这篇文章由“潇湘信安技术交流群”@嘞萌师傅投稿,@3h整理发布,记录的是他在无意中发现的一个新型钓鱼诈骗方式,从技术层面简单分析了下。
HTTPS 在 HTTP 的基础上增加了 SSL/TLS 加密,提供了更加安全的传输协议。俨然已经属于各大网站的标配。有赞作为一个 SaaS 平台,涉及到用户的商品,交易,支付等关键性流程。支持全站 HTTPS,提高网站安全是我们的基础保障。本文关注的事情包括: 了解 HTTPS 基础原理,切换 HTTPS 需要切换的内容,如何监控和实际操作,以及遇到的一些难点。
网站被黑症状的一种形式,也就是web前端被黑了,我来说说网站页面被劫持的一个症状和处理方法。首先我们先来看一下这个症状是什么样的,这里我找到了一个客户网站的案例,那么当我在通过百度搜索某些关键词的时候,当我点击这个链接的时候,它会给你跳到这种菠菜的页面,那么怎么样判断它是前端还是后端PHP进行了一个劫持,那么我们就把这个链接复制过来,复制好了后,我打开这个调试面板,然后在这里有一个 settings的这个一个设置按钮,把这个disable javascript这个脚本把它禁用,那么禁用之后把刚才这复制过来的这个快照链接把它复制过来,然后敲一下回车,就会发现发现它是不会跳转的,所以对于这一种请求跳转,我们把它称之为叫做前端拦截。要知道前一两年这种形式还是比较少的,但是今年发现的就越来越多,原因是什么,原因是PHP脚本里包含跳转代码的话会被杀毒软件直接查杀出来。
随着网络上的 Web 应用越来越多,为了提升安全性,现在跟安全性有关的 HTTP header 也是多到记不得。因为各种不同功能的 HTTP header 实在太多,所以这边想要介绍几个比较简单、好设定的安全性 headers ,只要把这些 headers 加进去,网站就会突然变安全哦~
Jsonp 的实现原理就是:创建一个回调函数,然后在远程服务上调用这个函数并且将 JSON 数据形式作为参数传递,完成回调。
什么是跨域? 浏览器从一个域名的网页去请求另一个域名的资源时,域名、端口、协议任一不同,都是跨域 域名: 主域名不同 http://www.baidu.com/index.html –>http://www.sina.com/test.js 子域名不同 http://www.666.baidu.com/index.html –>http://www.555.baidu.com/test.js 域名和域名ip http://www.baidu.com/index.html –>http://180.149.132.47/test.js 端口: http://www.baidu.com:8080/index.html–> http://www.baidu.com:8081/test.js 协议: http://www.baidu.com:8080/index.html–> https://www.baidu.com:8080/test.js 备注: 1、端口和协议的不同,只能通过后台来解决 2、localhost和127.0.0.1虽然都指向本机,但也属于跨域
此系统文章总共分为四篇,分别是手法篇、工具篇、隐藏篇、总结篇;本篇为黑帽SEO之手法篇,主要介绍黑帽seo的概念以及一些常用的手法。 首先得说黑帽SEO是个老话题,我不难想象评论区必定有人吐槽此手法已经由来已久,作者有炒冷饭的嫌疑。我对此观点表示认可,然而细细回味之后,却又感到无奈不解。一个早已被用烂的黑产手法,一个每年给互联网产业造成巨大损失的黑色手段,为何能一直延续至今?是技术上难以攻破,还是利益驱使下选择视而不见? 当我发现公开资源中对此黑产手法的介绍寥寥无几且并不详细时,原因便可想而知了。为了
