写这篇博文起源来自于一次网络安全实验课，在实验虚拟环境里有一个xss挑战，估计是搬别人的xss挑战进来，我觉得挺有意思，就记录一下。有些关卡不能再虚拟环境实践，我在自己物理机上找到那个xss挑战平台进行实现。
框架是程序员将一个又一个功能进行封装，供其他人使用的程序组件，了解为模板而已。我们使用框架是为了简化开发进程。
可以用在 双花括号插值和 v-bind 表达式，其中 v-bind 从 2.1.0+ 开始支持。
使用爬虫爬取网站数据，有时会将HTML相关的标签也一并获取，如何将这些无关的标签去除呢，往下看：
最近有个案例觉得挺有意思，可以分享一下。我们知道Windows里启动一个进程可以使用createprocess函数(https://docs.microsoft.com/en-us/previous-versions/aa908775(v=msdn.10))，大体上的使用可以看空白写的
过滤器注册 大致的过程可以分成两步 1.进行过滤器的注册 2.过滤器的使用,在表达式的后面添加管道符号(|)
作者 Taskiller Hi基友们，本文主要描述Google前些天发布的关于XSS漏洞游戏的玩法，地址在这里。 https://xss-game.appspot.com/ 本文我会列举在网络中找到的一些有趣的方法，包含所有关卡。废话不多说，直接开始吧！ Level 1: Hello, world of XSS 好吧，这一关很简单，没什么可说的： <script>alert(1);</script> Level 2: Persistence is key 这一关可以用以下这几种不同的方式： <a hre
做采集的都知道，一般采集过来的内容难免会带有html标签，如果有太多的标签会影响之后的数据分析或提取，所以需要过滤掉！PHP已经为我们提供了很多清除html格式的方法了，下面就让老高介绍一下。
php对json字符串解码使用json_decode()函数,第一个参数传字符串，第二个参数若为true，返回array；若为false，返回object。如果返回NULL,说明报错，输出json_last_error()，得到的整数值对应错误提示。如图：
目标是一大学，在一次挖洞过程中遇到个sql注入，尝试进一步利用扩大危害，漏洞已报送平台进行了修复。
当模版引擎遇到一个变量，它将计算这个变量，然后用结果替换掉它本身。 变量的命名包括任何字母数字以及下划线 ("_")的组合。 变量名称中不能有空格或标点符号。
jQuery网页脚本语言核心之一 概述： 1. 选择器是jQuery的基础 2. 对事件处理，遍历DOM和Ajax操作都依赖于选择器 3. 可简化代码 什么是jQuery选择器？ 层叠样式表 良好地继承了css选择器语法，还继承了其获取页面元素便捷高效的特点 于css不同，jQuery选择器获取元素后，为该元素添加的是行为 有良好的兼容性 优势 1. 简洁的写法 (1) $(选择) 2. 完善的处理机制 (1) 简洁，避免某些错误 类型： 可通过css选择器和过滤选择器两种方式选择元素，每种又有不同的方法来
我们知道对靶机的渗透可以提高自己对知识的掌握能力，这篇文章就对上传靶机upload-labs做一个全面的思路分析，一共21个关卡。让我们开始吧，之前也写过关于上传的专题，分别为浅谈文件上传漏洞(客户端JS检测绕过) 浅谈文件上传漏洞(其他方式绕过总结)
在 mysql 中，分号 代表一个查询语句的结束，所以我们可以用分号在一行里拼接多个查询语句
前言——几日前，我那上初中的妹妹突然发VX问我说她想复制网上搜到的一些朋友圈文案拿去发朋友圈，但是问题是复制不了！
文件上传漏洞是指攻击者上传了一个可执行的文件到服务器并执行。这里上传的文件可以是木马，病毒，恶意脚本或者WebShell等。
JSON（JavaScript Object Notation, JS对象标记）是一种数据格式，不是一种编程语言。JSON和JavaScript对象区别，就像“斑马线”和“斑马”，“斑马线”基于“斑马”身上的条纹来呈现和命名，但是“斑马”和“斑马线”是两种东西。不要混淆!
