< pages validateRequest =”false”/>
简介 跨站脚本攻击（Cross Site Script）为了避免与层叠样式表CSS混淆，故称XSS。XSS是指攻击者利用网站没有对用户提交数据进行转义处理或者过滤不足的缺点，进而将一些代码嵌入到web页面中去，使得别的用户访问也好执行相应的嵌入代码，从而盗取用户资料、利用用户身份进行某些动作或对访问者进行病毒侵害等攻击。反射型和存储型XSS的作用一样，只是用户触发形式不同。 类型 反射型：反射型XSS攻击，又称为非持久型跨站脚本攻击，它是最常见的XSS类型。漏洞产生的原因是攻击者注入的数据反映在响应上，一个
掌握Java的泛型，这一篇文章足够了。 关键字：泛型，Iterable接口，斐波那契数列，匿名内部类，枚举，反射，可变参数列表，Set 一般类和方法，要么只能使用基础类型，要么是自定义的类。如果要编写可以应用于多种类型的代码，这种刻板的限制会对代码的束缚很大。 Java中，当你将一个基类作为一个方法的参数传入的时候，所有该基类的子类均可以作为参数，然而private构造器或者final修饰的类是不可被继承的，再加上Java的单继承特性，这种看上去的灵活性也有他的限制以及性能损耗。 如果参数
JavaScript在浏览器中的性能，可认为是开发者所要面对的最重要的可用性的问题，此问题因JavaScript的阻塞特征而复杂，也就是说JavaScript运行时其他的事情不能被浏览器处理，事实上，大多数浏览器使用单进程处理UI更新和JavaScript运行等多个任务，而同一时间只能有一个任务被执行。JavaScript运行了多长时间，那么浏览器空闲下来响应用户输入之前的等待时间就有多长。
disk name #/usr/bin/python #This script is used to discovery disk on the server import subprocess import json args="cat /proc/diskstats |grep -E '\ssd[a-z]\s|\sxvd[a-z]\s|\svd[a-z]\s'|awk '{print $3}'|sort|uniq 2>/dev/null" t=subprocess.Popen(args,shell=Tr
该备忘清单可用于漏洞猎人，安全分析，渗透测试人员，根据应用的实际情况,测试不同的payload，并观察响应内容，查找web应用的跨站点脚本漏洞，共计100+条xss漏洞测试小技巧。
一个美好的一天，我在我的办公室工作，我收到了同事的日历邀请。在查看电子邮件时，我发现了 Microsoft 的新服务预订（实际上是旧的，但对我来说是新的）。Microsoft booking 允许任何人预订服务/日历时段。
最长用的肯定是： <script>alert("xss")</script> DOM型一般用 Click to see?
在一年前,在我的私人Twitter账户 brutal secret ,我分享了一个有趣的方法来通过审计绕过chrome 的xss过滤器。我们将从黑盒测试的角度来观察,一个逻辑假设和结论, 导致我们的 XSS 向量绕过了xss过滤器。 我们从已知的所有 XHTML 解析器 (浏览器) 的麻烦开始: Scalable_Vector_Graphics(svg):如果你不知道svg可以干什么,点击这里深入了解信息 （点击阅读原文查看链接） 我们需要知道的是, SVG 标记比简单的 XML/HTML 更复杂, 并且
一、函数： 1、 函数定义后直接执行：var f = (function(x){ return x*10}(10));
关键字：IO基础，JUnit生命周期，字节流，字符流，字符编码，对象流，序列化，反序列化 Java I/O 流是一组有顺序的，有起点和终点的字节集合。是对设备文件间数据传输的总称和抽象。 在IO中涉及的设备文件包括文件、控制台、网络链接等，这其中又根据流的方向可以将两端的设备文件分为数据源对象和接收端对象 数据源对象：有能力产出数据 接收端对象：有能力接收数据 而IO流实际上屏蔽了在实际设备中的处理数据的细节，这些处理方式也叫通信方式可以包括顺序、随机存取、缓冲、二进制、按字符、按字节、按行等。 字节
事情是这样的，平时我经常把一些文字复制到记事本中编辑好了再复制到目标位置，可以在系统自带的记事本中替换删除一些内容，记事本小巧，占用很少的资源，我很喜欢；但今天复制的内容中有很多数字和一些我不想要的内容，我想到了正则，发现系统自带的记事本没有，找来一个更强的工具，Word，继续查找替换，发现word中也没有正则，估计是微软认为除了程序员会正则，一般人不会用；
最近同学要做一个项目，需求是：音乐播放器。大致UI如图: 点击右边的“X”图标，可以删除当前选定的这首歌。因为现实界面的代码是复制过来的，并且前辈使用的是拼接字符串，然后绑定到页面的。没有使用ASP.
