0x01开场白 这个议题呢，主要是教大家一个思路，而不是把现成准备好的代码放给大家。 可能在大家眼中WAF（Web应用防火墙）就是“不要脸”的代名词。如果没有他，我们的“世界”可能会更加美好。但是事与愿违。没有它，你让各大网站怎么活。但是呢，我是站在你们的这一边的，所以，今天我们就来谈谈如何绕过WAF吧。之所以叫做“杂谈”，是因为我在本次演讲里，会涉及到webkit、nginx&apache等。下面正式开始：） 0x02直视WAF： 作为第一节，我先为大家简单的说下一些绕过WAF的方法。 一：大小写转换法：
但是保存的时候不能把回车换行符保存进数据库呀，所以在保存之前要再次把回车换行符替换没了，发现用js替换\r\n无效，思考了一下，可能是html显示是自动过滤了\r，而以\n来显示吧。于是把替换代码改成：
创建四个组件，分别是头组件，尾组件，list组件，item组件，存在于这个mvc中的。
Beef-XSS框架无疑是当今最强大的浏览器攻击框架，网络上也存在很多关于它的教程，但是大部分都是基于内网环境下的教学，这就使得攻击效果大打折扣，另外大部分XSS教程只是实现一个aler(1)便证明达到了效果，而Beef-XSS要保证完整效果就要加载hook.js文件，在存在一定过滤的情况下，这是有一定难度的。于是便有了今天的文章，希望对大家有所帮助。
写这篇博文起源来自于一次网络安全实验课，在实验虚拟环境里有一个xss挑战，估计是搬别人的xss挑战进来，我觉得挺有意思，就记录一下。有些关卡不能再虚拟环境实践，我在自己物理机上找到那个xss挑战平台进行实现。
php对json字符串解码使用json_decode()函数,第一个参数传字符串，第二个参数若为true，返回array；若为false，返回object。如果返回NULL,说明报错，输出json_last_error()，得到的整数值对应错误提示。如图：
Vue.js是前端三大新框架：Angular.js、React.js、Vue.js之一，Vue.js目前的使用和关注程度在三大框架中稍微胜出，并且它的热度还在递增。
使用爬虫爬取网站数据，有时会将HTML相关的标签也一并获取，如何将这些无关的标签去除呢，往下看：
在kali中已经默认安装了。其他系统我们需要安装python环境。然后再执行下面命令就行安装。
本文章仅供学习交流使用，文中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途以及盈利等目的，否则后果自行承担！
在你的浏览器中打开 index.html，你将看到像下面这样子（当然是你的 webcam 中样子）：
inquirer.js 是一个用来实现命令行交互式界面的工具集合。它帮助我们实现与用户的交互式交流，比如给用户提一个问题，用户给我们一个答案，我们根据用户的答案来做一些事情。
事件通常以v-on开头 例如 v-on:xxx=“func” v-on:click=“function” 鼠标点击事件 可以简写为 @click=“function” 也可以携带参数：例如 @click=“function(test)”
做采集的都知道，一般采集过来的内容难免会带有html标签，如果有太多的标签会影响之后的数据分析或提取，所以需要过滤掉！PHP已经为我们提供了很多清除html格式的方法了，下面就让老高介绍一下。
一个月前刷了XSSchalleng以为自己已经算是入门了XSS了，但是在我挖洞碰到有可能存在XSS漏洞网页的时候，发现我只能记起来<script>alert('xss')</script>
当我们输入<script>alert('Eastmount') 时，并没有弹出窗体，运行结果如下图所示：
首先，JSON与JSONP是两个概念，JSON是一种比较流行的数据格式，用于在不同应用程序之间传输和存储数据。JSONP是在CORS出现之前，解决跨域请求的技术，可以让网页从不满足同源策略的其它域名获取数据；JSONP是json的一种使用方式，可以让当前网页跨域从别的域名获取数据，它利用了<script>标签的src属性不受同源策略影响的特性。
插件根据实际需要在单功能上封装的，实现传入后台数据地址，要保存值的input,前台要传入的参数（过滤条件），来返回下拉提示数据，数据过多可上下滚动选择，选择后显示文本与对应的值，供后台操作，如图： j
一.为什么是Fiddler? 抓包工具有很多，小到最常用的web调试工具firebug，达到通用的强大的抓包工具wireshark.为什么使用fiddler?原因如下： a.Firebug虽然可以抓包
我们用v-for指令根据一组数组的选项列表进行渲染，v-for指令需要以item in items形式的特殊语法，items是源数据数组并且item是数组元素迭代的别名 基本用法
Vue.js 是一套用于构建用户界面的渐进式框架。与其它大型框架不同的是 Vue 被设计为可以自底向上逐层应用。