{{ }} 和 {% %} (变量相关用{{ }} 逻辑相关用{% %})
0x01开场白 这个议题呢，主要是教大家一个思路，而不是把现成准备好的代码放给大家。 可能在大家眼中WAF（Web应用防火墙）就是“不要脸”的代名词。如果没有他，我们的“世界”可能会更加美好。但是事与愿违。没有它，你让各大网站怎么活。但是呢，我是站在你们的这一边的，所以，今天我们就来谈谈如何绕过WAF吧。之所以叫做“杂谈”，是因为我在本次演讲里，会涉及到webkit、nginx&apache等。下面正式开始：） 0x02直视WAF： 作为第一节，我先为大家简单的说下一些绕过WAF的方法。 一：大小写转换法：
简介 跨站脚本攻击（Cross Site Script）为了避免与层叠样式表CSS混淆，故称XSS。XSS是指攻击者利用网站没有对用户提交数据进行转义处理或者过滤不足的缺点，进而将一些代码嵌入到web页面中去，使得别的用户访问也好执行相应的嵌入代码，从而盗取用户资料、利用用户身份进行某些动作或对访问者进行病毒侵害等攻击。反射型和存储型XSS的作用一样，只是用户触发形式不同。 类型 反射型：反射型XSS攻击，又称为非持久型跨站脚本攻击，它是最常见的XSS类型。漏洞产生的原因是攻击者注入的数据反映在响应上，一个
一、整体结构 用div代替table布局 结构、表现、行为三者分离，避免内联 良好的树形结构 四个空格代替一个tab 能并列就不嵌套 代替 引用的class要少 二、代码格式 严格的属性 属性和值全部小写，每个属性都必须有一个值，每个值必须加双引号。 严格的嵌套 内联元素不能包含块级元素 特殊的块级元素只能包含内联元素： h1,h2..p dt li内可以包含div 三、注意事项 避免使用绝对定位，可能会被过滤。
基础用法 你可以用v-model指令在表单控件元素上创建双向数据绑定。它会根据控件类型自动选取正确的方法来更新元素，但v-model本质上不过是语法糖，它负责监听用户的输入事件以更新数据，并特别处理一些极端的例子，v-model 会忽略所有表单元素的value 、checked、selected特性的初始值。因为它会选择Vue实例数据来作为具体的值。你应该通过JavaScript在组件的data选项中声明初始值 文本
loop.index: The current iteration of the loop (1-indexed)
做一名在校大学生，我的梦想是做一名独立的开发者，具备全栈思维额能力的一名开发者，我的技术栈是 SpringBoot + Vue 学习记录来自
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
漏洞知识库 网络安全/渗透测试/代码审计/ 关注 Dom Xss入门 [显式输出] 反射型XSS部分，就到这里了。接着我们进入Dom Xss的部分。Dom Xss相比反射型XSS，脑袋需要多思考一层。也就是说，我们关注的不仅是【输出】了什么，还要了解这个页面里，【javascript】拿这个【输出】干了什么。为了循序渐进，本例讲到的是，【输出】直接在源代码可见的情况。 1. 在学习Dom Xss之前，先来补习点 html, js 的基础知识。 xxx <script>
不需要你做任何的登录认证，他会通过合法的操作（比如： url 中输入，在评论框输入），向你的页面注入脚本（可能是 js、html 代码块等）。
当我们输入<script>alert('Eastmount') 时，并没有弹出窗体，运行结果如下图所示：
官方文档 常用语法 只需要记两种特殊符号： {{ }}和 {% %} 变量相关的用{{}}，逻辑相关的用{%%}。 变量 {{ 变量名 }} 变量名由字母数字和下划线组成。 点（.）在模板语言中有特殊的含义，用来获取对象的相应属性值。 几个例子： view中代码： def template_test(request): l = [11, 22, 33] d = {"name": "alex"} class Person(object): def __init__(
常用语法 只需要记两种特殊符号： {{ }}和 {% %} 变量相关的用{{}}，逻辑相关的用{%%}。 变量 {{ 变量名 }} 变量名由字母数字和下划线组成。 点（.）在模板语言中有特殊的含义，用来获取对象的相应属性值。 几个例子： view中代码： def template_test(request): l = [11, 22, 33] d = {"name": "alex"} class Person(object): def __init__(self,
