接触JavaScript和ActionScript3也有近5年的时间了，它们都是应用比较广泛的脚本语言，经过这几年的工作和学习，静下来的时候想总结一些东西，作为技术上的沉淀以及培训所用，所以就有了这篇文章。先来看看二者的同性与差异性：
注意：先调用ExternalInterface.addCallback，再调用ExternalInterface.call
Flash Xss进阶 [ExternalInterface.call第一个参数]
Flex的一些零碎知识点，我是个flex初学者，很多知识点可能很幼稚，但是都是我学习和开发过程中遇到的问题。
今天在工作的过程中遇到一个功能：在网页中加入视频播放器，类似于我们经常看到的优酷,爱奇艺等视频网站的功能。
0x01 HTML中嵌入FLASH 在HTML中嵌入FLASH的时候在IE和非IE浏览器下嵌入的方式有所不同，可以使用embed标签和object标签，使用如下的代码进行嵌入： IE下嵌入 <object codeBase="http://fpdownload.macromedia.com/get/Flashplayer/current/swFlash.cab#version=8,0,0,0" classid="clsid:D27CDB6E-AE6D-11cf-96B8-444553540000"> <pa
Zero Clipboard的实现原理 Zero Clipboard 利用透明的Flash让其漂浮在复制按钮之上，这样其实点击的不是按钮而是 Flash ，这样将需要的内容传入Flash，再通过Flash的复制功能把传入的内容复制到剪贴板。 Zero Clipboard的安装方法 首先需要下载 Zero Clipboard的压缩包，解压后把文件夹中两个文件：ZeroClipboard.js 和 ZeroClipboard.swf 放入到你的项目中。 然后把在你要使用复制功能的页面中引入Zero Clipbo
大家好，又见面了，我是你们的朋友全栈君。flash cookie是什么，有什么作用，这些不做介绍，可以在网上搜，这里主要是做一个制作和使用flash cookie的例子
漏洞知识库 网络安全/渗透测试/代码审计/ 关注 ExternalInterface.call第二个参数 讲完ExternalInterface.call的第一个参数，我们接着来讲第“2”个参数，之所以2打上引号，因为 call 函数的原型是：call(functionName:String, ... arguments):*， 即后面可以有很多很多个参数，我们统称为第2个参数。有时候我们会遇到ExternalInterface.call("xxxxx","可控内容");的情况，那么这种情况下，如何构造XS
作者：matrix 被围观: 2,424 次 发布时间：2013-09-16 分类：Wordpress 零零星星 | 无评论 »
到360官微在微博上说了， http://www.jiathis.com/code/swf/m.swf 存在XSS漏洞，可以导致使用了JiaThis的任意网站产生漏洞。得到这个线索，我们来开始顺藤摸瓜，对这个XSS的原理与利用方法进行一次分析。
受人之托，想从某网站上“弄到”其上的直播视频流，并加以利用，虽然最终失败了，但其中的破解经过还是值得和大家分享，希望对你有启发。
1. 前提：本例需在IE9，IE10下进行。 2. 我们乌云上报告的一些已有案例，进行了再次测试。 WooYun: PKAV腾讯专场 - 6. （QQ空间+朋友网）日志功能存储型XSS 上例中，提到了QQ空间日志并未对object标签进行有效的过滤。 3. 我们根据此例中的代码对过滤规则进行测试：
大文件上传服务 一、前端 [webuploader](http://fex.baidu.com/webuploader/ ''webuploader'') 二、后端 django 2.0.0 这里只贴出核心的代码： 前端的：
当时的需求是点击网页装扮的时候会弹出一个层，层内有很多TAB选项卡，而有一个对图片处理的swf（让用户选择一张图片、编辑图片）放在其中一个选项卡中，而当来回切换tab选项卡的时候，swf会被重新加载。那时候还没有chrome，所以在ff会遇到这个问题，IE下不会。后面在小组内我记得有总结过FF下什么情况下会触发swf的重新渲染：
前言 这里主要是讲如何快速扫描到有问题的flash文件，用于批量，有时候很笨的方法也会有奇效，下面记录一下在实现过程中的一些思路和遇到的一些坑。 第三方插件 通过自己为数不多的网站渗透的经验，发现了两
