文档：https://developers.weixin.qq.com/miniprogram/dev/framework/details.html
时隔多日秋风又回来了，这次带来的主题是，王者荣耀是如何手把手让你上头的，对.... 其实这句话重点不是上头，也不是王者荣耀，重点是"手把手"。
小程序自上线以来，官方一直在调整API，因此也出现了一批被废弃的接口，作为程序员的我们，此时此刻千万不能为这不断的变化而感到头疼，应当与时俱进，不断的更新自己的知识储备和应用技能。
Boxy是一个基于JQuery的弹出层插件，它有相对漂亮的外观，功能齐全，支持iframe，支持模式窗口但相对于同样的弹出层插件BlockUI它明显笨重，但使用不那么方便。
由于传播、利用本公众号亿人安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号亿人安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！
写这篇博文起源来自于一次网络安全实验课，在实验虚拟环境里有一个xss挑战，估计是搬别人的xss挑战进来，我觉得挺有意思，就记录一下。有些关卡不能再虚拟环境实践，我在自己物理机上找到那个xss挑战平台进行实现。
我们的浏览器厂商很多，我们在日常生活中就常用到谷歌、safari、火狐、qq等浏览器。
不到2年，竟然调整了那么多次，这是我见到这个世界上开放平台最变态的接口能力回收之路，可以说是见证了第三方应用的各种不合理滥用，也见证了开放平台如何防止滥用。
Dialog.open({ID,Title,URL,InnerHtml,InvokeElementId,Width,Height,Top,Left,Drag,OKEvent,ShowButtonRow,MessageTitle,Message,AutoClose,OnLoad})
在网上参考了部分方法，综合了一下。 发现有2中方式： 第一种是不能直接弹出添加界面的，只能弹出网页，再通过网页中的添加好友才能添加：
我们的手机屏幕越来越大，但还是经常感觉看起手机来一点都不爽，还是电脑玩起来比较舒服。而且电脑的屏幕，大家还可以想买多大的就买多大的、想用曲屏的就用曲屏的~ 今天就来教大家如何将手机投屏到电脑（系统要求win10），无需任何软件。
某入群题又来啦！由于之前刚好做了下hitcon的两个命令执行绕过，问了下pcat能不能写这篇文章。然后他说随便我…..这里就记录一下。看题！
需求：在微信h5页面中下载第三方app —— 安卓， 直接下载apk文件包；iphone，跳转AppStore
从本文开始，打算写一个系列文章。其主要目的是从xss-labs靶场题解开始来介绍一下XSS攻击。
上节我们实现了登陆功能，但是可惜用户表中没数据。所以这节我们讲如何注册用户。
作为开发人员，我们应该知道一些开发工具和网站来提高工作效率。今天就给大家推荐小编自己开发的拼接字符串工具网站（www.loveshanstudio.com），可进行数组拼接、尾部换行、尾部空格，用于SQL语句拼接成java、JSP和HTML标签拼接成JS等场景。小编在开发过程中，是比较经常用到的。希望对你有所用处，提高你的开发效率。下面给大家介绍如何使用。
在之前我们一般的新增修改都是通过弹出模态框来进行一个新增修改功能的，但大多数都是新增通过新增模态框，修改通过修改模态框，还有一种就是公用一个模态框，这个就是因为新增和修改的模态框因为是一样的，所以这个可以和起来用一个，和起来用一个这个新增修改的保存方法就和以前的有所不同。
为帮助开发者优化小程序内用户登录体验，平台将逐步回收线上版本使用 wx.getUserInfo 接口直接弹出授权框的能力，调整详见《小程序与小游戏获取用户信息接口调整》。
《javaScript高级程序设计》这本书讲过: javaScript = ECMAScript + DOM + BOM。
在日常开发中，经常会有计算或者拼接输入框内容，然后在另一个输入框呈现的场景，例如：计算器、拼接名称等等。