0x01猫头鹰嘤嘤嘤 http://124.128.55.5:30829/index.php 首先分析一下功能，随便上传一张jpg图片上传，跳转到 http://124.128.55.5:3082
v-model <!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <title>Title</title> <script src="../../../js/vue.js"></script> </head> <body> <s03django 中如何将字典变量传给template视图层的JSdjango中，将view.py中的数据绑定到template中的html 中，我们可以用 render 函数携带 context 参数，复杂的数据结构可以用字典来组织，字典其实就是PHP中的关联数组，java中的map。01简单实现vue数据双向绑定_vue checkbox使用在线HTML/CSS/JavaScript代码运行工具：http://tools.jb51.net/code/HtmlJsRun测试，可得到如下运行效果04【PTE-day06 文件上传】03cisp-pte学习笔记之文件上传1、利用文件上传功能上传恶意文件：一句话木马文件、反弹shell的exe 2、上传文件的路径可访问 3、上传文件所在的路径具备可执行权限02vue 构建 todo 项目系列1todo 即个人事务管理项目，很适合 vue 练手，本系列课程将从零开始演示如何用 vue 构建一个简易的 todo 项目03hexo-tag-aplayer使用方法当开启 Hexo 的 文章资源文件夹 功能时，可以将图片、音乐文件、歌词文件放入与文章对应的资源文件夹中，然后直接引用：05浅析XSS的几种测试方法0x00 背景 最近看到一个好玩的xss社区，准备通过几个经典的关卡来剖析一下XSS，本文仅提供经典案例。 试玩链接：http://tr.secevery.com/xss_platform/co0820个例子入门Q.js本文希望通过20个简单的例子让没用过Q.js的同学快速掌握其基本用法 1. 新建实例 html代码： js代码： var q =0720个例子入门Q.jsQ.js是一个mvvm框架，可以通过构造函数Q new 一个viewModel的实例，其传入的参数el即要绑定的view，可以是selector也可以直接是dom元素，而第二个参数data即model，也就是数据对象。01前端安全配置xss预防针Content-Security-Policy(csp)配置详解CSP全称Content Security Policy ,可以直接翻译为内容安全策略,说白了,就是为了页面内容安全而制定的一系列防护策略. 通过CSP所约束的的规责指定可信的内容来源（这里的内容可以指脚本、图片、iframe、fton、style等等可能的远程的资源）。通过CSP协定，让WEB处于一个安全的运行环境中。01JavaScript之JSON一、简介:Json是JavaScript中读取结构化数据更好的方式。因为Json数据可以直接传给eval()，而且不必创建DOM对象。Json是一种数据格式,不是一种编程语言,虽然具有相同的语法形式，带Json并不从属于JavaScript.而且,并不是只有JavaScript才使用Json,毕竟Json只是一种数据格式。很多编程语言都有针对Json的解析器和序列化器。 二、语法 Json的语法可以表示一下三种类型的值 1、简单值:使用与JavaScript相同的语法,可以在Json中表示字符串、数值、布尔07jQuery选择器（满足你的所有业务）jQuery 选择器基于元素的 id、类、类型、属性、属性值等"查找"（或选择）HTML 元素。 它基于已经存在的 CSS 选择器，除此之外，它还有一些自定义的选择器。02JQuery第一节jQuery就是一个js库，使用jQuery的话，会比使用JavaScript更简单。0318. Flask 模板 - 变量、过滤器在大型应用中，把业务逻辑和表现内容放在一起，会增加代码的复杂度和维护成本。这次的模板内容主要的作用即是承担视图函数的另一个作用，即返回响应内容。02Flask 模板 - 变量、过滤器在大型应用中，把业务逻辑和表现内容放在一起，会增加代码的复杂度和维护成本。