这两年做streamingpro时，不可避免的需要对Spark做大量的增强。就如同我之前吐槽的，Spark大量使用了new进行对象的创建，导致里面的实现基本没有办法进行替换。
java技术学习之道 每天分享各种技术文章 作者：一面千人 来源：cnblogs.com/Evsward Java I/O 流是一组有顺序的，有起点和终点的字节集合。是对设备文件间数据传输的总称和抽象。 在IO中涉及的设备文件包括文件、控制台、网络链接等，这其中又根据流的方向可以将两端的设备文件分为数据源对象和接收端对象 数据源对象：有能力产出数据 接收端对象：有能力接收数据 而IO流实际上屏蔽了在实际设备中的处理数据的细节，这些处理方式也叫通信方式可以包括顺序、随机存取、缓冲、二进制、按字符、按字节、按
本文是从一个 CTF 题目中学到的一个新姿势，下面对我的学习做一个记录总结，给大家分享一下，希望大家多多参与一起分享学习。
<head> <meta http-equiv=”Content-Type” content=”text/html; charset=gb2312″ /> <title>表单验证</title> <script language=”javascript” src=”include/form.js”> </script> </head> <body><form action=”#” method=”post” name=”form” id=”form”> 姓 &
当我们输入<script>alert('Eastmount') 时，并没有弹出窗体，运行结果如下图所示：
预解析：js 引擎会把 js 里面所有的 var 和 function 提升到当前作用域的最前面
According to Joshua Bloch's Effective Java (a book that can't be recommended enough, and which I bought thanks to continual mentions on stackoverflow):
我们知道，JavaScript是动态类型的语言，这意味着它不会在编译期检查类型。而相对来说，Kotlin和Java都是静态类型的。
CHM是英语“Compiled Help Manual”的简写，即“已编译的帮助文件”。CHM是微软新一代的帮助文件格式，利用HTML作源文，把帮助内容以类似数据库的形式编译储存。
void header ( string string [, bool replace [, inthttp_response_code]] ) void header ( string string [, bool replace [, inthttp_response_code]] )
就像新IO为java带来的革新那样，让我们也开启一段新的程序人生。 关键字：NIO，BIO，伪IO，AIO，多路复用选择器，通道，缓冲区，jdk研究，回调函数，高并发 java.nio 概述 历史背景 在java nio出现之前，java网络IO是只有输入输出流操作的基于同步阻塞的Socket编程，这在实际应用中效率低下，因此当时高性能服务器开发领域一直被拥有更接近UNIX操作系统的Channel概念的C++和C长期占据。我们知道现代操作系统的根源都是来自于UNIX系统，它代表了操作系统层面底层
在进行实例的动态推断和构建时，我们会经常使用到反射这一技巧，然而在某些场景中反射的效率显得有些力不从心。从JDK7开始，MethodHandle被推出，用于解决反射的效率问题。在JDK8，MethodHandle又与Lambda进行深度结合，成为Lambda的最底层调用方式。在JDK9，MethodHandle又被进一步增强。 在开源项目中，Mybatis Mapper的动态代理实现则运用了MethodHandle。
1、EditPlus 一套功能强大，可取代记事本的文字编辑器，拥有无限制的Undo/Redo、英文拼字检查、自动换行、列数标记、搜寻取代、同时编辑多文件、全屏幕浏览功能。而它还有一个好用的功能，就是它有监视剪贴簿的功能，能够同步于剪贴簿自动将文字贴进EditPlus的编辑窗口中，让你省去做贴上的步骤。另外它也是一个好用的HTML编辑器，除了可以颜色标记HTML Tag (同时支持C/C++、Perl、Java)外，还内建完整的HTML和CSS1指令功能，对于习惯用记事本编辑网页的朋友，它可帮你节省一半以上的网页制作时间，若你有安装IE 3.0以上版本，它还会结合IE浏览器于EditPlus窗口中，让你可以直接预览编辑好的网页(若没安装IE，也可指定浏览器路径)。 这是款编写PHP时使用最多的文本编辑器之一，方便使用，很多PHP人士都喜欢用它。 不过它是共享软件，需要花Money的。不过这年头都用大家都用破解的，要找到破解版很容易的，所以我就不放下载地址了…… 2、Zend Studio 用文本编辑器虽然很方便，可是开发一套大型的系统，很多人还是喜欢用IDE集成环境。所以这款软件很适合你。 Zend Studio 是专业开发人员在使用PHP整个开发周期中唯一的集成开发环境 (IDE)，它包括了PHP所有必须的开发部件。通过一整套编辑、调试、分析、优化和数据库工具，Zend Studio 加速开发周期，并简化复杂的应用方案。 