跨域大家都知道,不同地址,不同端口,不同级别,不同协议都会构成跨域。例如:about.haorooms.com和www.haorooms.com都会构成跨域。总结起来只要协议、域名、端口有任何一个不同,都被当作是不同的域。下面举例,每两个一组。
UNI-APP 是一个使用 Vue.js 开发所有前端应用的框架,开发者编写一套代码,可发布到iOS、Android、Web(响应式)、以及各种小程序(微信/支付宝/百度/头条/QQ/钉钉/淘宝)、快应用等多个平台。
利用漏洞提交恶意 JavaScript 代码,比如在input, textarea等所有可能输入文本信息的区域,输入<script src="http://恶意网站"></script>等,提交后信息会存在服务器中,当用户再次打开网站请求到相应的数据,打开页面,恶意脚本就会将用户的 Cookie 信息等数据上传到黑客服务器。
DNS 是什么-- Domain Name System,域名系统,作为域名和IP地址相互映射的一个分布式数据库。
年底了,又到了跳槽季啦,该刷题走起了。这里总结了一些被问到可能会懵逼的面试真题,有需要的可以看下~
访问站点只要后面目录带apk(不管是文件还是目录),就会判断请求头,如果为手机移动端的请求头,就会跳转到博彩网站,如果是电脑PC浏览器,就会弹空白页访问站点,让你看不到跳转后的网址,只要域名后面地址带apk(不管是文件还是目录),就会判断请求头,如果为手机移动端的请求头,就会跳转bc网站,如果是电脑浏览器,就会弹空白页,最近也加上客户订单越来越少,领导也是着急,很大一部分客户渠道来源都从百度点击来的,静下心来看看网站到底是怎么回事,不看不要紧,简直吓我一跳。网站在百度里的收录增加许多,本来以为是更新的文章导致的,可是仔细一想也没那么多的收录呀,site:网站,点击到十页以后竟然发现了问题的关键,百度收录了一大堆我们网站没有的URL链接,复制那个我们域名的链接,提示不存在,从百度收录点进去跳转到BC网站。
跨站请求伪造(Cross Site Request Forgery),是指黑客诱导用户打开黑客的网站,在黑客的网站中,利用用户的登陆状态发起的跨站请求。CSRF攻击就是利用了用户的登陆状态,并通过第三方的站点来做一个坏事。
在我们写文章(博客、公众号、自媒体)的时候,常常觉得自己的文章有些老土,这很大程度是因为配图没有选好。本文将和大家分享一个实用爬虫案例!
什么是Ajax? Ajax是一种可以与服务器交换数据并更新部分页面内容,同时可以在不让整个网页重新加载的情况下更新网页的一种技术 Ajax请求过程: 1:创建一个异步对象 var xmlHttp = new XMLHttpRequest(); 2:设置请求方式和请求地址 /* 参数顺序,描述 (1)method:请求的类型;GET 或 POST (2)url:文件在服务器上的位置 (3)async:true(异步)或 false(同步) (一般为true,因ajax的精髓就是
巧用搜索引擎首推谷歌查看了解SRC旗下涉及到的业务,收集其对应的业务下的域名,再进一步进行挖掘,如:
当别人从其他网站访问自己的网站时,如果在自己网站右下角有提示“欢迎来自XXX的朋友访问本站”,是不是逼格满满?!
