通常指攻击者通过“HTML注入”篡改网页，插入恶意脚本，从而在用户浏览网页时，控制用户浏览器的一种攻击手段 。
在上一篇文章中我们介绍了Weex SDK源码中可借鉴的细节，那么现在的Weex SDK已经是最优的吗？作为技术RD，我们心中一定要有敬畏：艺无止境，学习的过程中逐渐反思，寻找最优解。那么我们今天就来说说Weex SDK中有哪些可以优化的细节。
seeion_id 服务器中的php环境中的session.use_trans_sid=1
本公众号提供的工具、教程、学习路线、精品文章均为原创或互联网收集，旨在提高网络安全技术水平为目的，只做技术研究，谨遵守国家相关法律法规，请勿用于违法用途
protobuf.js是一个纯JavaScript实现，支持Node.js和浏览器的TypeScript，它容易使用速度快速，可以直接反射.proto文件，不需要生成任何文件。
跨站脚本攻击（XSS），是最普遍的Web应用安全漏洞。这类漏洞能够使得攻击者嵌入恶意脚本代码(一般是JS代码)到正常用户会访问到的页面中，当正常用户访问该页面时，则可导致嵌入的恶意脚本代码的执行，从而达到恶意攻击用户的目的。它常常与其他漏洞一起造成破坏性的后果。
跨站脚本攻击XSS(Cross Site Scripting)，为了不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页面时，嵌入Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。XSS攻击针对的是用户层面的攻击！ XSS分为：存储型 、反射型 、DOM型XSS
废话不多说，本篇文章写给入门的朋友，希望大家好好学习，我这里都是用实战举例，并非单纯理论，所以想要学习的朋友先搭建好靶场。
XSS（Cross Site Scripting），又称跨站脚本，XSS的重点不在于跨站点，而是在于脚本的执行。在WEB前端应用日益发展的今天，XSS漏洞尤其容易被开发人员忽视，最终可能造成对个人信息的泄漏。如今，仍然没有统一的方式来检测XSS漏洞，但是对于前端开发人员而言，仍是可以在某些细微处避免的，因此本文会结合笔者的学习和经验总结解决和避免的一些方案，并简要从webkit内核分析浏览器内核对于XSS避免所做的努力，了解底层基础设施对预防XSS所做的贡献。 XSS的种类和特点 此处不详细讲解XSS的一
写作不易，未经作者允许禁止以任何形式转载！ WeakMap 前置知识[深入浅出]JavaScript GC 垃圾回收机制 什么是WeakMap？ WeakMap是key / value的组合，key只接受对象，不接受基本类型，value可以为任意类型。 方法 set(key, value) 在WeakMap中设置一组关联对象，返回WeakMap对象 get(key) 返回key的关联对象，不存在时返回undefined has(key) 根据是否有key关联对象，放回一个Boolean值 delete(k
从程序集获得类型 先说点题外话，现在技术真的发展太快了。我这边还很多东西半生不熟 呢，那边又出现了好多有趣的新东西让你眼红不已。学还是不学这还真是 个问题。Node.js 、bootstrap,我最近刚发现的新技术，其实他们已经 存在很久了，只是没有接触过而已。昨天晚上看Node.js一下子看到两点 多,感觉真是太有意思了^,有兴趣的可以去看看,大家多交流交流. 好了不废话了,在前面的示例中，几乎全部的MyClass信息都是通过反射得到的，但是有一个例外： MyClass类型本身。虽然前面的示例可以
原文： https://ponyfoo.com/articles/es6-reflection-in-depth
在前面的文章中，我们简单的介绍过一点反射的内容，没有深入，这次的反射内容会比上一次更加深刻一点！
前言 设计师需求中3D视觉平移到互动H5中的项目越来越多，three.js和PBR工作流的结合却一直没有被系统化地整理。 和各位前端神仙一起做项目，也一起磕磕碰碰出了爱与痛的领悟。小小总结，希望3D去往H5的道路天堑变通途。 本手册主要分为两大部分： Part 1 理论篇：主要让设计师了解计算机到底是如何理解和实时渲染我们设计的3D项目，以及three.js材质和预期材质的对应关系。 Part 2 实践篇：基于three.js的实现性，提供场景、材质贴图的制作思路、以及gltf工作流，并动态讨论项目常
XSS攻击是指在网页中嵌入一段恶意的客户端Js脚本代码片段，JS脚本恶意代码可以获取用户的Cookie、URL跳转、内容篡改、会话劫持……等。
刷完了XSS challenge和XSS game 对XSS漏洞有了些许认识 在此做个小结与记录
