周末肛了一下0ctf，发现自己依旧那么菜。一道题也没解出来，成功的再一次拖了队伍后退。 今天发现国外大佬们已经开始放wp了。于是自己学习一波，复现一下。 先吐槽一波 h4x0rs.club1 Flag is biography of the administrator. There are more than one way to get this flag. h4x0rs.club-https://h4x0rs.club/game/ backend_www got backup at /var/www/h
XSS（Cross Site Scripting），又称跨站脚本，XSS的重点不在于跨站点，而是在于脚本的执行。在WEB前端应用日益发展的今天，XSS漏洞尤其容易被开发人员忽视，最终可能造成对个人信息的泄漏。如今，仍然没有统一的方式来检测XSS漏洞，但是对于前端开发人员而言，仍是可以在某些细微处避免的，因此本文会结合笔者的学习和经验总结解决和避免的一些方案，并简要从webkit内核分析浏览器内核对于XSS避免所做的努力，了解底层基础设施对预防XSS所做的贡献。 XSS的种类和特点 此处不详细讲解XSS的一
所谓打包多页面，就是同时打包出多个 html 页面，打包多页面也是使用 html-webpack-plugin，只不过，在引入插件的时候是创建多个插件对象，因为一个html-webpack-plugin 插件对象只能打包出一个 html 页面。如:
其中this.exponent是RSA加密偏移量 ，数值一般在HTML文件里面，全局搜索，其value值就是
明白需求以后疯狂百度。最后发现JDK提供了各种脚本的支持(怪笔者学艺不精，第一次见识到这个库，留下不学无术的泪水)，正题开始，Java如何执行一段加密算法呢？
如果能使网页中的JavaScript代码隐密的加载、隐密的执行，那对于保护JavaScript代码来说是很有利的。
今天结合前面说到的前后端开发知识，做一个小工程，这个小工程并不完全具体的业务功能，但该工程包括前后端，可以作为以后复杂工程的起点。 前端代码 前端代码稍微复杂一点，就先从前端代码开始。 frontend/js/demo6.js import React from 'react'; import ReactDOM from 'react-dom'; import ReactRouter from 'react-router'; import { Router, Route, IndexRoute, brows
前端开发过程中会接触各种各样的编码，比较常见的主要是UTF－8和HTML实体编码，但是web前端的世界却不止这两种编码，而且编码的选择也会造成一定的问题，如前后端开发过程中不同编码的兼容、多字节编码可能会造成的XSS漏洞等。因此，本文旨在更好的全面了解涉及前端开发领域的字符编码，避免可能出现的交互和开发中的忽视的漏洞。 ---- URL编码 我曾经在URL编码解码和base64一文中讲述了URL编码中的三组函数，并对比了这三组函数与base64编码的关系，在此简要说明一下。 escape/unescape
效果： image.png HTML： <script src="https://codemirror.net/lib/codemirror.js"></script> <script src="ht
实际上，可能吗？除了使用表单给后台提供数据，想想，你向Linux系统写入文件试试？什么用户，哪个组，有无write权限？这些读写权限，您能过吗？
XSS全称Cross Site Script，意为跨站脚本攻击。本质上是一种“HTML注入”，由于历史原因，最初这种攻击在演示的时候是跨域攻击的，所以就叫跨域脚本攻击。但是目前，XSS指所有通过外部注入，导致浏览器执行了攻击者的脚本而产生的攻击行为，已经不特指跨站。
过滤，顾名思义，就是将提交上来的数据中的敏感词汇直接过滤掉。例如对"<script>"、""、""等标签进行过滤，有的是直接删除这类标签中的内容，有的是过滤掉之类标签中的on事件或是'javascript'等字符串，让他们达不到预期的DOM效果。
Vue-SSR相信大家都不陌生，与传统 SPA 相比，服务器端渲染 (SSR) 能够具备更好的SEO，方便搜索引擎爬虫抓取工具可以直接查看完全渲染的页面，除此之外，SSR能够在更短的时间内渲染出页面内容，通过在服务端填充数据吐出到客户端的方式，让用户有更好的用户体验。 前言 基于VueSSR的页面优化常有，而针对VueSSR的再优化不常有。前段时间有幸作为宇宙无敌上级特派看门员参加了前端tweb大会，听取了腾讯视频Web高级工程师lucien(段隆贤) 分享了针对SSR场景下的一些优化，由于笔者之