我们通常会用CSP加强站点JS资源的执行限制,有效降低XSS攻击;我们通过HTTPS链接加密资源,减少站点资源劫持风险等等大量的前端安全方案。但你可能还没听说 Subresource Integrity (SRI) 子资源完整性校验。 本文将带你了解SRI是什么,能解决哪些安全风险,如何快速接入。同时,使用它又会带来哪些问题,以及浏览器的支持情况如何。 什么是SRI ? SRI 是 Subresource Integrity 的缩写,可翻译为:子资源完整性,它也是由 Web 应用安全工作组(Web Ap
最近发现了一个网站竟然直接使用iframe引用了全站,包括腾讯云的全站,已经通知了腾讯云的运营,运营的答复是会通过司法途径尝试去解决。个人是不可能这么干了,太麻烦,但是我也联系了该网站所在的网安进行监督处理,不知道是什么结果,有结果了再说吧
目前在读大学生,挖过半年SRC,发现实验室刚入的大一新生有大多数都不是很了解某个具体网站的漏洞要如何挖掘,想借这篇文章总结一下漏洞挖掘的基本步骤。
CSRF攻击 是前端领域常见的安全问题,概念方面不再赘述,可以参考维基百科。对于这些概念,包括名词定义、攻击方式、解决方案等估计大家都看过不少,但留下印象总是很模糊,要动手操作一番才能加深印象并能真正理解,所以我决定动手实现一个 CSRF 的攻击场景,并通过演示的方式讲解 CSRF 的防范手段。
防盗链,就是防有人盗用你的链接。别人在他的网站上引用了你的资源(图片,音频),这样就会浪费你的流量,资源被引用的多了起来,你这边的服务器可能就扛不住挂了,你说这是多么悲哀的事情!
为什么要搞个防盗链,难道怕自行车被偷吗?现在知识都共享了,还担心什么数据被别人使用吗!
我们先来了解了解防盗链的原理,在 http 协议中,如果从一个页面跳到另一个页面,header字段里面会带个 Referer。图片服务器通过检测 Referer 是否来自规定域名,来进行防盗链。
在页面渲染时需要动态获取iframe子页面的高度,然后重新设置iframe高度,达到自适应的目的,但是由于iframe子页面中也涉及到访问其他系统的页面,这就使得页面渲染时无法获取子页面高度,这里涉及到跨域访问子页面问题。
在渗透测试及漏洞挖掘过程中,信息搜集是一个非常重要的步骤。而在网站的JS文件中,会存在各种对测试有帮助的内容。
8 月 9 日的时候 WPS 官方发布了一条代码执行漏洞的安全通告, 另外根据收到的样本和各类通告,发现在今年的攻防演练期间先后三次发生了不同的针对 WPS 利用链的代码执行攻击。通过我们的研究分析发现,该系列的漏洞都因为在 docx 文档中插入了一个浏览器对象 WebShape,由于 WPS 使用了 Chrome 嵌入式框架(CEF),该对象可以直接调用 Chrome 渲染 Html 网页,这三次都是因为 WPS WebShape 漏洞造成的攻击事件,分别为:
BootCDN 对外提供服务的域名已经于两年前(即 2020 年)变更为新域名 cdn.bootcdn.net, 老域名 cdn.bootcss.com将于2020年过期。cdn.bootcss.com 目前访问返回404
修改Application目录下的database.php信息 导入根目录下的install.sql到数据库 修改Static目录下的player目录下的player.js文件的第140行的“域名”为你的域名 修改Static目录下的player2目录下的js目录下的player.js文件的第19行的“域名”为你的域名
最好的SEO(==搜索引擎优化==)就是没有SEO.这是我08年系统学习了SEO之后装逼说的话.事实上,就最近几年而言,我已经不太在乎SEO了.
通过反向代理再加上缓存,现在很容易就能把别人的站给镜像克隆,这样会造成你网站被搜索引擎判断重复内容而降权,这样对于原创站点真的很不公平,虽然可以通过查询对方网站IP,然后在服务器上禁止这个IP的方法来禁止,但是对可以经常更换IP的对方网站或者对方套了CDN,就比较难操作,其实还可以再综合下面做法:
最近写了一款 React 的工具,能拉取团队成员 Jira 上的 Task 和 Bug,根据其 Task 的 Efforts 时长和 Bug 的修复时长,计算对应的绩效指标。
这段时间接手了一个新需求,将一个ASP.NET MVC项目改成前后端分离项目。前端使用Vue,后端则是使用ASP.NET WebApi。在搭建完成前后端框架后,进行接口测试时发现了一个前后端分离普遍存在的问题跨域(CORS)请求问题。因此就有了这篇文章如何启用ASP.NET WebApi 中的 CORS 支持。
现在网络上大部分公益项目都为 jsDelivr 提供镜像加速,此时用户的资源文件必须从源服务器经 jsDelivr 再绕过公益服务才能回到用户手上。本身 jsDelivr 也回源 GitHub 和 NPM,那么为什么不从源拉起?
