一个月前刷了XSSchalleng以为自己已经算是入门了XSS了，但是在我挖洞碰到有可能存在XSS漏洞网页的时候，发现我只能记起来<script>alert('xss')</script>
后台服务端没有对输入的参数进行过滤, 直接任选一个注入xss payload即可:
在以往的培训和渗透过程中，发现很多渗透人员尤其是初学者在挖掘xss漏洞时，很容易混淆浏览器解析顺序和解码顺序，对于html和js编码、解码和浏览器解析顺序、哪些元素可以解码、是否可以借助编码绕过等情况也基本处于混沌的状态，导致最终只能扔一堆payload上去碰碰运气。这篇文章就把浏览器解析顺序、编码解码的类型、各种解码的有效作用域以及在xss里的实战利用技巧做一个系统总结，让你深度掌握xss挖掘和绕过。
# 🍈 一、什么是 jsx jsx 全称叫做 JavaScript XML 是React 定义的一种类似于 XML 的 js 扩展语法：JS+XML 本质是 React.createElment(标签名, 标签属性, 标签体内容) 方法的语法糖 # 🍧二、什么是 XML XML 早期用于存储和传输数据 <student> <name>TOM</name> <age>18</age> </student> # ☕三、jsx 语法规则 数据写死 // 创建虚拟 DOM const VDOM =
《xss攻击手法》一开始在互联网上资料并不多(都是现成的代码，没有从基础的开始)，直到刺的《白帽子讲WEB安全》和cn4rry的《XSS跨站脚本攻击剖析与防御》才开始好转。 我这里就不说什么xss的历史什么东西了，xss是一门又热门又不太受重视的Web攻击手法，为什么会这样呢，原因有下： 1、耗时间 2、有一定几率不成功 3、没有相应的软件来完成自动化攻击 4、前期需要基本的html、js功底，后期需要扎实的html、js、actionscript2/3.0等语言的功底 5、是一种被动的攻击
JSLint真是一个强大的工具。之前只是关注它对Javascript的作用方面，其实它同样可以检验HTML代码以及内联的Javascript代码。
作者 Black-Hole 0×01 前言: 《xss攻击手法》一开始在互联网上资料并不多(都是现成的代码，没有从基础的开始)，直到刺的《白帽子讲WEB安全》和cn4rry的《XSS跨站脚本攻击剖析与防御》才开始好转。 我这里就不说什么xss的历史什么东西了，xss是一门又热门又不太受重视的Web攻击手法，为什么会这样呢，原因有下： 1、耗时间 2、有一定几率不成功 3、没有相应的软件来完成自动化攻击 4、前期需要基本的html、js功底，后期需要扎实的html、js、actionscript2/3.
JSX 是一个看起来很像 XML 的 JavaScript 语法扩展。React 可以用来做简单的 JSX 句法转换。 为什么要使用 JSX？ 你不需要为了 React 使用 JSX，可以直接使用纯粹的 JS。但我们更建议使用 JSX , 因为它能定义简洁且我们熟知的包含属性的树状结构语法。 对于非专职开发者（比如设计师）同样比较熟悉。 XML 有固定的标签开启和闭合。这能让复杂的树更易于阅读，优于方法调用和对象字面量的形式。 它没有修改 JavaScript 语义。 HTML标签 与 Rea
parse：用于 json 转为 js 的对象 stringfy：用于将 js 对象转为 json
在之前的博客中 , 在 BuilderSupport#createNode 方法中创建了 Xml 节点 , 在 BuilderSupport#setParent 方法中设置了 Xml 节点之间的父子关系 ;
element-ui 2.13.1 （使用到element-ui message组件,提示错误消息,如果不想安装该组件，替换编辑器中的this.$message所在行函数代码即可）
Vetur —— 语法高亮、智能感知、Emmet等 包含格式化功能， Alt+Shift+F （格式化全文），Ctrl+K Ctrl+F（格式化选中代码，两个Ctrl需要同时按着）
作为一名前台软件开发人员，一定十分了解json及其格式化。而对于大多数人来说，这是一个十分陌生的词汇。那么什么是json？如何对json进行格式化？json与xml相比有哪些优势？下面就来为大家一一介绍json格式化的相关内容。
该meta标签的作用是让当前viewport的宽度等于设备的宽度，同时不允许用户手动缩放。当然maximum-scale=1.0, user-scalable=0不是必需的，是否允许用户手动播放根据网站的需求来定，但把width设为width-device基本是必须的，这样能保证不会出现横向滚动条。
Quokka.js 是一个用于 JavaScript 和 TypeScript 的实时运行代码平台。这意味着它会实时运行你输入后的代码，并在编辑器中显示各种执行结果，建议亲自尝试一下。
目前，基本上所有的网站都会防止XSS攻击，会过滤XSS恶意代码。所以学会一定的绕过技巧必不可少。
Code Spell Checker 单词拼写检查，单词拼写提示，单词拼写错误后会有提示
有时候我们会有在需要在网页中写代码或者改代码配置的需求，这个时候就需要用到代码编辑器，常规的代码编辑器有 CodeMirror 和 Monaco Editor， CodeMirror 使用的人比较多，主要因为比较轻量，核心文件压缩后仅 70+ KB，根据所需要支持的语言按需打包，目前 CodeMirror 6 已经完全重构。它支持触摸屏并且极大地提高了库的可访问性。
第二关重点是语句的闭合，根据给我们的代码可以分辨出这是一个文本框 ，我们需要闭合文本框的标签才可以执行我们的弹窗语句
