对于我这个菜鸟来说，我通过谷歌百度学习到很多前辈的资料，甚至每句话都是他的指导，我也很感激前辈的为我们铺设的道路，让我们更快的成长起来。我也乐于分享，可能有些知识点过于单调或者久远，请见谅。
0x01开场白 这个议题呢，主要是教大家一个思路，而不是把现成准备好的代码放给大家。 可能在大家眼中WAF（Web应用防火墙）就是“不要脸”的代名词。如果没有他，我们的“世界”可能会更加美好。但是事与愿违。没有它，你让各大网站怎么活。但是呢，我是站在你们的这一边的，所以，今天我们就来谈谈如何绕过WAF吧。之所以叫做“杂谈”，是因为我在本次演讲里，会涉及到webkit、nginx&apache等。下面正式开始：） 0x02直视WAF： 作为第一节，我先为大家简单的说下一些绕过WAF的方法。 一：大小写转换法：
该备忘清单可用于漏洞猎人，安全分析，渗透测试人员，根据应用的实际情况,测试不同的payload，并观察响应内容，查找web应用的跨站点脚本漏洞，共计100+条xss漏洞测试小技巧。
在组件中，有需要跳转页面，并且不让用户返回的情况，例如：支付、登录、注销等。请做一下修改：
简介 跨站脚本攻击（Cross Site Script）为了避免与层叠样式表CSS混淆，故称XSS。XSS是指攻击者利用网站没有对用户提交数据进行转义处理或者过滤不足的缺点，进而将一些代码嵌入到web页面中去，使得别的用户访问也好执行相应的嵌入代码，从而盗取用户资料、利用用户身份进行某些动作或对访问者进行病毒侵害等攻击。反射型和存储型XSS的作用一样，只是用户触发形式不同。 类型 反射型：反射型XSS攻击，又称为非持久型跨站脚本攻击，它是最常见的XSS类型。漏洞产生的原因是攻击者注入的数据反映在响应上，一个
有些授权测试中，允许红队人员用社会工程学之类的方法进行渗透。钓鱼和水坑则是快速打点或横向的常用手段。钓鱼通常需要绕过目标邮件网关等安全设备，水坑则需要摸清目标的操作习惯。在此简单的罗列一下布置水坑的方法。ps：本文未涉及任何真实案例。
某次业务上线常规安全测试，有记录操作的功能，猜测存在存储型XSS漏洞，但由于存在长亭WAF被拦截。遂将之前总结的XSS绕过手段逐一测试了下。
在一次测试中，遇到一个可以利用 XSS 的点，但是存在 BIG-IP ASM 防火墙，导致无法直接利用，在大神的帮助下完成了利用。随后经过自己的努力，也找到了一种绕过方式。
接到一个设计需求，要求xmyanke在网站右侧挂一个弹窗广告宣传最近的活动，找了半天都没看到合适的，自己鼓捣了一行js弹窗代码就能设计漂亮的弹窗广告，来瞧一下，欢迎拍砖提意见，js弹窗广告代码如下： document.writeln("<img src='/templets/2014/images/zj_pf.jpg' bo08
“小白，今天上午布局的那个弹窗想法不错！” 小白说道：“我只是用CSS布了一个局，还没有添加用户交互呢！” 老朱说：“不着急，像这种常用的功能你可以尝试把它做成控件，这样以后就能经常使用了，从现在开始我们用几天的时间了解一下，怎么做一个能够经常调用的控件吧！” “恩，这样确实不错，虽然做的时候麻烦点，但是以后使用起来就会很方便了！我应该做点什么准备工作呢？” 老朱跟小白说：“一个控件包含CSS和JS两个部分，你可以建一个文件夹，把你做的控件的JavaScript文件和CSS文件放进去，使用的时候在当前页
在几年前，博主有意学习前端相关的内容，诸如Vue等相关的框架，所以也就想了解一下关于Html、CSS、JavaScript 等相关内容，但是没有实战的地方，随之放弃。 时至今日，鸿蒙系统上线，看到用的语言是基于TypeScript (自认为) 的arkts（android runtime kit type script） 所以去了解下对应的知识，发现还得是JavaScript，所以在此记录，把对应的知识重新再梳理一遍，书中多有错误，烦请诸君斧正，感谢~
关于验证码的使用场景还是非常多的，很多网站上的验证码可谓是五花八门，下面是我使用Vue.js实现滑动拼图验证码做的一个笔记。
中间磨磨唧唧从原生JS找到JS插件，浪费了不少精力和时间，但是也磕磕碰碰学到了些知识，建议读者：想学一下弹窗的JS实现代码的可以看看前两小节，只想实现效果的，直接复制源码就行！