只有这里有回显 第一个是refer 第二个是useragant 猜测这个就是cookie的xss了
安装nodejs -> 全局安装gulp -> 项目安装gulp以及gulp插件 -> 配置gulpfile.js -> 运行任务 1、去nodejs官网安装nodejs 2、打开命令行，OSX是终端，windows是命令提示符（window + r 输入cmd回车） 3、使用npm（nodejs的包管理器），或选装cnpm执行npm install cnpm -g --registry=https://registry.npm.taobao.org 4、全局安装gulp：(c)npm install gu
要点 cin>> 最常见的是获取输入的一个字符或数字。cin>>会自动过滤掉不可见字符（如空格、换行、回车等） get(c) 用来接收字符，只获取一个字符，可以接收空格、换行、回车，遇回车结束。 cin.get(数组名，接收字符数目) 用来接收字符串，可以接收空格，遇回车结束。由于字符串最后一个字符是'\0'，所以当输入中超过len-1个字符时，实际只能接受len-1个字符。 cin.get() 没有参数。主要用于舍弃输入流中不需要的字符，或者舍弃回车，即舍弃输入流中的一个字符。 cin.getli
控制软件有一个功能,就是上传作业,很幸运的是教师机和学生机一样,全部使用windows默认设置:不显示已知文件的后缀 提交作业时的标准是提交doc或xls文件,对msf的载荷名进行修改 例如:“作业.doc.exe”
JSON(Javascript Object Notaion, javascript 对象表示法)， 是一种数据交换格式，能够在服务器端交换数据， 2001年由Douglas Crockford提出，目的是取代繁琐笨重的XML格式。
首次往线上仓库提交东西时，如果出现403错误，原因是不是任何人都能往线上仓库提交东西，需要鉴权。
前段时间在开发微信小程序，然后后台接口没有跟上，为了不影响开发进度，然后就使用了node.js搭建微信小程序的数据模型mock服务。那么本篇博文就来分享一下node.js搭建数据模型的服务方法。本案例只介绍Mac电脑环境下的安装方法，也就是使用命令终端进行操作的，其他系统应该都是大同小异，请选择性阅读本篇博文。
简介 跨站脚本攻击（Cross Site Script）为了避免与层叠样式表CSS混淆，故称XSS。XSS是指攻击者利用网站没有对用户提交数据进行转义处理或者过滤不足的缺点，进而将一些代码嵌入到web页面中去，使得别的用户访问也好执行相应的嵌入代码，从而盗取用户资料、利用用户身份进行某些动作或对访问者进行病毒侵害等攻击。反射型和存储型XSS的作用一样，只是用户触发形式不同。 类型 反射型：反射型XSS攻击，又称为非持久型跨站脚本攻击，它是最常见的XSS类型。漏洞产生的原因是攻击者注入的数据反映在响应上，一个
基础用法 你可以用v-model指令在表单控件元素上创建双向数据绑定。它会根据控件类型自动选取正确的方法来更新元素，但v-model本质上不过是语法糖，它负责监听用户的输入事件以更新数据，并特别处理一些极端的例子，v-model 会忽略所有表单元素的value 、checked、selected特性的初始值。因为它会选择Vue实例数据来作为具体的值。你应该通过JavaScript在组件的data选项中声明初始值 文本
安装步骤 安装 node.js (网址：https://nodejs.org/en/)。 基于 node.js ,利用淘宝 npm 镜像安装相关依赖。在 cmd 里直接输入：npm install -g cnpm –registry=https://registry.npm.taobao.org，回车，等待安装。 安装全局 vue-cli 脚手架,用于帮助搭建所需的模板框架，在 cmd 里 输入：cnpm install -g vue-cli，回车，等待安装； 输入： vue ，回车，若出现 vue
因为 chromedriver 被墙了，所以需要输入命令 cnpm install chromedriver ，安装 chromedriver 。
XSS, 即为（Cross Site Scripting）, 中文名为跨站脚本攻击
HTML/CSS/JS 格式化插件：HTML/CSS/JS Prettify 安装过程： 在Sublime Text中，按下Ctrl+Shift+P调出命令面板; 首先你的sumblime text3得安装包管理器,如何安装请参考官网: https://packagecontrol.io/installation 输入install 调出 Install Package 选项并回车; 输入pretty，并在列表中选择HTML-CSS-JS Prettify后回车即
举例： 打开一个压缩的jQuery.min.js文件，按下Ctrl+Shift+H
