补充知识：Django 前后端分离跨域AJAX获取csrftoken及获取cookie时遇到的问题
通常站点，都会想让自己网站的视频和图片，免被盗用，毕竟视频流量，花的都是白花花银子 首先我们没有配置防盗链的情况下，放开静态资源你的访问。我们来看看效果
在本文中，我以 https://gitee.com/Topcvan/js-notes-img/raw/master/%E5%AE%8F%E4%BB%BB%E5%8A%A1%E9%98%9F%E5%88%97.png 这个图片为例，重现下事发过程。
在一次漏洞挖掘过程中，我发现 callback=jsonp_xxx 或者 callback=jQuery_xxx 这类格式的URL存在 XSS 漏洞，当时没有自己研究具体是怎么回事
有些产品为了防止自己的产品被盗链访问，会采用反盗链措施，如封闭型生态的音乐网站和视频网站，他们已经为了版权付费，自然不希望你免费使用他们的资源。但因为很多人专门研究盗链，因此我们也需要了解下盗链、反盗链和逃避反盗链的原理。
本文描述了一个关于 http 协议中 referer 的 metadata 参数的提议，使用这个 metadata 参数，html 文档可以控制 http 请求中的 referer ，比如是否发送 referer、只发送 hostname 还是发送完整的 referer 等。虽然有一些方法可以控制 referer ，比如 flash，以及一些 js 的 tricks，但是本文中描述的是另外一番景象。 使用场景 在某些情况下，出于一些原因，网站想要控制页面发送给 server 的 referer 信息的情
本文描述了一个关于 http 协议中 referer 的 metadata 参数的提议，使用这个 metadata 参数，html 文档可以控制 http 请求中的 referer ，比如是否发送 referer、只发送 hostname 还是发送完整的 referer 等。虽然有一些方法可以控制 referer ，比如 flash，以及一些 js 的 tricks，但是本文中描述的是另外一番景象。
一、什么是防盗链 网站资源都有域的概念，浏览器加载一个站点时，首先加载这个站点的首页，一般是index.html或者index.php等。页面加载，如果仅仅 是加载一个index.html页面，那么该页面里面只有文本，最终浏览器只能呈现一个文本页面。丰富的多媒体信息无法在站点上面展现。 那么我们看到的各类元素丰富的网页是如何在浏览器端生成并呈现的？其实，index.html在被解析时，浏览器会识别页面源码中的 img，script等标签，标签内部一般会有src属性，src属性一般是一个绝对的URL地址或者相
现在基于WEB页面的网络游戏越来越流行，由于是基于HTTP的，因此应该可以用LoadRunner来开发外挂。今天略为试了一下，证实是可行的。
完成了代理这个大模块的学习，我们继续其它 Nginx 中 HTTP 相关的模块学习。今天的内容都比较简单，不过最后的来源处理非常有用，可以帮我们解决外链问题。另外两个其实大家了解一下就好。
攻击者在入侵网站后，常常会通过恶意劫持流量来获取收益，从而实现流量变现。有一些黑帽劫持的手法堪称防不胜防，正常的访问行为很难发现异常。今天给大家分享一下常见的网站劫持手法和排查思路。
nginx反向代理的指令不需要新增额外的模块，默认自带proxy_pass指令，只需要修改配置文件就可以实现反向代理。
使用iOS打开微信支付页面需要设置webview的Referer Referer一般为http://www.xxx.com或者直接www.xxx.com 在Info中URL Type添加该Referer为打开自己app的scheme 嗯，就这样结束！！！ 打开微信可能遇到的坑，需添加这个代理，实现部分内容 - (void)webView:(WKWebView *)webView decidePolicyForNavigationAction:(WKNavigationAction *)navigationA
留言板有个来源的字段，用来获取网页的地址。测试时发现在谷歌Chrome浏览器中，可以正确获取到网址来源，然后用火狐Firefox浏览器，却无法正确获取到网址来源。因为后台使用的是PHP，留言成功之后通过JS弹出alert提示框，然后再通过location.href跳转回留言页面。
