注意： alias只能用于location中（使用alias，目录名后面一定要加“/”），而root可以用在http、server和location中。
JS开发的WEB应用和PHP，JAVA,NET等区别在于即没有源代码，也可以通过浏览器的查看源代码获取真实的点。获取URL，获取JS敏感信息，获取代码传参等，所以相当于JS开发的WEB应用属于白盒测试（默认有源码参考），一般会在JS中寻找更多的URL地址，在JS代码逻辑（加密算法，APIkey配置，验证逻辑等）进行后期安全测试。
猫哥是一个常年混迹在 GitHub 上的猫星人，所以发现了不少好的前端开源项目，在此分享给大家。
chrome的开发者工具，在source选项卡下，可以看到js的源代码，有一个断点调试功能，就是在js的源代码行号那里点击一下，出现一个箭头，当再次刷新页面并且进行了相应操作时，就会停在断点的地方。我们可以查看相应的变量值，在右侧可以手动改变变量值，进行调试。
whistle 是一个基于 Node.js 的跨平台网络调试工具。最近随着 Nohost 的开源，有不少同学问了 whistle 相关的问题，本篇文章将结合几个常见的业务场景介绍如何在本地前端项目开发中使用 whistle 。 一、使用webpack devServer的项目 项目准备 如今，大部分的前端项目是以 webpack 作为开发和构建工具进行项目开发的。我们将以这样一个最常见的场景，即以 webpack 开启本地 devServer 进行开发和调试的方式，展示如何在这样的前端项目中结合使用 whi
whistle 是一个基于 Node.js 的跨平台网络调试工具。最近随着 Nohost 的开源，有不少同学问了 whistle 相关的问题，本篇文章将结合几个常见的业务场景介绍如何在本地前端项目开发中使用 whistle 。
今天分析了几款网站爬虫开源工具，其主要作用是辅助安全测试人员，测试网站功能，发现网站漏洞，本着学习的原则，通过阅读源码的方式来学习其核心技术，从而有助于我们自身编写相关脚本，在实际的工作中应用它来提升工具效率。
最近一直在挖CORS配置错误这个问题，但是还没找到像样的案例，就先归纳一下这个漏洞，顺便记录一下学到的新姿势，希望对大家有所帮助
你可能需要准确地知道一段字符串是否是域名/网址/URL。虽然可以使用 .、/ 这些来模糊匹配，但会造成误判。
写在前面：开发过程中，会遇到很多繁杂精细的麻烦问题，虽然知道要去按照步骤解决，但总归耗费大量的时间，那为什么不去寻求一个捷径，本文总结了一些在线工具，遇到问题，打开网页，想要的东西，分分钟就能解决，让开发变得高效，快速，有了这些工具在手，就可以从繁重的工作任务中解脱出来，有大把的时间去王者峡谷散步打野浪一圈了。 一：Atool在线工具： http://www.atool.org/ aTool,工具在线工具,由华中科技大学一位在校女研究生开发的在线工具集合网站,旨在做出最简单方便、最完整干净、最全面完整的工具
接触过前后端开发的同学应该都了解网络请求代理工具fiddler(mac下面常用的是Charles)，可以用来拦截分析请求、包装请求、本地调试和移动端代理开发调试等。多多少少，fiddler和Charles使用起来还是有些区别，不过还好都是可视化的界面使用配置起来也都比较方便。
一、前言 一般我们经常在访问网站时，通常会遇到输入某个页面的网址时，出现路由的转发，重定向等。可能访问的是一个网址，出来的时候就显示的是另外的地址。 这种情况下，通常属于nginx的页面跳转。
test方法检测目标字符串和正则表达式是否匹配，如果匹配返回true，不匹配返回false。
xurlfind3r是一款功能强大的URL地址查询工具，该工具本质上是一个CLI命令行工具，可以帮助广大研究人员从多种在线源来查询目标域名的已知URL地址。
为了保证学习难度，依次提升，我对 MDN 的内容进行了一个重新整理，并且使用了比较清晰的例子讲解
实际上RegExp类的构造函数可以接受两个参数，除了本身需要匹配的模式字符串外，还可以定义指定额外处理方式的第二个参数。
3、autoresponder: 文件代理：可以使用fiddler来自定义请求返回的文件。
了解需求： 1、性能测试过程中，我们经常需要对流程化的业务进行性能测试，其中涉及到很多接口，这时候问开发拿接口和参数就会降低工作效率，直接用jmeter的录制功能就能提高工作效率 2、开发接口案例中，我们也经常会碰到一些上传、下载、导入等等一些接口功能，这些脚本如果直接问开发拿接口和参数也不方便，直接录制效率也会更高 3、百度网盘共享了一份录制模版，常用的测试元件都已经添加，排除模式也添加了常见的不需要的请求，录制模板下载方式见文章末尾介绍 一、配置浏览器代理 1. 打开IE浏览器，然后点