“ 关注 前端开发社区 ，回复 '领取资源'，免费领取Vue，小程序，Node Js，前端开发用的插件以及面试视频等学习资料，让我们一起学习，一起进步
背景 前端渲染有很多框架，而且形式和内容在不断发生变化。这些演变的背后是设计模式的变化，而归根到底是功能划分逻辑的演变：MVC—>MVP—>MVVM（忽略最早混在一起的写法，那不称为模式）。近几年兴起的React、Vue、Angular等框架都属于MVVM模式，能帮我们实现界面渲染、事件绑定、路由分发等复杂功能。但在一些只需完成数据和模板简单渲染的场合，它们就显得笨重而且学习成本较高了。 例如，在美团外卖的开发实践中，前端经常从后端接口取得长串的数据，这些数据拥有相同的样式模板，前端需要将这些数据在同一个样
前端安全方面，主要需要关注 XSS（跨站脚本攻击 Cross-site scripting） 和 CSRF（跨站请求伪造 Cross-site request forgery）
在 Linux（Ubuntu/Fedora）和 MacOS 下的 JavaScript 开发环境设置步骤：
Nodejs特例 大小写转换函数 toUpperCase(): 将小写转换为大写的函数 toLowerCase(): 将大写转换为小写的函数 注意： 前者可以将ı转换为I, 将ſ转为为S 后者可以将İ转换为i, 将K转换为k 数组 a && b && a.length===b.length && a!==b && md5(a+flag)===md5(b+flag) 通过调试： 可以传入数组绕过。 命令执行 eval eval() 函数可计算某个字符串，并执行其中的的 JavaScr
内容类型，一般指的是网页中存在的Content-Type，用于定义网络文件的类型和网页的编码，决定接收方以什么形式，什么编码解读这个文件
在2019年初，微软正式选择了Chromium作为默认浏览器，并放弃edge的发展。并在19年4月8日，Edge正式放出了基于Chromium开发的Edge Dev浏览器，并提供了兼容Chrome Ext的配套插件管理。再加上国内的大小国产浏览器大多都是基于Chromium开发的，Chrome的插件体系越来越影响着广大的人群。
本文作者：ivweb villainthr 市面上现在流行两种沙箱模式,一种是使用iframe,还有一种是直接在页面上使用new Function + eval进行执行。 殊途同归,主要还是防止一些H
本篇不开发新的功能，不过对目前的编译环境重新整理一下。 区别开发编译与生产编译 在webpack.config.js中添加读取环境变量NODE_ENV ... var isProduction = (process.env.NODE_ENV === 'production'); ... 编译出css文件 ... var ExtractTextPlugin = require('extract-text-webpack-plugin'); ... var plugins_options = [ ...
ScriptX是一个脚本引擎抽象层。对下封装多种脚本引擎，对上暴露统一的API，使得上层调用者可以完全隔离底层的引擎实现(后端)。 ScriptX不仅隔离了几种JavaScript引擎，甚至可以隔离不同脚本语言，使得上层在无需改变代码的前提下无缝切换脚本引擎和脚本语言。 ScriptX的术语中，"前端"指对外的C++ API，"后端"则指不同的底层引擎，目前已经实现的后端有：V8, node.js,JavaScriptCore, WebAssembly, Lua. 简介 ScriptX 的接口使用现代C+
其中<service>节点中的name属性,是实现了服务契约的类型名,类型名必须是完整的,要包括名称空间 <endpoint>节点的address属性为空,说明使用基地址. behaviorConfiguration属性与behavior节点的name属性相匹配 binding属性说明WCF服务使用什么协议,这里是HTTP协议 contract属性是描述契约的接口名称,也必须是完整的.如果没有接口直接写实现契约的类型名也可以(我这里就是这样).
