端框架后，进行接口测试时发现了一个前后端分离普遍存在的问题跨域（CORS）请求问题。因此就有了这篇文章如何启用ASP.NET WebApi 中的 CORS 支持。...() { //OPTIONS请求方法的主要作用（预请求，判断是否能够请求成功）： //用来检查服务器的性能。...如：AJAX进行跨域请求时的预检，需要向另外一个域名的资源发送一个HTTP OPTIONS请求头，用以判断实际发送的请求是否安全。...//这样就不会出错，造成页面卡死状态，让用户无限制的等下去 Response.Flush(); } } 二、解决ASP.NET WebApi...详情参考微软官方文档：https://docs.microsoft.com/zh-cn/aspnet/web-api/overview/security/enabling-cross-origin-requests-in-web-api

    3.5K20

    基于浏览器扩展的Microsoft 365钓鱼攻击实时阻断机制研究

    Background Service Worker：常驻后台，管理域名指纹库、处理跨域通信、触发告警。Options Page：供管理员配置白名单、查看拦截日志、设置告警通知方式。...无Graph API集成：当前版本不自动撤销会话或令牌，需管理员手动响应。权限范围审慎：扩展需activeTab与storage权限，虽无敏感权限，但仍需用户信任。...禁用旧式认证协议：如Basic Auth、IMAP/POP3，防止凭证被直接用于API调用。配置条件访问策略：限制登录地理位置、设备合规性。...尽管如此，MSP在部署前仍应：审计源代码，确认无后门；限制扩展更新源，防止供应链攻击；向用户明确告知扩展功能与数据处理方式，符合GDPR等合规要求。...与Microsoft Graph API联动：在检测到钓鱼后，自动调用/revokeSignInSessions终结用户所有活动会话。

    23310
    点击加载更多

    相关资讯

    热门标签

    更多标签

    活动推荐

      运营活动

      活动名称
      广告关闭

      腾讯云开发者

      扫码关注腾讯云开发者

      扫码关注腾讯云开发者

      领取腾讯云代金券

      热门产品

      热门推荐

      更多推荐

      Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有

      深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 粤公网安备44030502008569号

      腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号

      领券