说明：safe1.html,safe2.html,safe3.html;fish1.html/fish2.html/fish3.html 的区别仅在于请求接口不用。
攻击者在入侵网站后，常常会通过恶意劫持流量来获取收益，从而实现流量变现。有一些黑帽劫持的手法堪称防不胜防，正常的访问行为很难发现异常。今天给大家分享一下常见的网站劫持手法和排查思路。
能注入恶意的HTML/JavaScript代码到用户浏览的网页上，从而达到Cookie资料窃取、会话劫持、钓鱼欺骗等攻击。
CSRF（全称 Cross-site request forgery），即跨站请求伪造
所谓图片异步加载，意思是不用一次把图片全部加载完，你可以叫它延迟加载，缓冲加载都行。看看你有没有这JavaScript
大家经常会看到QQ空间自动转发一些附带链接的不良信息，即便我们的QQ密码并没有被盗取。 最近通过对一个QQ空间自动转发链接进行分析，发现该自动转发机制通过利用腾讯网站存在漏洞的页面，精心构造出利用代码
res.setHeader('Content-Type', 'text/plain;charset=utf-8');
利用漏洞提交恶意 JavaScript 代码，比如在input, textarea等所有可能输入文本信息的区域，输入<script src="http://恶意网站"></script>等，提交后信息会存在服务器中，当用户再次打开网站请求到相应的数据，打开页面，恶意脚本就会将用户的 Cookie 信息等数据上传到黑客服务器。
Node-RED是IBM开源的低代码物联网编排工具，有广泛应用，包括研华WISE PaaS、西门子Iot2000、美国groov EPIC/groov RIO等工业IoT硬件也都预装了Node-RED。此外，它亦常被作为低代码开发平台使用。
有些授权测试中，允许红队人员用社会工程学之类的方法进行渗透。钓鱼和水坑则是快速打点或横向的常用手段。钓鱼通常需要绕过目标邮件网关等安全设备，水坑则需要摸清目标的操作习惯。在此简单的罗列一下布置水坑的方法。ps：本文未涉及任何真实案例。
随着 web 技术的蓬勃发展，前端的展示、交互越来越复杂，在用户的访问、操作过程中产生了大量的数据。由此，前端的数据分析也变得尤为重要。当然，对于站长来说，你可以使用百度统计等各种已有的服务平台，但是，如果现有的统计平台不能满足你的需要，你想开发自己定制化的数据统计平台，或者你是一个纯粹的 geek，想了解背后隐藏的技术，又或者你对前端的数据统计感兴趣，本文就能满足你那颗好奇的心。下面就逐步描述前端有哪些数据、如何采集前端的数据、以及如何展示数据统计的结果。 有哪些？ 前端的数据其实有很多，从大众普遍关注的
一款比较实用,并且验证类型齐全的jQuery表单验证插件.英文版原作者@Vanadium,由我做中文整理.E文水平有限,如果翻译的有问题的,请大家指出,在此感谢~ 可以验证哪些? 文字,日期,邮箱,
一些网站是采用检测此IP地址登录的密集度，多次登录后需要输入验证码，那么这时CURL模拟的提交就需要去对验证码图片进行分析，这样就会花费大量时间，当然，这种是对于防止登录被爆破，用户资料泄露的。
高性能网站架构方案（二）——优化网站响应时间 （原创内容，转载请注明来源，谢谢） 一、概述 优化网站响应时间是保证网站受用户关注的要点，主要方案有： 1、减少HTTP请求 当需要加载图片、css、js等内容时，尽量减少加载的次数。可以合并加载，另外当改动量很少时，尽量将内容进行缓存。 图片的缓存可以设定更新时间，定时去服务器查看是否有需要更新的内容。通常可以定时在1周甚至更久的时间。 CSS、JS的缓存，通常可以通过文件名的方式来判断是否需要重新加载。当网页确定需要加载某些js和c
数据库（database）是按照数据结构来组织，存储和管理数据的建立在计算机存储设备上的仓库。 数据库是长期存储在计算机内，有组织的，可共享的数据集合。数据库中的数据指的是以一定的数据模型组织，描述和 存储在一起，具有尽可能小的冗余度，较高的数据独立性和易扩展性的特点并可在一定范围内为多个用户共享。 常用的数据库有mysql，oracle，sqlserver等。作用不一样，数据库是用来支撑业务（1）的，需要响应速度特别快，没 有延时，查询起来都是一条条查询，把相关的数据全部得到，适合用这种关系型数据库。数据仓库主要用来支撑分析的。 问题：公司的多个部门，对相同的数据描述会不一样，在汇总的时候会出问题。
网马的本质是一个特定的网页，这个网页包含了攻击者精心构造的恶意代码，这些恶意代码通过利用浏览器（包括控件、插件）的漏洞，加载并执行攻击者指定的恶意软件（通常是木马）。 网站挂马是黑客植入木马的一种主要手段。黑客通过入侵或者其他方式控制了网站的权限，在网站的Web页面中插入网马，用户在访问被挂马的网站时也会访问黑客构造的网马，网马在被用户浏览器访问时就会利用浏览器或者相关插件的漏洞，下载并执行恶意软件。其本质是利用浏览器和浏览器控件、插件的漏洞，通过触发漏洞获取到程序的执行权限，执行黑客精心构造的shellcode。