一个完整的域名由二个或二个以上部分组成，各部分之间用英文的句号”.”来分隔，最后一个”.”的右边部分称为顶级域名（TLD，也称为一级域名），最后一个”.”的左边部分称为二级域名（SLD），二级域名的左边部分称为三级域名，以此类推，每一级的域名控制它下一级域名的分配。定义是这样的，在域名中包含两个点的，就叫二级域名，只包含一个点的，就是一级域名。
前段时间遇到一个问题，就是我的个人网站需要接入第三方百度统计，因为我的文章图片有来自第三方微信后台上传的文章，所以使用<meta name="referrer" content="no-referrer">解决图片访问403的问题,但是此时这个导致我百度统计失效了，于是去查询了一下referrer这个特性。
简言之，HTTP Referer是header的一部分，当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器我是从哪个页面链接过来的，服务器籍此可以获得一些信息用于处理。比如从我主页上链接到一个朋友那里，他的服务器就能够从HTTP Referer中统计出每天有多少用户点击我主页上的链接访问他的网站。
前后端分离的项目，前端使用Vue，后端使用Spring MVC。 显然，需要解决浏览器跨域访问数据限制的问题，在此使用CROS协议解决。 由于该项目我在中期加入的，主要负责集成shiro框架到项目中作为权限管理组件，之前别的同事已经写好了部分接口，我负责写一部分新的接口。 之前同事解决跨域问题使用Spring提供的@CrossOrigin注解：
meta 标签提供该页面的一些信息，比如针对搜索引擎和更新频度的描述和关键词，它还可以控制页面缓冲、响应式窗口等，定义 meta 标签有利于网站 SEO（有利于搜索引擎访问），对于响应式窗口也起着作用，因此 meta 标签是 HTML 中很重要的一个标签。在生成默认的 HTML 文档结构时，通常会有两个 meta 标签：
攻击者盗用了你的身份(TOKEN或Cookie等认证),以你的名义往服务器发请求,这个请求对于服务器来说是完全合法的,但是却完成了攻击者所希望的操作,而你全然不知,例如:以你的名义发送邮件,转账之类的操作
互联网也是一样，你不会无缘无故访问一个网页，总是有人告诉你，可以去那里看看。服务器也想知道，你的"引荐人"是谁？
作者： EtherDream www.cnblogs.com/index-html/p/anti_xss_worm.html 前言 XSS 自动点按钮有什么危害？ 在社交网络里，很多操作都是通过点击按钮发起的，例如发表留言。假如留言系统有 XSS，用户中招后除了基本攻击外，还能进行传播 —— XSS 自动填入留言内容，并模拟点击发表按钮，于是就能发布带有恶意代码的留言。好友看了中招后，又传播给他们的好友。。。从而形成蠕虫扩散。 那么有没有一种机制，让「发表留言」必须通过用户的「真实点击」按钮才能完成，而无
referrer policy是unsafe url的，ok，下面介绍一下Referer和referrer policy
什么是CDN? CDN的全称是Content Delivery Network，即内容分发网络。CDN是构建在现有网络基础之上的智能虚拟网络，依靠部署在各地的边缘服务器，通过中心平台的负载均衡、内容分
1. 概述 上段时间一直忙于处理大会安全保障与应急，借助公司云悉情报平台，发现并处置几十起网站被劫持的情况。对黑客SEO技术颇有感觉。正好这段时间有时间，把以前遇到比较有趣的案例和大家分享一下。里面很多技术其实早已被玩透，只是网上搜了一下并无太多这方面的介绍。所以在这里共享一下相关的案例，案例主要分享一下思路。 1.1 原理 网站劫持是一个相对古老的技术，主要是黑帽用来做SEO用。实现网站劫持如果以下步骤: 入侵相关网站 然后在网站中插入JS或修改其配置文件，增加相应的劫持代码。另外一般会加入判断条件，判
能注入恶意的HTML/JavaScript代码到用户浏览的网页上，从而达到Cookie资料窃取、会话劫持、钓鱼欺骗等攻击。
CC攻击（Challenge Collapsar）CC攻击的本名叫做HTTP-flood，是一种专门针对于Web的应用层flood攻击，攻击者操纵网络上的肉鸡，对目标Web服务器进行海量http request攻击，造成对方服务器资源耗尽，一直到宕机崩溃。
网站,APP越来越多,安全问题也面临着严重挑战,我们SINE安全在对客户网站做安全服务的同时,发现很多客户网站都有使用JSON的交互方式来进行数据的传输,包括JSON调用,在使用JSON同时发生的安全问题以及如何做好JSON的网站安全防护,下面我们跟大家来分享一下.