很多时候访问目标资产IP响应多为：401、403、404、500，但是用域名请求却能返回正常的业务系统（禁止IP直接访问），因为这大多数都是需要绑定host才能正常请求访问的 （目前互联网公司基本的做法）（域名删除了A记录，但是反代的配置未更新），那么我们就可以通过收集到的目标的 域名 和 目标资产 的IP段组合起来，以 IP段+域名 的形式进行捆绑碰撞，就能发现很多有意思的东西。
在我们写文章(博客、公众号、自媒体)的时候，常常觉得自己的文章有些老土，这很大程度是因为配图没有选好。本文将和大家分享一个实用爬虫案例！
Tamper：列表中的是sqlmap自带的tamper，输入框中可填入自定义的tamper使用 ”,“逗号分割 。
LinkFinder是一款功能强大的Python脚本，在该工具的帮助下，广大研究人员可以轻松在JavaScript文件中发现和扫描网络节点及其相关参数。这样一来，渗透测试人员和漏洞猎人将能够快速在测试的目标网站伤收集新的隐藏节点了。
location = / { # 精确匹配 /,主机名后面不能带任何字符串 [ configuration A ] } location / { # 因为所有的地址都以/开头，所有这条规则将匹配到所有请求 # 但是正则和最长字符串会优先匹配 [ configuration B ] } location /documents/ { # 匹配任何以/documents/开头的地址，匹配符合以后，还要继续往下搜索 # 只有后面的正则表达式没有匹配到时，这一条才会采用 [ configuration C ] } location ~ /documents/Abc { # 匹配任何以 /documents/开头的地址，匹配符合以后，还要继续往下搜索 # 只有后面的正则表达式没有匹配到时，才会采用这一条 [ configuration CC ] } location ^~ /images/ { # 匹配任何以/images/开头的地址，匹配符合以后，停止往下搜索正则，采用这一条 [ configuration D ] } location ~* \.(gif|jpg|jpeg)$ { # 匹配所有以gif，jpg或jpeg结尾的请求 # 然而，苏朋友请求/images/下的图片会被config D处理，因为^~到达不了这一正则 [ configuration E ] } location /images/ { # 字符匹配到 /images/,继续往下，会发现^~存在 [ configuration F ] } location /images/abc { # 最长字符匹配到/images/abc,继续往下，会发现^~存在 # F与G的放置顺序是没有关系的 [ configuration G ] } location ~ /images/abc/ { # 只有去掉config D才有效：先最长匹配config G开头的地址，继续往下搜索，匹配到这一正则，采用 [ configuration H ] } location ~* /js/.*/\.js
前段时间需要快速做个静态展示页面，要求是响应式和较美观。由于时间较短，自己动手写的话也有点麻烦，所以就打算上网找现成的。
URL跳转 这里说的URL跳转就是用户在访问一个URL时将其跳转到另一个URL上。 常见的应用场景是让多个域名跳转到同一个URL上，（例如让旧域名跳转到新域名上） 将静态文件请求跳转到cdn上等 根据用户设备跳转到不同站点（pc版，wap版）等。 URL跳转可以通过js在页面上设置的window.location实现 也可以通过php设置header来实现 当然也可以用nginx 的 rewrite功能实现
其实这个问题，之前在Python黄金群也有问过【十一姐】，当时【十一姐】和【孙文】大佬也有给过思路，今天这里整理成文章，分享给大家。
上网去搜索访问资源对于我们来说并不陌生，通过浏览器发送一个 HTTP 请求实现从客户端发送请求到服务器端获取所需要内容后并把内容回显展示在页面的一个过程。这个时候，我们所请求的内容就分为两种类型，一类是静态资源、一类是动态资源。
矫正： location 的匹配顺序其实是“先匹配普通，再匹配正则”。我这么说，大家一定会反驳我，因为按“先匹配普通，再匹配正则”解释不了大家平时习惯的按“先匹配正则，再匹配普通”的实践经验。这里我只能暂时解释下，造成这种误解的原因是：正则匹配会覆盖普通匹配。
1.跨域问题。本地联调产生跨域，还得让后台接口origin设置个*，仍然存在一系列问题