这一篇我们来看一个开源的组件:ajaxpro。虽然这是一个比较老的组件，不过实现思想和源码还是值得我们学习的。通过上一篇的介绍，我们知道要调用页面对象的方法，就是靠反射来实现的，关键是整个处理过程，包括反射调用方法、参数映射等。ajaxpro不仅在后台帮我们实现了这个过程，在前台也封装了请求调用的方法，例如ajax的相关方法，用ajaxpro的方法就可以发送异步请求了，不需要自己封装js或者使用js库。接下来就对这个组件进行浅析。
打开后发现需要登录，那就登录他的默认账号，admin，123456；又看到熟悉的输入框，直接构造JavaScript
几个月以前，我们针对 Kotlin 1.4 值得期待的亮点发布了一则公告。随着发布临近，我们现在提供一个预览版本，让大家能够试用一些新功能。
从本文开始，打算写一个系列文章。其主要目的是从xss-labs靶场题解开始来介绍一下XSS攻击。
近日，Go 核心开发团队终于宣布了 Go 1.18 正式版本的发布！这是一个大家期待很久的版本！Go 1.18 包含大量新功能：模糊测试、性能改进、工作区等，以及 Go 语言开源以来最大的一次语法特性变更 —— 支持泛型！
XSS(cross-site-scripting) 即是跨站脚本攻击，是一种网站应用程序的安全漏洞攻击，是代码注入的一种。它允许恶意用户将代码注入到网页上，其他用户在观看网页时就会受到影响。这类攻击通常包含了 HTML 以及用户端脚本语言。
原文链接：http://wetest.qq.com/lab/view/383.html
官方文档中的新手示例过于简单，所以本节对Three.js中的概念进行一些补充描述：
这篇文章中有一个操作，就是修改缓存文件，从而达到 getshell 的目的，而其中修改缓存文件的功能是写在 /adminxxx/save.php 中的 editfile() 函数。
反射是程序检查自身结构和行为的能力。例如，在 Javascript 中，可以编写迭代任意对象的键值对的程序，或者检查对象是否包含给定名称的字段。Deflect 为 Rust 带来了其中的一些功能。deflect 的核心是它的 Reflect 特性，它适用于所有类型。有了它，您可以：
“我从来不相信什么懒洋洋的自由，我向往的自由是通过勤奋和努力实现的更广阔的人生，那样的自由才是珍贵的、有价值的；我相信一万小时定律，我从来不相信天上掉馅饼的灵感和坐等的成就。做一个自由又自律的人，靠势必实现的决心认真地活着。
作者：蒋海滔，阿里巴巴国际事业部，高级技术专家，爱好Java/JavaScript，长期关注高性能、并发编程以及Web安全。 来自：高可用架构(ID:ArchNotes) 一，互联网web应用面临的主要威胁 1. XSS 跨站脚本攻击(Cross Site Scripting)， 即A站点的网页想办法跑到B站点上。 因为我们的网页都是javascript驱动的，所以js拥有非常大的权力。 XSS 可以大概分为三类(注意这三类不是排斥的)， DomXSS, 反射型XSS和存储型XSS。 首先Dom型XS
本文讲述了利用不安全的加密存储（Insecure_Cryptographic_Storage）漏洞和服务端反射型XSS漏洞，实现对麦当劳网站（McDonalds.com）注册用户的密码窃取，进一步测试，还可能获取到网站注册用户的更多信息。 POC-利用反射型XSS漏洞绕过AngularJS框架沙箱 麦当劳网站McDonalds.com设置有一个搜索页面，该页面存在XSS反射型漏洞，可以返回搜索参数值，假设搜索参数q为***********-test-reflected-test-***********
DWR(Direct Web Remoting)是一个WEB远程调用框架.利用这个框架可以让AJAX开发变得很简单.利用DWR可以在客户端利用JavaScript直接调用服务端的Java方法并返回值给JavaScript就好像直接本地客户端调用一样(DWR根据Java类来动态生成JavaScrip代码).它的最新版本DWR0.6添加许多特性如:支持Dom Trees的自动配置,支持Spring(JavaScript远程调用spring bean),更好浏览器支持,还支持一个可选的commons-logging日记操作. 以上摘自open-open，看了几天，确实是一个非常优秀的项目，它通过反射，将java翻译成javascript，然后利用回调机制，轻松实现了javascript调用Java代码。 其大概开发过程如下： 1.编写业务代码，该代码是和dwr无关的。 2.确认业务代码中哪些类、哪些方法是要由javascript直接访问的。 3.编写dwr组件，对步骤2的方法进行封装。 4.