在js中经常需要知道Object中的所有属性及值，然而若是直接弹出Object，则是直接显示一个对象，它的属性和值没有显示出来， 不是我们想要的结果，从而需要遍历Object的所有属性。 var obj=要遍历的对象 var str=“”; for (var item in obj){ str +=item+":"+obj[item]+"\n"; } alert("str==:\n"+str); 弹出所有属性及值 从而选出我们想要的
将 gt.js 文件下载到项目的 src/vendor 目录中，然后在 src/views/login/index.vue 中加载该文件。
近期做渗透项目时，很多目标资产都是只有一个登录框，且没用常见的指纹。防护也做的非常好，像是态势感知、天字号等设备都不止一套，所以什么sql注入、XSS之类的漏洞就不用想了（能绕过的大佬除外），当然弱口令这些也都是没有的。
上节，我们尝试制作了一个登陆页面前端，有的小伙伴反馈说有点跟不上前端开发这块，这是正常的，而且公众号又不是什么直播课程，是没有跟不跟的上之说，哪怕一周敲出来一节课的内容也无所谓。不过的确前端开发对我们测试来说一直是一块黑洞，很少有人掌握这里的技术，或者说我们做出来的东西有点丑，不过这正常，如果好看的话，基本都去做前端开发了。
[html5] (Notification) 桌面通知 前几天要做一个桌面通知的功能，翻查以前做的笔记，发现webkitNotifications这个已经不能用了，baidu了下，基本都是介绍webkitNotifications的，后来在SOF上找到答案，现在chrome支持的是Notification，估计是W3C标准化了。api也变了，mark之。 ---- Notification Properties title:"别动神仙说:" body:"这里是body" icon:"http://q4.ql
近日，有网友在乌云上发布了一则Discuz论坛附件下载权限绕过漏洞，能够任意下载带有权限的附件并且无需扣除自身积分。目前Discuz正在处理中，但暂未放出漏洞补丁，有需要的朋友不妨趁漏洞修补之前到各论坛大肆搜刮一番。
打开后发现需要登录，那就登录他的默认账号，admin，123456；又看到熟悉的输入框，直接构造JavaScript
然后局域网中的其他用户，就能通过点开设备和打印机，然后点击添加打印机，添加网络打印机（WIN7），WIN10点了添加打印机就会自动搜索网络打印机了。
写在前面 一直不更行任何的东西，毕竟年终了，项目比较着急，没有什么时间写，我们这老家的天气也着实冷的狠，真的是不想碰笔记本，但是不更新吧也不行，今天简单的说一下几个点，一个是文件上传，一个是怎么处理
Nu1L Team写的<<从0到1：CTFer成长之路>>的题目在BUUOJ上都有了复现环境，简单看了看发现WEB的题目wp和环境都比较齐全，决定做一下并且写博客记录一下。
「当前教程使用的playwright版本为1.37.0,selenium版本为3.141.0」
一般flash在网页显示出来就可以了，不用说与JavaScript之间交互的问题，但有时应用又较为特殊(须兼容各主流浏览器)：
Pipeline工具停更了一段时间，因为参数化查询一直没有找到基于.NET的开发方法，比较苦闷，在收集资料的过程中也拜读到大牛们写的文章，参考了一些前辈的总结，做了检查虚线的功能，也不知道有没有实际用处，纯属闲的敲几行代码。
一个2T的Seagate希捷移动硬盘，没有怎么用过，在笔记本上拷贝了几个文件就突然消失了，而且再次拔插USB线后发现仍然看不到硬盘盘符。 但发现插上USB线后，任务栏中出现了USB插入硬盘的提示图标，看到这个我放心多了，至少表示电路是通的。于是打开了计算机管理，在磁盘管理中视图找到它，但始终没有它的身影
跨站脚本攻击(Cross-Site Scripting)简称为“CSS”，为避免与前端叠成样式表的缩写”CSS”冲突，故又称XSS。一般XSS可以分为如下几种常见类型：