Zend Studio主要组件 1 专业的集成开发环境 内置 编辑器, 调试器, 以及 帮助文档 2 Windows, Linux, Mac 等多个操作系统版本 3 多语言支持 4 专业的编辑器 5 关键字、语法加亮显示 (PHP, HTML, XHTML, and JavaScript) 6 XML & CSS 的关键字、语法加亮显示 7 代码模板 8 支持 PHP 4 and PHP 5 9 代码自动完成功能 10 PHP Code (+PHPDoc) 分析功能 11 内部调试器 12 代码摘录 13 PHP 代码分析 14 远程调试器 15 Remote Profiler 16 数据库连接以及集成查询 ，适用于 : IBM DB2/Cloudscape, MySQL, Oracle Microsoft SQL Server, SQLite, and PostgreSQL 17 NEW! Set of SQL Tools: SQL Query Editor, SQL Explorer, and more. 18 NEW! PHPDocumentor 19 CVS 集成 ，方便团队开发 20 FTP 高度集成 原来Zend Studio都是用java开发的，后来直接投入Eclipse的怀抱了。最新的Zend Studio 6.0就被称为Zend Studio for Eclipse 6.0。 编辑器、调试器、漂亮的外观加上Zend特有的一些属性，要有的都有了，真是非常完美的PHP开发集成环境啊。 不过这个还是要注册的……从官方下载的会有一个月的试用期。（好工具都要注册，要钞票的……） 因为Zend Studio for Eclipse刚出来，比较难找到注册码，在一个PHP论坛有个家伙在网上找了3个小时才找到注册机……这里我就无私奉献一下吧。（其实动点脑筋很快就找到了） 官方下载地址： http://downloads.zend.com/studio-eclipse/6.0.0/ZendStudioForEclipse-6_0_0.exe 我把注册机上传到网盘里，自己下吧： http://www.fs2you.com/files/7d645bf8-db9c-11dc-83bc-0014221b798a/ 以上说的都是共享软件，都是要钞票的。这样找一些破解版本来用，实在会有些过意不去。其实PHP作为开源语言，自然会有一些很不错的开源软件。 3、Norepad++ Notepad++是一款非常有特色的编辑器，是开源软件，可以免费使用。 功能有： ①、内置支持多达27种语法高亮度显示(囊括各种常见的源代码、脚本，值得一提的是，完美支持.nfo文件查看)，也支持自定义语言； ②、可自动检测文件类型，根据关键字显示节点，节点可自由折叠/打开，代码显示得非常有层次感！这是此软件最具特色的体现之一； ③、可打开双窗口，在分窗口中又可打开多个子窗口，允许快捷切换全屏显示模式(F11)，支持鼠标滚轮改变文档显示比例，等等； ④、提供数个特色东东，如邻行互换位置、宏功能，等等…现在网上有很多文件编辑器，这个却是不可多得的一款，不论是日常使用还是手写编程代码，都能让你体会
（2017-08-14 更新，chrome57更新了xss auditor的拦截方式，之前的大量payload不能用了）
注释：Math 对象并不像 Date 和 String 那样是对象的类，因此没有构造函数 Math()，像 Math.sin() 这样的函数只是函数，不是某个对象的方法。您无需创建它，通过把 Math 作为对象使用就可以调用其所有属性和方法。
众测备忘手册 From ChaMd5安全团队核心成员 MoonFish 前言 最近一直在看bugbountyforum对赏金猎人采访的文章以及一些分享姿势的PPT，所以结合bugbounty-cheatsheet项目对他们使用的工具，方法和思路进行整理。这里只是一个列表，并不是很详细，常见的姿势也不会被写上，还需要慢慢填充。 众测平台 HackerOne, Bugcrowd, BountyFactory，Intigriti，Bugbountyjp，Synack，Zerocopter，Cobalt，Yogos
存在一些历史差异主要是因为.Net的设计是从java（和其他基于gc的平台）演变中吸取教训改良后的结果。
设想一下，当你的系统引入了spark或者hadoop以后，基于Spark和Hadoop已经做了一些任务，比如一连串的Map Reduce任务，但是他们之间彼此右前后依赖的顺序，因此你必须要等一个任务执行成功后，再手动执行第二个任务。是不是很烦！ 这个时候Oozie（驯象人，典故来自评论一楼）就派上用场了，它可以把多个任务组成一个工作流，自动完成任务的调用。 简介 Oozie是一个基于工作流引擎的服务器，可以在上面运行Hadoop的Map Reduce和Pig任务。它其实就是一个运行在Java Serv
www.oracle.com -> 右下角Product Documentation -> 往下拉选择Java -> Java SE documentation-> Previous releases -> JDK 8 -> 此时定位到:https://docs.oracle.com/javas...