看到一个好玩的，就随手收藏一下，本 API 作用：获取用户真实 IP，而获取用户 IP 常见的坑有两个，开发支付的时候也需要获取用户的真实 IP： 获取的是内网的 ip 地址。在 Nginx 作为反向代理层的架构中，转发请求到 PHP，Java 等应用容器上。结果 PHP 获取的是 Nginx 代理服务器的 ip，表现为一个内网的地址。PHP 获取 REMOTE_ADDR 就是这样一个情况(内网地址)。 获取的是攻击者伪造的 ip 地址。攻击者可以随便伪造一个头部信息，随便填写一个 ip 放到头部发过来
小程序经常需要从他人或者朋友圈链接进入小程序，别人分享的指定页面我们需要让他人直接不用登录就可以看到页面的内容
上篇文章记录了小程序的自定义导航栏的实现过程和小程序基础组件 cover-image 中 使用 fiexd 失效的坑。 前天突然在qq上看到一个学妹在群里@我问我小程序怎么实现左滑删除，今天正好周末有空，于是就在掘金上写了这篇文章。
本文介绍了前端性能优化中的直出方案，通过减少HTTP请求、合并小文件、懒加载、使用服务器端渲染等方式来提高首屏渲染速度，降低白屏时间，从而提升用户体验。同时，总结了实施直出方案过程中的一些经验和教训，包括前端路由的使用和React同构直出优化等。
双十一前夜，还想着通过同城交友或是某些不可描述的网站一解单身的烦恼？别急，不妨先来看看这些网站给光棍发的“福利”！ 最近，360安全中心监测到一起网站弹窗广告挂马事件，弹出的网络广告出现挂马，广告内容以同城交友等伪装色情诱惑信息为主，通过对整个挂马攻击的过程分析发现该挂马脚本以及攻击负载(Payload) 在通过中招者网络时进行加密，并在最后阶段通过进行解密执行。攻击负载甚至还利用regsrv32 实用程序执行一个.sct文件来绕过AppLocker 的脚本规则。 下面就对该挂马木马进行简单分析： 通过监控
十多年来，Web技术突飞猛进，其中Chrome功不可没，了解Chrome可以帮助我们理解前端行业的发展趋势。
前言 交流群:195866844 目录: 用SignalR 2.0开发客服系统[系列1:实现群发通讯] 用SignalR 2.0开发客服系统[系列2:实现聊天室] 真的很感谢大家的支持,今天发表系列3
由于传播、利用本公众号亿人安全所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，公众号亿人安全及作者不为此承担任何责任，一旦造成后果请自行承担！如有侵权烦请告知，我们会立即删除并致歉。谢谢！
很对微信群里的网友，我都称他们为老铁，从来不称兄道弟的，因为我觉得不真实。不向某东，说一套做一套。
说是破解，其实也就是想办法把防切屏解了。 之前有些考试软件防止切屏可以用虚拟机，稍微复杂一点，至于浏览器检测切屏，无非就是检测焦点，像有些网站的动态标题就是这样，那么用什么来实现检测焦点呢？这里不得不提到JavaScript。
2020 年下旬，Google Analytics 发布了 v4，数据收集接口迁移为向 analytics.google.com 发送 POST 请求，导致中国大陆不可用。于是因此就计划着开发了 Aofuji Analytics，作为一个超轻量级的自搭建数据收集工具，用于 GA 的简单替代。
上篇文章这一次，彻底理解XSS攻击讲解了XSS攻击的类型和预防方式，本篇文章我们来看这个36039K的XSS-NPM库（你没有看错就是3603W次， 36039K次，36,039,651次，数据来自https://npm-stat.com）,相信挺多小伙伴在项目中，也用到了这个库。
首先从抓包着手，我比较习惯用fiddler抓包。尝试模拟器上配置代理抓包，结果模拟器用不了。
近几年，随着 IE 浏览器的落幕，Chrome（包括使用Chrome内核的浏览器）其实质上已经垄断整个浏览器行业了，就连微软的 Edge 都用上了 Chrome 内核。 可以说，Chrome 的标准，事实上就可以看做是行业标准了。可以预见，Chrome 的发展前景将会非常广阔。
这段时间接手了一个新需求，将一个ASP.NET MVC项目改成前后端分离项目。前端使用Vue，后端则是使用ASP.NET WebApi。在搭建完成前后端框架后，进行接口测试时发现了一个前后端分离普遍存在的问题跨域（CORS）请求问题。因此就有了这篇文章如何启用ASP.NET WebApi 中的 CORS 支持。
搜索功能举例 jquery回车监听事件在最后那行代码 define('widget/search.js', [], function (require, exports, module) { var _dom = { keyword: $('.js_keyword'), dataRole: $('.js_submit').attr('data-role'), btn: $('.js_submit'), }; function sea