以下是代码实现，实现了思路，但是可能会存在 Bug，但是这种设计题一般是给出设计思路和部分代码，不会需要写出一个无问题的代码
考大家一个问题，我发现目前在Google上面还搜索不到。由于阿拉伯文是从右往左读，他们的阅读习惯就是从右往左看。那么，编程的时候虽然用的是英文，但是阿拉伯人写代码是怎么写的？欢迎大家文末留言探讨~
不知不觉 Node 已经更新到第十个版本了，本人使用 Node 也有两年多时间，之前学习的东西一直零零散散，没有形成系统的知识体系，于是最近又抽时间回顾这本经典的 《深入浅出Node.js》，阅读的过程中，难免有些东西不易理解或者容易忘记，因此选择博客的形式记录。
跨站脚本攻击XSS，是最普遍的Web应用安全漏洞。这类漏洞能够使得攻击者嵌入恶意脚本代码到正常用户会访问到的页面中，当正常用户访问该页面时，则可导致嵌入的恶意脚本代码的执行，从而达到恶意攻击用户的目的。
今天我们来分析一下某数的js 很多网站都用的，听说是有好几个版本，我也不知道，随便找一个，因为我们之前分析过，那是直接怼混淆，大家也许有点懵，这次我们来细细分析，此次干货多，大家慢慢品。
我们根据代码可以得到，我们需要传入Ginkgo参数，其值需要经过base64进行加密，后端进行解码通过eval函数执行，所以我们可以传入base64编码后的一句话作为ginkgo的值。
当我们用 Typesript 来写 Node.js 的代码，写完代码之后要用 tsc 作编译，之后再用 Node.js 来跑，这样比较麻烦，所以我们会用 ts-node 来直接跑 ts 代码，省去了编译阶段。
最近在看js的书，书上有介绍两个服务端js,以前只听说过node.js，第一次听说Rhino.js,并且已经集成到了jdk1.6;看来还是见的少啊！
这期来关注一下CodeSandbox, 这是一个浏览器端的沙盒运行环境，支持多种流行的构建模板，例如 create-react-app、 vue-cli、parcel等等。 可以用于快速原型开发、DEMO 展示、Bug 还原等等.
调试网站： aHR0cDovL3d3dy5mYW5nZGkuY29tLmNuL25ld19ob3VzZS9uZXdfaG91c2VfZGV0YWlsLmh0bWw/cHJvamVjdF9pZD1iODdjYjNkMDRmODc4Y2E2 瑞数的整体代码(4代为例) 1、直接请求得到的js 有index.html界面上的 script 2、meta content(计算eval的js) 3、scripts[0] 中的 **.dfe1675.js 是 iso-8859-1编码的 4、scripts[1] 是通过自执行得到js 字符串，通过eval进行执行得到cookie的过程 5.1 整体的代码结构是 初始的大数组 5.2 定义一些函数，这些函数将会被eval内部的js进行调用 5.3 控制流代码，进行判断环境检测，并得到eval的字符串 偷偷告诉eval js代码在 ret=**.call(**, **)得到 5、scripts[3] 在eval的js有调用
提到动态执行脚本，大家想到的肯定是 eval 或 new Function()，在 nodejs 中有专属的 vm 模块，可以完成相应的 sandbox 作用。
当我们调试JS的时候，时常会遇见无限debugger。无限debugger的原理是什么呢？它在何时触发？如何绕过？
Ajax 即 “Asynchronous Javascript And XML”（异步 JavaScript 和 XML），是指一种创建交互网页应用的网页开发技术（用来向后台数据库请求获取数据的技术）。
JShaman是一个云端的代码保护Saas平台，可以对JS代码进行混淆、加密、压缩等操作，从而增强JS代码的安全性。同时，JShaman还有更方便易用的npm包，方便开发人员通过调用接口的方式，快速完成JS代码混淆加密。
大部分网站都会对关键参数进行加密，JS 逆向时，我们首要任务是定位参数具体的加密逻辑。
通常指攻击者通过“HTML注入”篡改网页，插入恶意脚本，从而在用户浏览网页时，控制用户浏览器的一种攻击手段 。
临阵磨枪，不快也光。对于成功的编程面试来说，准备和知识面一样重要。准备使你有信心参加面试，而不用担心莫名的紧张情绪。如果第一次参加编程面试，这一点尤其重要。
在前后端分离盛行的年代，我们后端在设计API接口的时候肯定离不开RESTful架构规则，那什么是RESTful呢？接下来我们来好好介绍一下什么是RESTful
sourceMap，顾名思义，就是对源文件的映射。比如打包压缩后的代码对应源文件中的哪一行代码，这能够极大地方便开发者的调试。
如果不小心写错了代码，打包之后，会提示报错信息，根据提示只能找到打包后的文件，不能找到源代码的文件。
8 G Mac + Docker 环境下运行 WordPress ，本地打开站点首页耗时非常长，虽然怀疑是内存不足导致的，但是无凭无据纯属猜测。下面是我的一些分析记录：
\Think\Controller类提供了ajaxReturn方法用于AJAX返回数据给客户端（视图、模板、js等）。并且支持JSON、JSONP、XML和EVAL四种方式给客户端接受数据（默认JSON）。
用过 webpack 的都知道，webpack 的 sourcemap 配置是比较麻烦的，比如这两个配置的区别：
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