想要实现word或者其他office文件的在线预览，大部分都是用的两种方式，一种是使用openoffice转换之后再通过其他插件预览，还有一种方式就是通过POI读取内容然后预览。 一、使用openoffice方式实现word预览 主要思路是： 1.通过第三方工具openoffice，将word、excel、ppt、txt等文件转换为pdf文件 2.通过swfTools将pdf文件转换成swf格式的文件 3.通过FlexPaper文档组件在页面上进行展示 我使用的工具版本： openof：3.4.1 swfT
现在 Google 也推出了 Swiffy，免费把 SWF 格式转换为 HTML5 代码。
EasyPlayer几乎涵盖了开发者所需的全部平台，尤其是在web端的EasyPlayer.js时遇到的播放器接入的问题，比如：不懂前端的js代码、没有公网服务器放置这些js脚本和网页、微信对接入IP播放地址有限制等。EasyPlayer.js，极大地方便了开发者在解决B/S型业务开发，集 rtmp，hls，flv，websocket 于一身的网页直播/点播播放器。
2、在application.properties文件下加入以下代码，进行DEBUG日志输出，配置pom.xml文件：
这是一个困扰我一周的问题了，不过现在终于在@Mr.L的协助下解决了，下面先描述下问题吧。大家在浏览QQ空间的时候，通过浏览器，或者按住ctrl+鼠标滚轮进行页面缩放，页面上会有个很友好的提示，如：
外部调用swf on (release) { loadMovieNum(“service.swf”, 1); } 外部调用数据 loadVariablesNum(“about.txt”, 0); System.useCodepage = true;//中文 音乐加入 mySound = new Sound(); mySound.attachSound(“1”); mySound.start(); 关闭指定音乐 mySound.stop(“1”); 外部调用音乐 mySound=new Sound(); mySound.loadSound(“music.mp3”,true); mySound.start(0,100) 关闭音乐 mySound.stop(); 链接场景： on (release) { gotoAndStop(“猫的历史”,1); } 清空文本框 _root.text=”” On(Release) Set Variable:”input” = “” Set Variable:”output” = “” End On
首先来看存在漏洞的输出, 99%的Flash XSS都是由于ExternalInterface.call函数的参数注入导致的, 当然本次也不例外. 拿到源码之后, 第一件事就是看看源码中出现了几次调用ExternalInterface.call, 对应的参数是否都是可控的. 在排除了几个参数不可控或者已经做了对应防注入的调用, 唯一剩下的就是下面的代码。
当我们的css，js文件等内容没有通过CDN进行分发时。默认将会通过我们的本地服务器进行加载。例如当前博客网站样式，为了确保稳定。css和js等文件配置全部存储在了本地。
前言： 在我负责的一个项目中，为了实现一个特殊的需求，要求在客户端的Cookie中长久保存一份数据，但是我们知道在客户端Cookie里保存数据是不稳定的，因为用户可能随时会清除掉浏览器的Cookie，在这种情况下，一般的解决方案是重新向服务器端发送一个请求，以获得一个新的HTTP Cookie数据，并将其保存－－就一般的交互需求而言，这是没有问题的。但是，倘若我的需求是：要求恢复到原来的Cookie里保存数据呢？呵呵，这种情况，倘若服务器端没有做特殊的处理的话，显然是很难实现的。在尝试了许多方法之后，我们最后选择使用FlashCookie技术来做。
大家好，又见面了，我是你们的朋友全栈君。前言： 在我负责的一个项目中，为了实现一个特殊的需求，要求在客户端的Cookie中长久保存一份数据，但是我们知道在客户端Cookie里保存数据是不稳 定的，因为用户可能随时会清除掉浏览器的Cookie，在这种情况下，一般的解决方案是重新向服务器端发送一个请求，以获得一个新的HTTP Cookie数据，并将其保存－－就一般的交互需求而言，这是没有问题的。但是，倘若我的需求是：要求恢复到原来的Cookie里保存数据呢？呵呵，这种 情况，倘若服务器端没有做特殊的处理的话，显然是很难实现的。在尝试了许多方法之后，我们最后选择使用FlashCookie技术来做。