跨站请求伪造（Cross Site Request Forgery），是指黑客诱导用户打开黑客的网站，在黑客的网站中，利用用户的登陆状态发起的跨站请求。CSRF攻击就是利用了用户的登陆状态，并通过第三方的站点来做一个坏事。
Ajax 即” Asynchronous Javascript And XML”(异步 JavaScript 和 XML),是指一种创建交互式网页应用的网页开发技术。
传统爬虫从一个或若干初始网页的URL开始，获得初始网页上的URL，在抓取网页的过程中，不断从当前页面上抽取新的URL放入队列,直到满足系统的一定停止条件。聚焦爬虫的工作流程较为复杂，需要根据一定的网页分析算法过滤与主题无关的链接，保留有用的链接并将其放入等待抓取的URL队列。
Ext的对话框都封装在Ext.MessageBox类，该类还有一个简写形式即Ext.Msg，可以直接通过Ext.MessageBox或Ext.Msg来直接调用相应的对话框方法来显示Ext对话框。
今天给大家介绍的是一个名叫Tarnish的工具，Tarnish是一个Chrome扩展静态分析工具，可帮助研究人员对Chrome扩展的安全情况进行审计。
我们通常会用CSP加强站点JS资源的执行限制，有效降低XSS攻击；我们通过HTTPS链接加密资源，减少站点资源劫持风险等等大量的前端安全方案。但你可能还没听说 Subresource Integrity (SRI) 子资源完整性校验。 本文将带你了解SRI是什么，能解决哪些安全风险，如何快速接入。同时，使用它又会带来哪些问题，以及浏览器的支持情况如何。 什么是SRI ？ SRI 是 Subresource Integrity 的缩写，可翻译为：子资源完整性，它也是由 Web 应用安全工作组（Web Ap
新，会自上而下逐渐刷新整个子孙组件，这样性能损耗重复渲染就会多出很多，所以我们不仅要单一数据来源控制组件刷新，偶尔还需要在shouldComponentUpdate中对比nextProps和this.props 以及this.state以及nextState.
HTTPS 在 HTTP 的基础上增加了 SSL/TLS 加密，提供了更加安全的传输协议。俨然已经属于各大网站的标配。有赞作为一个 SaaS 平台，涉及到用户的商品，交易，支付等关键性流程。支持全站 HTTPS，提高网站安全是我们的基础保障。本文关注的事情包括： 了解 HTTPS 基础原理，切换 HTTPS 需要切换的内容，如何监控和实际操作，以及遇到的一些难点。
14天阅读挑战赛 努力是为了不平庸~ 算法学习有些时候是枯燥的，这一次，让我们先人一步，趣学算法！欢迎记录下你的那些努力时刻（算法学习知识点/算法题解/遇到的算法bug/等等），在分享的同时加深对于算法的理解，同时吸收他人的奇思妙想，一起见证技术er的成长~
前言 本文只针对比较流行的跳转型暗链作为研究对象，其他类型的暗链暂时不做讨论。只对bypass进行讨论，不涉及检测工具的编写。本着不知功焉知防的思想，从绕过XSS过滤的角度对暗链检测提出一些新的idea。 跳转型暗链的一般模式 暗链模式一：见人说人话 如今很多的被植入暗链的网站都有一个奇怪的现象，就是通过地址直接访问不会跳转到非法网站，但是通过搜索引擎搜索关键字才会跳转到非法网站。 这种一般是通过JS的document.refere字段来实现的: HTTP Header referer这玩意主要是告诉人们
此动态加载css方法 loadCss，剥离自Sea.js，并做了进一步的优化（优化代码后续会进行分析）。
开源情报曾在上月初发布了永恒之蓝下载器挖矿木马的更新攻击事件—“黑球”行动，其中就有提到它利用带有Office漏洞CVE-2017-8570漏洞的doc文档作为附件的垃圾邮件进行攻击，然后通过执行PowerShell命令下载和安装挖矿相关的恶意计划任务，相关的垃圾邮件具体信息如下：
众所周知，不是所有的网站设计技术都是对搜索引擎友好的，像某些小电影网站、博彩娱乐站及某些直播平台站等，可能在技术上都会屏蔽搜索引擎蜘蛛爬行和抓取，而这些技术我们可以称之为蜘蛛陷阱。
Axios 是一个基于 promise 的 HTTP 库，可以用在浏览器和 node.js 中。
学习zepto.js(原型方法)[1] 新的一周,新的开始,今天来学习一下zepto里边的原型方法,就是通过$.进行调用的方法,也是可以通过$.fn进行扩展的方法: $.c
服务器如果是集群，不同服务器返回的 Http Header 中的 Etag 参数不一样。如果是图片是程序生成的，我们可以用 no-cache 这些 header 来控制，但如果这些图片是 apache 或 nginx 等呢？
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
云直播