通过网络爬虫获取目标相关域名资产信息，其根源主要是企业为了方便客户访问不同产品而在网站上提供跳转链接，通过访问网站的内容，然后抓取其中的 URL，再根据 URL 来获取其内容，再一次获取其中的 URL，不断发散下去。
服务器上81和82端口部署了两个网站，想通过listen 80端口，实现 ip/参数，来转发到不同的端口
CWFF是一款专用于模糊测试的自定义字典工具，该工具可以帮助广大研究人员以高速并发的形式创建一个特定的高质量模糊测试/内容发现字典。
页面所有资源包含本页面所在域资源以及第三方域资源，同主域的资源也认为第三方域资源，这种资源一般是以绝对路径的方式标识，同域下资源主要有三种表现方式 （以https://www.baidu.com举例）
在正式开始分享我的内容前，我要极力推荐大家去看下Linus Särud和Bo0oM发表的两篇，关于Safari特殊字符处理被滥用，导致XSS或Cookie注入的研究文章。
Nginx 使用ngx_http_proxy_module来完成对后端服务的代理。
本文介绍了如何通过shell命令行进行两个文件之间的对比，包括使用cat命令、while循环、for循环以及grep命令等方法。通过这些方法，可以方便地求出两个文件中每行对比的相同内容，并输出结果。
上周接到一个需求，根据页面 url 来决定是否出现一个弹窗提示。为了方便管理这个特性，我将 url 列表配置在了后台，前端通过接口取得列表再进行校验。
顺序 no优先级： (location =) > (location 完整路径) > (location ^~ 路径) > (location ~,~* 正则顺序) > (location 部分起始路径) > (/)
3、一旦配置请求location映射到了指定的位置，那么下面全部的文件夹和文件都可以映射到，不需要在配置对其的映射，比如，但是如果使用其中的文件名重新映射了地址，那么这个路径将不能使用
本章主要就是一个东西，如何配置webpack的devServer.proxy实现代理转发。这个应该是日常开发事情中必见的内容了。 git仓库：webpack-demo 1、开始 既然是请求数据，那么就先安装下axios。 $ cd chapter10 $ npm install axios --save 然后我们在src/index.js文件中使用axios请求一下豆瓣api的接口，拿它电影的前250条数据。 + import axios from "axios"; // ... // 测试devS
抓文档的正文非常简单，使用GNE高级版，只要有URL直接就能抓取下来，如下图所示：
Nginx除了可以用作web服务器外，他还可以用来做高性能的反向代理服务器，它能提供稳定高效的负载均衡解决方案。nginx可以用轮询、IP哈希、URL哈希等方式调度后端服务器，同时也能提供健康检查功能。目前有众多公司均已经部署使用nginx实现基于七层的负载均衡功能。 1）Nginx负载均衡 为了实现Nginx的反向代理以及负载均衡功能，应用中需要用到两个模块，HttpProxyModule和HttpUpstreamModule模块；其中HttpProxyModule模块的作用是将用户的数据请求转发到其他服
「需要先进入安装好的目录/usr/local/nginx/sbin」【因为这里暂时还没有配置环境变量】
笔者开源了一个小项目code-run，类似codepen的一个工具，其中代码编辑器使用的是微软的Monaco Editor，这个库是直接从VSCode的源码中生成的，只不过是做了一点修改让它支持在浏览器中运行，但是功能基本是和VSCode一样强大的，所以在笔者看来Monaco Editor等于VSCode的编辑器核心。
cd /etc/nginx/conf.d vim Testpage1.conf server { listen 443 ssl; #配置HTTPS的默认访问端口号为443。此处如果未配置HTTPS的默认访问端口，可能会造成Nginx无法启动。Nginx 1.15.0以上版本请使用listen 443 ssl代替listen 443和ssl on。 server_name www.certificatestests.com; #将www.certificatestes
. 匹配除回车(\r)、换行(\n) 、行分隔符(\u2028) 和 段分隔符(\u2029) 以外的所有字符
但是如果每次都手动添加会很麻烦。我之前写过关于一篇用 JavaScript 批量添加 nofollow 的文章：
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