近期学《流体力学泵与风机》，发现swf文件在OFFICE2016-PPT课件中不能正常播放，想不安装FlashPlayer插件便能够在线查看。于是提取了PPT中的swf文件，使用swf2js库（https://github.com/ienaga/swf2js）解析为canvas绘图并播放。示意代码如下：
使用 Web Uploader 文件上传需要引入三种资源：JS, CSS, SWF
WebUploader是由Baidu WebFE(FEX)团队开发的一个简单的以HTML5为主，FLASH为辅的现代文件上传组件。在现代的浏览器里面能充分发挥HTML5的优势，同时又不摒弃主流IE浏览器，沿用原来的FLASH运行时，兼容IE6+，iOS 6+, android 4+。两套运行时，同样的调用方式，可供用户任意选用。
如何利用它？ 原来的要求如下： 应用程序的回应非常清楚。用户ID为空（空）。我们没有为它指定一个值。 我们有XSS。有效负载未被应用程序编码/过滤，响应的内容类型显示为HTML： 获得
现在基于WEB页面的网络游戏越来越流行，由于是基于HTTP的，因此应该可以用LoadRunner来开发外挂。今天略为试了一下，证实是可行的。
知识点：JavaScript、jQuery、SSM、IO、Ajax、layUI，JS插件使用
1. 首先，第一步，我们需要找到存在缺陷的FLASH文件。如何找到这类文件呢？最好的办法，当然是GOOGLE搜索。但是其实很多人是不太会用搜索引擎。或者知道怎么用，但是不知道该如何搜索关键词。因而教程的开始，我们来说一说，如何搜索关键词。 2. 基本语句肯定是 site:qq.com filetype:swf 意思是，限定域名为qq.com 文件类型为FLASH文件。 3. 显然这样会搜索出很多FLASH文件，不利于我们后续的漏洞查找，所以我们需要输入某个关键词来进一步缩小范围。这里我列举一些寻找关键词的方式。 3.1 已知存在缺陷的FLASH文件名或参数名，如：swfupload,jwplayer等 3.2 多媒体功能的FLASH文件名，如：upload，player, music, video等 3.3 调用的外部配置或数据文件后缀，如: xml, php 等 3.4 前期经验积累下来的程序员特征参数名用词，如: callback, cb , function 等 4. 结合以上经验，本例使用其中第三条： 我们搜索：site:qq.com filetype:swf inurl:xml 可以找到这个FLASH
众测备忘手册 From ChaMd5安全团队核心成员 MoonFish 前言 最近一直在看bugbountyforum对赏金猎人采访的文章以及一些分享姿势的PPT，所以结合bugbounty-cheatsheet项目对他们使用的工具，方法和思路进行整理。这里只是一个列表，并不是很详细，常见的姿势也不会被写上，还需要慢慢填充。 众测平台 HackerOne, Bugcrowd, BountyFactory，Intigriti，Bugbountyjp，Synack，Zerocopter，Cobalt，Yogos
安全域、crossdomain.xml，到处都有各种各种零碎的基础解释，所以这里不再复述这些概念。 本文目的是整理一下各种跨域加载的情况。什么时候会加载crossdomain，什么时候不加载。 1、Loader加载图片或者swf，只要不是加载到同个安全域，都不需要拉取crossdomain.xml。获取在LoaderContext指定true，必须拉取。 但如果后续，要读取图片或者swf里边内容，例如设置图片smoothing或者draw，都需要拉取这个文件 如果文件不存在，会抛出安全
今天闲来没事，看看ewebeditor编辑器能不能加入自己的元素在里面，比如：上传flv我不喜欢它自动生成的一部分代码。 比如：上传了flv格式的视频，可是它调用的代码不能播放。于是我就自己找个一个播放flv格式的播放器吧。然后找到了关键代码 <embed src=”Flvplayer.swf” allowfullscreen=”true” flashvars=”vcastr_file=/video/2011.flv&LogoText=www.0377joyous.com” quality=”high”
戳蓝字“IMWeb前端社区”关注我们哦！ 文/devinnzhang 腾讯TEG事业群——前端开发 工程师 0写在前面 前端持久化就是要将数据永久的保存在前端，让数据难以删除或者删除后能够重新恢复。存储的数据可以理解为是一种 “僵尸数据”，下面介绍一种前端持久化方法 -- evercookie。 （左右滑动查看代码） 1evercookie简介 evercookie是由Samy Kamkar（美国白帽黑客、安全研究员）开发的一组jsApi，它的目的在于持久化cookie，即使用户清除标准cookie、Fl