《xss攻击手法》一开始在互联网上资料并不多(都是现成的代码，没有从基础的开始)，直到刺的《白帽子讲WEB安全》和cn4rry的《XSS跨站脚本攻击剖析与防御》才开始好转。 我这里就不说什么xss的历史什么东西了，xss是一门又热门又不太受重视的Web攻击手法，为什么会这样呢，原因有下： 1、耗时间 2、有一定几率不成功 3、没有相应的软件来完成自动化攻击 4、前期需要基本的html、js功底，后期需要扎实的html、js、actionscript2/3.0等语言的功底 5、是一种被动的攻击
在移动端中，如果我们使用了一个固定定位的遮罩层，且其下方的dom结构的宽度|高度超出屏幕的宽度|高度，那么即使遮罩层弹出后铺满了整个屏幕，其下方的dom结构依然可以滚动，这就是大家所说的“滚动穿透”。
写这篇博客的缘故是因为看到cnblogs上的live2d模型可以自动欢迎，但是自己又不会魔改Hexo的live2d，就想到了以弹窗的方式来欢迎。
作者 Black-Hole 0×01 前言: 《xss攻击手法》一开始在互联网上资料并不多(都是现成的代码，没有从基础的开始)，直到刺的《白帽子讲WEB安全》和cn4rry的《XSS跨站脚本攻击剖析与防御》才开始好转。 我这里就不说什么xss的历史什么东西了，xss是一门又热门又不太受重视的Web攻击手法，为什么会这样呢，原因有下： 1、耗时间 2、有一定几率不成功 3、没有相应的软件来完成自动化攻击 4、前期需要基本的html、js功底，后期需要扎实的html、js、actionscript2/3.
WPJAM Basic 在后台使用 Thickbox 实现弹窗效果的，Thickbox 基于 jQuery，虽然很古老，最后一次更新已经是 2014 年了，但是一直非常好用，所以我在各种 WordPress 后台的各种弹窗都是使用 Thickbox 实现的。
表明它是一个组件，我们称之为“子组件” 3. 注意：在组件wxss中不应使用ID选择器、属性选择器和标签名选择器。（只使用class）
打开后发现需要登录，那就登录他的默认账号，admin，123456；又看到熟悉的输入框，直接构造JavaScript
讲法声明 - 很重要，请先查看 关于JavaScript的讲法，我们采取的方式与HTML&CSS类似，先在课程中带大家，以“实现页面小功能”为目的，一步一步的进行实现，并在期间讲解相关知识点，在其中一些相关的“细节”知识点我们暂时先忽略掉，先完成主干的学习。在一个小阶段的主干知识学习完成之后，我们再回头详细分析“细节”。这样更有利于大家的吸收和理解，不容易陷入到一些不必要的问题当中。 本文内容概要： 1 回顾JavaScript的基本组成 2 JavaScript引入方式 3 JavaScript基本调试
最近David Leo在Full Disclosure上爆出了一个ie的 uxss 漏洞，可以绕过ie的同源策略。FreeBuf也有相关的报道（点我查看）。本文简要分析一下这个漏洞的原理。 攻击过程 <iframe src="redirect.php"></iframe> <iframe src="https://www.google.com/images/srpr/logo11w.png"></iframe> <script> top[0].eval('_=top[1];alert();_.loc
Modal也即是模态窗，通俗的说就是弹窗。是一款bootstrap的js插件，使用效果也是非常好。
从本文开始，打算写一个系列文章。其主要目的是从xss-labs靶场题解开始来介绍一下XSS攻击。
WebView如果作为简单的网页浏览器，对于一般的浏览行为来说，已经足够了。可做为企业开发者，你的App通常要嵌入自家公司的网页，如此一来，还得考虑App与Web之间的消息传递，这就涉及到App的原生代码与Web的JS代码之间的通信了。 App与Web做为消息通信的双方，具体的交互行为分为四类，包括：App通知Web执行某项动作、App主动从Web获取信息、Web通知App执行某项动作，Web主动从App获取信息，这四种行为详细说明如下：
我们首先可以通过直接定位下拉框中的内容对应的元素，完成对下拉框元素的处理，我们也可以通过select类
摘要：我们在项目开发的过程中，也许会在很多页面实现弹窗的消息，普通的方法就是在这每个界面写些原生js代码来控制弹窗效果，这样明显非常冗余。可通过引入组件的方式，可解决部分冗余的代码，但是每个要使用的界面都必须导入、注册、使用，这些代码还是比较冗余。通过插件的方式封装Toast，可解决每个页面重复导入、注册、使用的重复过程。
在jquery框架的使用中，难免会遇到按钮或文本框等各种各样的要求要进行相应事件的绑定操作，进行事件的绑定能够增加页面的交互效果，相信在html和js中进行事件的绑定大家都不陌生，那么今天我就来和小伙伴们分享一下利用jquery如何进行事件的绑定！