Cobalt Strike 流量特征 总结来源于网上资料, 有错的地方欢迎各位大佬指正。 简介 简介:Cobalt Strike is software for Adversary Simulations and Red Team Operations. Cobalt Strike 简称CS, A-team详细介绍使用网址。CS是一款优秀的后渗透工具,可以在获取主机权限后进行长久权限维持,快速进行内网提权,凭据导出等。在后渗透中如果未修改特征,容易被流量审计设备监控,被蓝队溯源。 Cobalt Strike
一个域名下网站中的网页,去请求另一个域名下网站中的资源,就是跨域。
脚本错误主要有两类:语法错误、运行时错误。监控的方式主要有两种:try-catch、window.onerror。
这段代码的关键在于:var x = y = 1; 实际上这里是从右往左执行的,首先执行y = 1, 因为y没有使用var声明,所以它是一个全局变量,然后第二步是将y赋值给x,讲一个全局变量赋值给了一个局部变量,最终,x是一个局部变量,y是一个全局变量,所以打印x是报错。
要理解跨域问题,就先理解好概念。跨域问题是由于javascript语言安全限制中的同源策略造成的.
网络爬虫是一种程序或脚本,用于自动从网页中提取数据。网络爬虫的应用场景非常广泛,例如搜索引擎、数据挖掘、舆情分析等。本文将介绍如何使用JavaScript和Axios这两个工具,实现一个网络爬虫的实战项目,即从Reddit这个社交媒体平台上爬取视频,并进行数据分析。本文的目的是帮助读者了解网络爬虫的基本原理和步骤,以及如何使用代理IP技术,避免被目标网站封禁。
PHP网络技术(五)——cookie及记住用户名功能实现 (原创内容,转载请注明来源,谢谢) Cookie是存储在客户端(主要是浏览器)的信息,可以以此跟踪和识别用户。PHP无法直接操作Cookie,而是通过命令向浏览器发送命令,由浏览器对Cookie进行操作。 一、PHP设置cookie方式 1)setcookie(name,value,expire,path,domain,secure,httponly) 第一个参数是必填的,后面都是选填的。 name是cookie
CSRF(Cross-site request forgery)跨站请求伪造,也被称为“One Click Attack”或者Session Riding,通常缩写为CSRF或者XSRF,是一种对网站的恶意利用。尽管听起来像跨站脚本(XSS),但它与XSS非常不同,XSS利用站点内的信任用户,而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比,CSRF攻击往往不大流行(因此对其进行防范的资源也相当稀少)和难以防范,所以被认为比XSS更具危险性。
相信每一个前端er对于跨域这两个字都不会陌生,在实际项目中应用也是比较多的。但跨域方法的多种多样实在让人目不暇接。老规矩,碰到这种情况,就只能自己总结一篇博客,作为记录。
看到一个好玩的,就随手收藏一下,本 API 作用:获取用户真实 IP,而获取用户 IP 常见的坑有两个,开发支付的时候也需要获取用户的真实 IP: 获取的是内网的 ip 地址。在 Nginx 作为反向代理层的架构中,转发请求到 PHP,Java 等应用容器上。结果 PHP 获取的是 Nginx 代理服务器的 ip,表现为一个内网的地址。PHP 获取 REMOTE_ADDR 就是这样一个情况(内网地址)。 获取的是攻击者伪造的 ip 地址。攻击者可以随便伪造一个头部信息,随便填写一个 ip 放到头部发过来
功能类似于JSFinder,开发由来就是使用它的时候经常返回空或链接不全,作者还不更新修bug,那就自己来咯
领取专属 10元无门槛券
手把手带您无忧上云