本文的目的是深层次的分析Flash的ExternalInterface的XSS漏洞，并提出比较有效的解决方案。 首先，我们看看什么情况下，会出现XSS。 第一种情况： 把flashvars传入的参数（或者其他能被别人控制的方式）当ExternalInterface.call的第一个参数 package { import flash.display.Sprite; import flash.external.ExternalInterface;
写博客就是一周工作中遇到哪些问题，一个优点就是能够进行一个总结，另外一个优点就是下次遇到相同的问题即使那你记不住，也能够翻看你的博客攻克了。相同也能够帮到别人遇到与你一样问题的人。或者别人有比你更好的解决的方法，能够一起讨论，分析出更好的解决方法。所以这是个好习惯。既然是好习惯，那就得坚持。
作者：汪娇娇 时间：2017年7月7日 一、铺垫 依靠七牛上传图片，其实有很多方法，先说说有哪些方法，以及这些方法各自的优缺点吧（移动端）。 way1：前端只负责选择图片，然后将图片传给服务端，服务端再传给七牛，再将地址返给前端展示。 优：可以控制上传图片到七牛的时机，不浪费七牛的存储空间； 缺：浪费自己服务器的带宽，并且周周转转，耗时长，麻烦。 way2：前端发通知让客户端来上传图片到七牛。 优：前端不需要处理太多东西，只需要给客户端发一个通知。 缺：选一张图片就上传了一张，如果多次选择，会浪费七牛存储空
使用过ckplayer的同学都知道，相对jwplayer等，它非常的容易配置和使用。功能也是基本满足我们的需求的。 一般情况我们都使用普通的视频格式比如mp4,flv等播放，但如果视频文件过大，会加载较慢。 于是我们可以将视频转成m3u8格式来解决这个问题（可以百度m3u8来了解原理，简单点说他就是把视频切成若干个切片，每个切片都可以独立播放而且大小很小，然后利用一个文件索引来依次播放这些文件，所以很快） 如何转m3u8格式？可以参考我上一篇博文。 ======================= 但是PC上
文件上传这东西说到底有时候很痛，原来的asp.net服务器控件提供了很简单的上传，但是有回传，还没有进度条提示。这次我们演示利用swfupload多文件上传，项目上文件上传是比不可少的，大家这个心里都
way1：前端只负责选择图片，然后将图片传给服务端，服务端再传给七牛，再将地址返给前端展示。
大家好，我是架构君，一个会写代码吟诗的架构师。今天说一说JQuery上传插件Uploadify使用详解,希望能够帮助大家进步!!!
网上看了很多关于文件上传的帖子，众口不一，感觉有点乱，最近正好公司的项目里用到JQuery的uploadify控件做文件上传，所以整理下头绪，搞篇文档出来，供亲们分享。
最近在cocos2d-js下捣腾Dragonbones。转一个文章，大家可以参考安装Dragonbones。关于这个Dragonbones，5月份的时候还用得好好的，cocos2d-js还能妥妥的加载。最近就不行了，原来默默的升级了。还是得找回原来的2.0版本，后边再开一个文章说这个事吧。 原文：http://blog.csdn.net/mokt2001/article/details/39338363 补充一句：下载Dragonbones后，flash的插件安装文件zxp其实就是个zip，改名解压就可以找
前几天花了点时间研究了下怎么在浏览器中播放m3u8的视频地址，最后终于找到了两个开源的东西可以正常播放，稍稍整理下方便后来人。
织梦默认的编辑器采用的是ckeditor厂商提供的，只可以上传Flash，今天我们进行二次改进，使之可以上传视频文件如MP4文件进行播放，方法比较简单，无需去更换编辑器，下面就言归正传。
之前有朋友给我发送email，询问我是否有单个文件上传的源代码，因为当时写这个好像是在09年，所以放哪了一时也没找着。后来整理硬盘的时候，找到了源码，所以决定来个汇总（之前写过的关于flash+js上传文件的例子）：
跨站脚本攻击（XSS）是一种计算机安全漏洞，通常出现在Web应用程序中。这类漏洞能够使得攻击者嵌入恶意脚本代码到正常用户会访问到的页面中，当正常用户访问该页面时，则可导致嵌入的恶意脚本代码的执行，从而达到恶意攻击用户的目的。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