当我们的css，js文件等内容没有通过CDN进行分发时。默认将会通过我们的本地服务器进行加载。例如当前博客网站样式，为了确保稳定。css和js等文件配置全部存储在了本地。
接着上一篇文章，本篇文章我们继续来讲解前端如何处理网站的安全问题，本文主要讲解跨站请求伪造(CSRF)。
我们先来了解了解防盗链的原理，在 http 协议中，如果从一个页面跳到另一个页面，header字段里面会带个 Referer。图片服务器通过检测 Referer 是否来自规定域名，来进行防盗链。
打开VLC，点击媒体 -> 打开网络串流，添加网络流媒体链接： rtsp://wowzaec2demo.streamlock.net/vod/mp4:BigBuckBunny_115k.mp4
在避免静态图片盗链时，可以用RewriteCond检查referer，如果不是来自于特定的网站或搜索引擎，则转向另一个页面。在使用这些 RewriteCond和不使用之间作比较，每条RewriteCond将降低速度1%以上，随着这个列表的增长，对于速度的影响将进一步突出。因此使用 大量RewriteCond来保护静态内容的方案，虽然能减和网络流量，但是也会消耗服务器性能。在具体使用过程中一定要平衡各方面条件。
从msdn得知，WinHttp.WinHttpRequest.5.1 是 msxml 4.0 的底层对象，也就是说 XMLHTTP/ServerXMLHTTP 也是在它的基础上封装而来。用 WinHttpRequest 发的请求，连 Fiddler 也监测不到，看来确实是比较底层的东西。
Axios 是一个基于 Promise 的 HTTP 客户端，同时支持浏览器和 Node.js 环境。它是一个优秀的 HTTP 客户端，被广泛地应用在大量的 Web 项目中。
Izy发现，当我们通过第三方APP“快手”，将信息分享到微博时，信息内容就会造成一个XSS。当用户在ipad版微博客户端上查看这条微博的时候，即触发。我们这次的目的就是让这个存储型XSS变成蠕虫。
现在很多Web项目都是前后端分离的形式，现在浏览器的功能也是越来越强大，基本上大部分主流的浏览器都有调试模式，也有很多抓包工具，可以很轻松的看到前端请求的URL和发送的数据信息。如果不增加安全验证的话，这种形式的前后端交互时候是很不安全的。
我们可以通过window.origin或location.origin得到当前源。
在一开始,我打算将其他网站的图片放在自己的网站（http://localhost…）上显示.
AgileConfig的UI使用react重写快完成了。上次搞定了基于jwt的登录模式（AntDesign Pro + .NET Core 实现基于JWT的登录认证），但是还有点问题。现在使用react重写后，agileconfig成了个确确实实的前后端分离项目。那么其实部署的话要分2个站点部署，把前端build完的静态内容部署在一个网站，把server端也部署在一个站点。然后修改前端的baseURL让spa的api请求都指向server的网站。 这样做也不是不行，但是这不符合AgileConfig的精神，那就是简单。asp.net core程序本身其实就是一个http服务器，所以完全可以把spa网站使用它来承载。这样只需要部署一个站点就可以同时跑spa跟后端server了。 其实最简单的办法就是把build完的文件全部丢wwwroot文件夹下面。然后访问：
反爬虫常见套路 判断user-agent 校验referer头 校验cookie 同一IP访问次数限制 js/ajax动态渲染页面 反反爬虫应对策略 1、user-age
今天北哥就给大家普及下csrf是啥？如果你已经知道了可以直接拉文章到底部点个赞。:smile:
1.nginx的优化 全局配置优化：修改系统ulimit限制/etc/security/limits.conf
今天没有原创文章发了，从乌云知识库里选了一个文章给大家分享一下，不知道这种方式，大家是否能够接我从乌云知识库里选择一些文章给大家分享，请大家给我提出来，我来根据大家的意见来做出变化，毕竟写原创不易，请大家谅解。欢迎大家给我留言，让我知道你们的想法。
一. 防盗链原理 http 协议中，如果从一个网页跳到另一个网页，http 头字段里面会带个 Referer。图片服务器通过检测 Referer 是否来自规定域名，来进行防盗链。 设置突破防盗链方法 1. 使用apache文件FileMatch限制，在httpd.conf中增加 ( 其实也可以将把下面的语句存成一个.htaccess文件)，并放到你的网站的根目录（就是www/html目录），这样子别人就没有办法盗连你的东东了~~ SetEnvIfNoCase Referer "^http://kuaisho
前篇“WEB安全防护相关响应头（上）”中，我们分享了 X-Frame-Options、X-Content-Type-Options、HTTP Strict Transport Security (HSTS) 等安全响应头的内容。下文中，我们则侧重介绍一些和跨站安全相关的响应头——
什么是 .htaccess 文件？ 概述来说，htaccess 文件是 Apache 服务器中的一个配置文件，它负责相关目录下的网页配置。 通过 htaccess 文件，可以帮我们实现：网页 301 重定向、自定义 404 错误页面、改变文件扩展名、允许/阻止特定的用户或者目录的访问、禁止目录列表、配置默认文档等功能。 理解 WordPress 的 htaccess # BEGIN WordPress #这是一行注释，表示 WordPress 的 htaccess 从这里开始 #如果 Apache
当html页面中引入跨域的资源时（image,js,css等），可在html的header中加上
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