后面会把前端进阶的课程内容都总结一遍。有些都是很常见的知识，但是为了梳理自己的知识树，所以尽量模糊的地方都会记录
今天早上打开文档，直接弹出一个提示：“此office2016副本尚未激活”，感觉一脸懵逼，，，怎么会呢？这版本安装的时候就是免激活的啊，想来是安全管家给删除或者禁止了，此前用软件激活过一次office版本，但是激活的同时把我的win10也重新激活了，由原来的专业版变为家庭版，甚是无语，所以这次就不用软件了，使用win10自带的Power shell命令激活。
从上述代码可以看出是和top.js相关联的，也就是说要弄明白搜索相关的代码得去从top.js这个文件中找。
在计算机中，不同的数据所需占用的存储空间是不同的，为了便于把数据分成所需内存大小不同的数据，充分利用存储空间，于是定义了不同的数据类型。
KKCMS是基于PHP+MYSQL开发的开源CMS。可以直接在GitHub上下载就可以了。
很多时候我们需要在windows下面写代码，然后弄到linux下面编译运行，此时对于使用虚拟机的朋友来说，代码的转移似乎是那么麻烦。
当我们输入<script>alert('Eastmount') 时，并没有弹出窗体，运行结果如下图所示：
XSS长期被列为web 安全的大敌，那么什么是 Xss 呢？看如下列子： 1： php 页面： <?php $input=$_GET["param"]; echo "<div
在我们平时开发过程中，可能都会使用到下拉框这个组件，里面的值要么是动态的，要么是静态的，但是方便日后的维护，大多数都会将他配置成代码项封装成集合，通过遍历，生成动态的数据，这个数据都是从跳转的控制器以集合的形式带过来，这会导致每写一个select都要从后台把这个集合带过来吗，然后再去遍历，这从代码的设计角度来看，非常的臃肿，很难实现低耦合，除非下拉框里面的数据是业务中产生的数据，不得不这样做。接下来就讲述下我的简单封装:
背景 近期负责的管理后台，有下拉多选的业务需求 通过网上的经验搜索，发现 xm-select 是个非常不错的选择 并且，当前的后台使用的正是 layui 前端框架 所以，在此整理一下 对下拉多选功能 【xm-select 】 的使用步骤 欢迎指摘 … ▷ 使用步骤 参考使用文档，根据本人实际操作步骤，在此描述如下： ①. html 代码 此处摘取核心代码如下 （前端框架使用的是 【layui】） 02
还是结合上一阶段的工作，为TPS满足合同里的要求，预研数据库切换为TDengine。所以查看数据的工具我得能连上去看，习惯了Dbeaver，所以先把Dbeaver整的能连接使用。
跨站脚本攻击XSS(Cross Site Scripting)，为了不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页面时，嵌入Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。XSS攻击针对的是用户层面的攻击！ XSS分为：存储型 、反射型 、DOM型XSS
XSS攻击是Cross-Site Scripting的缩写，直白来说，就是页面被注入了恶意的代码——用户输入的内容跳出文本的限制，成了可执行的代码。
世界杯将全世界引入看球模式，大量的“伪球迷”们纷纷浮出水面。如何判断一个球迷是否伪球迷呢？如果不知道解说员挂在嘴边的“越位”是什么意思，基本可以算伪球迷了。这一深刻影响现代足球的规则描述起来非常复杂，文字、图片都难以解释清楚，普通人还真难看懂。手机百度移动搜索监测到“越位”这个词的搜索次数正在飙升，做了一个新功能，用户只需在手机百度搜索“越位”，就会直接弹出一个示意动画，让用户更加形象直观地了解究竟什么是越位，再也不怕“伪球迷”的身份被识破了。 “特型搜索”解放伪球迷，傻瓜搜索 这一特型搜索，动画展示并不是
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