这次的模板内容主要的作用即是承担视图函数的另一个作用，即返回响应内容。01Vue实用手册1. Vue.js－是国内开发者尤雨溪开发的js框架，它是实现UI层的渐进式框架, Vue借鉴了Angular的指令、React中组件和props等优点进行设计，从最简单的数据处理，到数据交互，到DOM操作，到路由处理等，VueJS都有完整的解决方案。02聊一聊这个总下载量3603w的xss库，是如何工作的？上篇文章这一次，彻底理解XSS攻击讲解了XSS攻击的类型和预防方式，本篇文章我们来看这个36039K的XSS-NPM库（你没有看错就是3603W次， 36039K次，36,039,651次，数据来自https://npm-stat.com）,相信挺多小伙伴在项目中，也用到了这个库。03
django中，将view.py中的数据绑定到template中的html 中，我们可以用 render 函数携带 context 参数，复杂的数据结构可以用字典来组织，字典其实就是PHP中的关联数组，java中的map。
使用在线HTML/CSS/JavaScript代码运行工具：http://tools.jb51.net/code/HtmlJsRun测试，可得到如下运行效果
1、利用文件上传功能上传恶意文件：一句话木马文件、反弹shell的exe 2、上传文件的路径可访问 3、上传文件所在的路径具备可执行权限
todo 即个人事务管理项目，很适合 vue 练手，本系列课程将从零开始演示如何用 vue 构建一个简易的 todo 项目
当开启 Hexo 的 文章资源文件夹 功能时，可以将图片、音乐文件、歌词文件放入与文章对应的资源文件夹中，然后直接引用：
0x00 背景 最近看到一个好玩的xss社区，准备通过几个经典的关卡来剖析一下XSS，本文仅提供经典案例。 试玩链接：http://tr.secevery.com/xss_platform/co
本文希望通过20个简单的例子让没用过Q.js的同学快速掌握其基本用法 1. 新建实例 html代码： js代码： var q =
Q.js是一个mvvm框架，可以通过构造函数Q new 一个viewModel的实例，其传入的参数el即要绑定的view，可以是selector也可以直接是dom元素，而第二个参数data即model，也就是数据对象。
CSP全称Content Security Policy ,可以直接翻译为内容安全策略,说白了,就是为了页面内容安全而制定的一系列防护策略. 通过CSP所约束的的规责指定可信的内容来源（这里的内容可以指脚本、图片、iframe、fton、style等等可能的远程的资源）。通过CSP协定，让WEB处于一个安全的运行环境中。
一、简介:Json是JavaScript中读取结构化数据更好的方式。因为Json数据可以直接传给eval()，而且不必创建DOM对象。Json是一种数据格式,不是一种编程语言,虽然具有相同的语法形式，带Json并不从属于JavaScript.而且,并不是只有JavaScript才使用Json,毕竟Json只是一种数据格式。很多编程语言都有针对Json的解析器和序列化器。 二、语法 Json的语法可以表示一下三种类型的值 1、简单值:使用与JavaScript相同的语法,可以在Json中表示字符串、数值、布尔
jQuery 选择器基于元素的 id、类、类型、属性、属性值等"查找"（或选择）HTML 元素。 它基于已经存在的 CSS 选择器，除此之外，它还有一些自定义的选择器。
jQuery就是一个js库，使用jQuery的话，会比使用JavaScript更简单。
在大型应用中，把业务逻辑和表现内容放在一起，会增加代码的复杂度和维护成本。这次的模板内容主要的作用即是承担视图函数的另一个作用，即返回响应内容。
1. Vue.js－是国内开发者尤雨溪开发的js框架，它是实现UI层的渐进式框架, Vue借鉴了Angular的指令、React中组件和props等优点进行设计，从最简单的数据处理，到数据交互，到DOM操作，到路由处理等，VueJS都有完整的解决方案。
上篇文章这一次，彻底理解XSS攻击讲解了XSS攻击的类型和预防方式，本篇文章我们来看这个36039K的XSS-NPM库（你没有看错就是3603W次， 36039K次，36,039,651次，数据来自https://npm-stat.com）,相信挺多小伙伴在项目中，也用到了这个库。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