最近，新产品很多种子用户反馈，希望能够出PC版本或者网页版，在与产品同学沟通后，决定先出网页版，后期有时间以网页版为雏形，包装成PC版。
<script>alert('XSS test')</script> “<script>alert('XSS test')</script> <script>alert(document.cookie)</script> javascript:alert(document.cookie); <textarea>标签绕过： 后台在处理数据的时候echo '<textarea>'.$a."</textarea>"; 代码被放在了文本框内 那我们就可通过闭合标签绕过 </textarea><script>alert("xx")</script><textarea> 利用HTML标签执行XSS：【浏览器必须支持伪协议 如：IE6】
在h1中引入{ {msg}}，在js文件中将msg赋值，从而在html中显示大标签的内容
我们的差值表达式是无法在标签属性栏中使用的,这也就意味着,我们无法给某些文本框之类的直接预设值. eg:如下是不行的
这就是说，你可以输入一些类似于habtm的东西，然后按下回车键，他就会扩展为has_and_belongs_to_many。
vue常用内置指令 <!DOCTYPE html <html lang="en" <head <meta charset="UTF-8" <title 12_指令_内置指令</title <style [v-cloak] { display: none } </style </head <body
Electron是一个跨平台的桌面客户端框架，使用 JavaScript，HTML 和 CSS 构建跨平台的桌面应用程序，文档:https://www.electronjs.org/zh/docs/latest，当前使用最新稳定版本:20.1.4 特性 我们可以从中了解到他实现的方式以及他的应用场景 我认为他们最大特点就是: 主进程和渲染进程就行隔离(沙箱模式) 当时用户操作和渲染的事情都是交给渲染进程 当需要操作系统API,例如:创建新窗体,获取电脑的相关信息等就交给主进程 也就是说当主进程和渲染进程需
Vue (读音 /vjuː/，类似于 view) 是一套用于构建用户界面的渐进式框架。与其它大型框架不同的是，Vue 被设计为可以自底向上逐层应用。Vue 的核心库只关注视图层，不仅易于上手，还便于与第三方库或既有项目整合。另一方面，当与现代化的工具链以及各种支持类库结合使用时，Vue 也完全能够为复杂的单页应用提供驱动。
phpstorm （https://www.jetbrains.com/phpstorm/）
这是一个基于 bootstrap 按钮式下拉菜单组件的搜索建议插件，必须使用于按钮式下拉菜单组件上。 示例地址：http://lzw.me/pages/demo/bootstrap-suggest-plugin/demo/ 插件源码：https://github.com/veenter/bootstrap-suggest-plugin
yii gridview功能强大，但是时间筛选比较麻烦，与数据库的存储格式有关，本文的时间格式是date类型 那么问题来了，/【当下浏览的服务器和开发工具是哪些】/yii只提供关于时间的text搜索格式，就是只能查找精确日期比如2017-8-10。万能的客户说这样不行，我要搜索时间段！我只要一个输入框！我要自动提交！ 注意要点： 1.首先要在gridview中引入相关js，实现双日期，这里选择了jquery.daterangepicker.js，简单大方（缺点：不能选择年份，需要手动点击，我这里不会大幅度跨年份，可用） 2.要在searchmodel里面对数据进行处理，进行时间查询 3.坑：选择日期后，输入框没有光标，需要二次点击，然后回车才能实现数据刷新，与原装gridview体验相差较大 4.梯：在检测到输入日期数据后，使用jq模拟回车提交动作，完美实现了类似gridview的原装体验，丝般顺滑 view中
公司的一个web数据展示系统,本来是内网的,而且是一个单独的主机,不存在远程控制的问题,所以之前并没有考虑一些安全相关的测试.但是国调安全检查的需要添加这样子的一层防护措施,所以还是不得不添加一下. 仔细想一下,如果内网机被人意外连接网线,确实是会存在被入侵的可能,所以还是添加一下为好.
今天我们主要讲下Node.js的一些可以对渗透测试工作有一些帮助的漏洞。为了更好地让大家理解，我会对其中一些代码进行分
1、下载地址为：https://nodejs.org/en/ 2、检查是否安装成功：如果输出版本号，说明我们安装node环境成功
本文章产生的缘由是因为专业老师，让我给本专业的同学讲一哈SQL注入和XSS入门,为了备课，于是产生了这篇文章。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