配置dwr组件到dwr.xml文件中，如果有必要，配置convert，进行java和javascript类型互转。 5.通过反射机制，dwr将步骤4的类转换成javascript代码，提供给前台页面调用。 5.编写网页，调用步骤5的javascript中的相关方法（间接调用服务器端的相关类的方法），执行业务逻辑，将执行结果利用回调函数返回。 6.在回调函数中，得到执行结果后，可以继续编写业务逻辑的相关javascript代码。 下面以用户注册的例子，来说明其使用。（注意，本次例子只是用于演示，说明DWR的使用，类设计并不是最优的）。 1.先介绍下相关的Java类 User: 用户类， public class User { //登陆ID，主键唯一 private String id; //姓名 private String name; //口令 private String password; //电子邮件 private String email; //以下包含getXXX和setXXX方法 ....... } UserDAO：实现User的数据库访问，这里作为一个演示，编写测试代码 public class UserDAO { //存放保存的数据 private static Map dataMap = new HashMap(); //持久用户 public boolean save(User user) { if (dataMap.containsKey(user.getId())) return false; System.out.println("下面开始保存用户"); System.out.println("id："+user.getId()); System.out.println("password："+user.getPassword()); System.out.println("name："+user.getName()); System.out.println("email："+user.getEmail()); dataMap.put(user.getId(), user); System.out.println("用户保存结束"); return true; } //查找用户 public User find(String id) { return (User)dataMap.get(id); } } DWRUserAccess：DWR组件，提供给javascript访问的。 public class DWRUserAccess { UserDAO userDAO = new UserDAO(); public boolean save(User user) { return userDAO.save(user); } public User find(String id) { return userDAO.find(id); } } 下面说明下程序执行的流程 1.用户在页面上输入相关注册信息，id、name、password、email，点击“提交”按钮 2.javascript代码开始执行，根据用户填写相关信息，通过dwr提供的DWRUserAccess.j
查看网页html代码，可以看到htmlentities()函数对用户输入的<>做了转义处理,恶意代码当然也就没法执行了。
从事Android开发的童鞋都知道，自从去年的Google I/O大会上Kotlin被定为Android开发的官方语言以来，关于Kotlin就成为每个开发人员学习的目标，的确，Kotlin以它独有的魅力正在吸引这传统的Java程序开发人员。或许很多的童鞋已经对Kotlin进行了深入的学习，甚至已经运用到了自己的项目当中，但是还有较多同学可能只是听过Kotlin或简单了解过，本文将从宏观的角度来介绍Kotlin相关的内容。 在介绍Kotlin之前，先来安利一波，本人去年年底开始写作的关于Kotlin的书下个月就要出版了，有兴趣的可以关注下，目录如下。
跨网站脚本（Cross-site scripting，XSS） 又称为跨站脚本攻击，是一种经常出现在Web应用程序的安全漏洞攻击，也是代码注入的一种。XSS是由于Web应用程序对用户的输入过滤不足而产生的，攻击者利用网站漏洞把恶意的脚本代码注入到网页之中，当其他用户浏览这些网页时，就会执行其中的恶意代码，对受害者用户可能采取Cookie窃取、会话劫持、钓鱼欺骗等各种攻击。这类攻击通常包含了HTML以及用户端脚本语言。
前几天在公众号看到AJ-Report未授权远程命令执行，这个洞还挺通杀的。今天看了下命令执行似乎已经修复了，但是这里的patch可以绕过。另外最关键的TokenFilter中的鉴权绕过漏洞没修，其实鉴权修复了也会有默认key导致鉴权绕过的问题。文末给出了利用工具，实测好用。