TOAST Tui Editor是一款富文本Markdown编辑器，用于给HTML表单提供Markdown和富文本编写支持。最近我们在工作中需要使用到它，相比于其他一些Markdown编辑器，它更新迭代较快，功能也比较强大。另外，它不但提供编辑器功能，也提供了渲染功能（Viewer），也就是说编辑和显示都可以使用Tui Editor搞定。
最近公司一直在执行sonar扫描代码bug、漏洞及异味，但发现了很对异常处理的问题，大多数是对Java异常处理不正确导致的，那本文就谈谈Java的异常是什么？设计者的初衷又是什么？
我百度搜索了一下，跨站脚本攻击，相关内容超过 500 多万，但是相比 NPE 来说，显然还不够。很多程序员不重视跨站脚本攻击，导致很多开源项目都存在这样的漏洞。
这是一份跨站脚本（XSS）备忘录，收集了大量的XSS攻击向量，包含了各种事件处理、通讯协议、特殊属性、限制字符、编码方式、沙箱逃逸等技巧，可以帮助渗透测试人员绕过WAF和过滤机制。
https://portswigger.net/web-security/cross-site-scripting/cheat-sheet
所有的Java开发人员可能会遇到这样的困惑？我该为堆内存设置多大空间呢？OutOfMemoryError的异常到底涉及到运行时数据的哪块区域？该怎么解决呢？其实如果你经常解决服务器性能问题，那么这些问题就会变的非常常见，了解JVM内存也是为了服务器出现性能问题的时候可以快速的了解那块的内存区域出现问题，以便于快速的解决生产故障。
前面一篇文章已对FastDFS的安装和配置，做了比较详细的讲解。FastDFS的基础模块都搭好了，现在开始测试下载。
https://github.com/danielmiessler/SecLists/tree/master/Fuzzing
关键字：互联网协议，网络分层，socket，TCP/IP协议，jdk源码，多线程，线程池，ExecutorService 本文的主要目的是面向程序员，所以涉及到程序编码上面比较多的是TCP/IP协议以及Socket协议，这里会重点介绍，而在学习这两个协议之前，对于整个互联网的运行原理要了解熟悉，所以会先快速过一遍互联网协议。 互联网协议（Internet Protocol Suite） 首先，根据各种信息的总结，这里我们将互联网协议分为五层，自上而下分别是应用层，传输层，网络层，链接层，实体层。下面我
概念：JAVA Database Connectivity Javas数据库连接，Java语言操作数据库接口，然后由各个数据库厂商去实现这个接口，提供数据库驱动java包，我们可以使用这套接口，真正执行的是jar驱动包中的实习类
ThreadLocal 的概念，面试的时候容易被问到。它的概念很简单，从类的名字就可以知道，线程本地变量的意思。即该变量运行在线程中时，每个线程都独立拥有它而不和其他线程中的这个值相冲突，其功能就使得这个变量就属于当前线程，和其他线程无关。
某次业务上线常规安全测试，有记录操作的功能，猜测存在存储型XSS漏洞，但由于存在长亭WAF被拦截。遂将之前总结的XSS绕过手段逐一测试了下。
接到一个需求，说让使用JavaSwing+Mysql完成一个学生成绩管理系统，时间紧任务重。
protected 可以修饰数据成员，构造方法，方法成员，不能修饰类（内部类除外）
Exception 和 Error 都是继承了 Throwable 类，在 Java 中只有 Throwable 类型的实例才可以被抛出（throw）或者捕获（catch），它是异常处理机制的基本组成类型。
Exception 和 Error 都是继承了 Throwable 类，在 Java 中只有 Throwable 类型的实例才可以被抛出（throw）或者捕获（catch），它是异常处理机制的基本组成类型。 Exception 和 Error 体现了 Java 平台设计者对不同异常情况的分类。Exception 是程序正常运行中，可以预料的意外情况，可能并且应该被捕获，进行相应处理。 Error 是指在正常情况下，不大可能出现的情况，绝大部分的 Error 都会导致程序（比如 JVM 自身）处于非正常的、不可恢复状态。既然是非正常情况，所以不便于也不需要捕获，常见的比如 OutOfMemoryError 之类，都是 Error 的子类。 Exception 又分为可检查（checked）异常和不检查（unchecked）异常，可检查异常在源代码里必须显式地进行捕获处理，这是编译期检查的一部分。不可查的 Error，是 Throwable 不是 Exception。 不检查异常就是所谓的运行时异常，类似 NullPointerException、ArrayIndexOutOfBoundsException 之类，通常是可以编码避免的逻辑错误，具体根据需要来判断是否需要捕获，并不会在编译期强制要求。
nx：如果key不存在则建立，xx：如果key存在则修改其值，也可以直接使用setnx/setex命令。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
云直播