qiankun 是主流的微前端方案，其他的还有京东的 micro-app、腾讯的 wujie 等。
弹窗包括：alert、confirm、prompt, 和url拦截类似都在回调方法中处理
记得有一次组内分享，以弹窗为例讲了如何创建可复用的vue组件，后面发现这个例子并不恰当（bei tiao zhan），使用组件需要先import，再注册，然后再按照props in events out原则使用，无论从流程或者使用方式来说都相当麻烦。
JavaScript是一门单线程但是可处理异步任务的脚本语言,是没有提供sleep等类似的方法的,当有需求需要暂停js脚本时,可以使用以下的方法 单线程分析:http://blog.csdn.net/talking12391239/article/details/21168489
最近在做的项目是智慧屏项目，用于公司的电视屏展示，它采用的技术栈是vue+js+sass,项目很多采用的都是组件化，用组件化的优点就是可复用性高，减少代码冗余，组件化的思想在开发中很常见也很重要。下面将这次项目中自己做的不足的点以及需要注意的点列举出来。感兴趣的朋友可以看看。
(PS:最近发现一个问题，如果页面内有textarea时，textarea的层级会比蒙版视图高，并且无法修改，做了一个比较笨的解决方案：小程序textarea层级问题)
在上期文章中，FinClip的工程师和我们主要聊了聊如何写出小程序的样式内容。在本期文章中，我们来看一下如何在小程序中使用 js 的，即在小程序中使用脚本内容处理内容或样式的改变。
故事还要从上一篇教程说起，本来嘛，我只是打算写个左右翻页的上下篇UI重写。然后dorakika从我的魔改里得到灵感，写了个悬浮按钮。
🎉欢迎来到Java学习路线专栏~ElementUI的Dialog弹窗实现拖拽移动功能
之前做小程序开发的时候，对于开发来说比较头疼的莫过于自定义组件了，当时，官方对这方面的文档也只是寥寥几句，一笔带过而已，所以写起来真的是非常非常痛苦。
前言 element弹窗效果挺好看的，就分享给大家了！ 效果演示 image.png image.png 食用方法 一、引入cdn资源 <script src="https://cdn.jsdelivr.net/npm/vue@2.6.14/dist/vue.min.js"></script> <script src="https://cdn.jsdelivr.net/npm/element-ui@2.15.6/lib/index.js"></
本文主要是记录自己在移动端开发中遇到的一些坑点或者总结（持续更新，有新的坑点会总结进来）
5、重点 ---- 必须在结尾处必须调用 out.flush(); 代码，窗口才能实现，不然提示弹窗无效
SweetAlert是一个颠覆传统弹窗形式的新弹窗，相较于传统浏览器内置弹窗，SweetAlert更加地美观清晰，并且可以引入更多的功能，让弹窗变得灵性。
第二关重点是语句的闭合，根据给我们的代码可以分辨出这是一个文本框 ，我们需要闭合文本框的标签才可以执行我们的弹窗语句
通常指攻击者通过“HTML注入”篡改网页，插入恶意脚本，从而在用户浏览网页时，控制用户浏览器的一种攻击手段 。
移动端运行在浏览器上的网站，我们一般称之为H5应用，就是泛指我们经常开发的spa,map页面
之前有分享一个svelte.js开发自定义移动端弹框组件sveltePopup。今天再分享一个svelte自定义网页版弹窗组件svelteLayer。
支付宝小程序弹窗交互组件和微信小程序弹窗功能都差不多，对功能有比较多的限制，尤其想要实现丰富一些的弹窗场景就只能自己写组件实现了。
Node.js 是一个基于 Chrome V8 引擎的 JavaScript 运行时环境。最早发布于 2009 年 5 月，由 Ryan Dahl 开发。它使用了一个事件驱动、非阻塞式 I/O 模型，让 JavaScript 运行在服务端的开发平台，能让 JavaScript 成为 PHP、Python、Perl、Ruby 等服务端语言的脚本语言。
在Process Builder通过ACTION绑定popup windows可以实现弹窗，但是默认情况Server Mode模式下会刷新整个界面，用户体验不好。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