JS调用Android的其中一个方式是通过addJavascriptInterface接口进行对象映射：
跨站脚本攻击XSS，是最普遍的Web应用安全漏洞。这类漏洞能够使得攻击者嵌入恶意脚本代码到正常用户会访问到的页面中，当正常用户访问该页面时，则可导致嵌入的恶意脚本代码的执行，从而达到恶意攻击用户的目的。
“基于对象”的特点 什么是“基于”对象呢？就是关注“对象之间”的关系，而不是关注对象和类的关系。“面向对象编程”（OOP）的概念已经诞生了很多年，在业界可谓深入人心。像著名的编程语言C++/JAVA/C#都是按照这个概念去设计的。但是面向对象编程概念，在实践中，也受到了大量的挑战，很多人认为面向对象编程有很多缺点，其中就不乏重量级的人物如Linux的作者。 在所有的挑战和质疑之中，大部分都是指向面向对象编程的复杂性的。面向对象编程的三个特点封装、继承、多态，都要比单纯的结构化编程，让使用者学习更多的关键字，
一直以来，Java 一句话木马都是采用打入字节码 defineClass 实现的。这种方法的优势是可以完整的打进去一个类，可以几乎实现 Java 上的所有功能。不足之处就是 Payload 过于巨大，并且不像脚本语言一样方便修改。并且还存在很多特征，例如继承 ClassLoader，反射调用 defineClass 等。本在这里提出一种 Java 一句话木马：利用 Java 中 JS 引擎实现的一句话木马。
大家好，我是Leon-pi，可以叫我pipi，新人报道，是个菜鸟，由于个人也是在学习过程中，文章写的也不是面面俱到，尽善尽美，请见谅。
image.png DWR(Direct Web Remoting)是一个WEB远程调用框架.利用这个框架可以让AJAX开发变得很简单.利用DWR可以在客户端利用JavaScript直接调用服务端的Java方法并返回值给JavaScript就好像直接本地客户端调用一样(DWR根据Java类来动态生成JavaScrip代码).它的最新版本DWR0.6添加许多特性如:支持Dom Trees的自动配置,支持Spring(JavaScript远程调用spring bean),更好浏览器支持,还支持一个可选的co
在最初的六天，我创造了天与地 webGL是基于OpenGL的Web3D图形规范，是一套JavaScript的API。简单来说，可以把它看成是3D版的canvas。恩，你会这样引入canvas对吧：
XSS又叫跨站脚本攻击，是一种对网站应用程序的安全漏洞攻击技术。它允许恶意用户将代码注入网页，其他用户在浏览网页时就会受到影响。XSS分为三种：反射型，存储型，和DOM型。下面我会构造有缺陷的代码，从代码分析这三种类型。 如果想要了解XSS基础的可以看我的这篇文章：XSS(跨站脚本攻击)简单讲解 如果想要了解SQL注入原理的可以看我的这两篇文章：SQL注入原理及代码分析(一) SQL注入原理及代码分析(二) 参考文献：《Web安全攻防》
通用型软件框架的难题 假设我们希望开发一套通用型的软件框架，这个框架允许用户自定义大量不同的情况下的回调函数（方法），用来实现丰富多彩的业务逻辑功能，例如一个游戏脚本引擎，那么，其中一个实现方式，就是使用观察者模式，以事件的方式来驱动整个框架。用户通过定义各个事件的响应函数，来组织和实现业务逻辑。而框架也提供了自定义事件及其响应函数的入口。在一些实现代码中，我们可能会发现有大量的“注册事件”的代码，或者是使用一个巨大的switch…case…对事件函数进行分发调用。譬如我们想做一个服务器端的基本进程框架，
webGL是基于OpenGL的Web3D图形规范，是一套JavaScript的API。简单来说，可以把它看成是3D版的canvas。恩，你会这样引入canvas对吧：
XSS（跨站脚本攻击，Cross-site scripting，它的简称并不是 CSS，因为这可能会与 CSS 层叠样式表重名）是一种常见的 web 安全问题。XSS 攻击手段主要是 “HTML 注入”，用户的数据被当成了 HTML 代码一部分来执行。
跨网站脚本（Cross-site scripting，简称XSS） 又称为跨站脚本攻击，它是一种针对网站应用程序的安全漏洞攻击技术，是代码注入的一种。XSS允许恶意用户将代码注入网页，其他用户在浏览网页时就会执行其中的恶意代码。恶意用户利用XSS代码攻击成功后，可能得到很高的权限（执行操作）、私密网页内容、会话和Cookie等各种内容。与XSS相关的攻击类型包括Cookie窃取、会话劫持、钓鱼欺骗等，这类攻击通常包含了HTML以及用户端脚本语言。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