Visual Studio Code 是一个运行于 OS X、Windows 和 Linux 之上的，针对于编写现代 Web 和云应用的跨平台编辑器。Visual Studio Code 为开发者们提供了对多种编程语言的内置支持，同时也会为这些语言提供丰富的代码补全和导航功能。JavaScript，TypeScript，Node.js 和 ASP.NET 5 开发者也将会获得额外的工具集。
开始复习最基础的Web漏洞，查漏补缺，打好基础，我也尽量把文章写得详细一些，希望对刚入门的小白能有一些帮助。
吐槽：虽然JSX出发点是好的，而且写起来也很简单，但是对于要在JS中写类HTML格式的内容，我的内心是排斥的，感觉非常不习惯。这不是我熟知的web开发啊！有种在开发app的感觉，一个个自定义的组件。
今天跟大家分享的课题是，当我们进行XSS脚本注入时，在不同的注入点进行注入，会产生不同的结果，那么这到底是为什么呢？不同节点，我们又该用什么针对性的插入方法呢？
https://leetcode.com/problems/valid-parentheses/description
语言相关 插件 备注 Chinese (Simplified) (简体中文) 中文语言包 功能相关 插件 备注 Auto Rename Tag 自动重命名配对的标签 Auto Close Tag 自动闭合HTML/XML标签 Surround 用于在代码块周围添加包装器片段 vscode-icons 好看的文件图标（icon） Bracket Pair Colorizer 彩虹括号，已内置 给括号加上不同的颜色，便于区分不同的区块（现在已内置在vscode中） 通过设置（搜索Bracket Pairs）
本文介绍了前端面试中常见的问题和答案，包括HTML、CSS、JavaScript、DOM、BOM、浏览器、CSS盒模型、CSS选择器、继承、优先级、响应式设计、浏览器兼容性问题等。同时，也介绍了解决常见IE6 BUG的方法和其他一些CSS技巧。
在当今的互联网和数据处理领域，XML（可扩展标记语言）和HTML（超文本标记语言）是两种非常重要的标记语言。尽管它们在语法上有相似之处，但它们的用途和设计理念却有很大的不同。本文将详细探讨XML和HTML的区别，帮助读者更好地理解这两种技术。
包括 wx:if、wx:elif、wx:else . 当条件结果为 true 时显示组件，false 不显示组件。
xml 的标签属性和 html 的标签属性是非常类似的，属性可以提供元素的额外信息
基本要求 一个riot标签，就是展现和逻辑的组合（也就是html和JS） 以下是编写riot标签最基本的规则： 先撰写HTML，再撰写JS，JS代码可以写在<script>标签内部，但这并不是必须的； 当riot标签定义在document body之内时，其内部不能使用script标签； 当riot标签定义在单独的文件中时，其内部才可以使用script标签； 如果JS代码没有写在<script>标签内部， 那我们就认为最后一个HTML标签结尾之后就是JS代码； riot标签可以是空的，或者只有HTML，或者
漏洞知识库 网络安全/渗透测试/代码审计/ 关注 ExternalInterface.call第二个参数 讲完ExternalInterface.call的第一个参数，我们接着来讲第“2”个参数，之所以2打上引号，因为 call 函数的原型是：call(functionName:String, ... arguments):*， 即后面可以有很多很多个参数，我们统称为第2个参数。有时候我们会遇到ExternalInterface.call("xxxxx","可控内容");的情况，那么这种情况下，如何构造XS
2、值得注意的是在js代码解析的过程中页面中其他内容将不会被加载和解析，直到该段js执行完成。
刚刚过去的TCTF/0CTF2018一如既往的给了我们惊喜，其中最大的惊喜莫过于多道xss中Bypass CSP的题目，其中有很多多应用于现代网站的防御思路，其中的很多利用思路非常精巧，值得研究，所以这里我把xss题目单独出来博文，因为它们值得更多关注！
创建的文件扩展名以.py结尾，如hello.py，在编写python代码时，就有代码补全提示了！
1.基于babel-preset-react-app这个语法解析包，把jsx语法转换成一个名为 React.createElement() 的方法调用。
XML 是 Extensible Markup Language 的缩写，即可扩展标记语言，是一种标记语言，也是一种简单的数据存储语言，XML 使用一系列简单的标记来描述结构化数据。
F12找到输入框，发现我们输入的上限只有20个字符，删除或修改为100即可：
Angular在VSCode下的插件 1.Angular TypeScript Snippets for VS Code 2.Angular VS Code TypeScript and HTML Snippets 3.Auto Import （自动引包） 4.Auto Rename Tag （修改xml或者html方便自动配置标签） 5.Auto Close Tag (自动闭合html标签) 6.vscode-background （vscode的背景） 7.Visual St
写过 Vue 的同学肯定体验过， .vue 这种单文件组件有多么方便。但是我们也知道，Vue 底层是通过虚拟 DOM 来进行渲染的，那么 .vue 文件的模板到底是怎么转换成虚拟 DOM 的呢？这一块对我来说一直是个黑盒，之前也没有深入研究过，今天打算一探究竟。
在 class MyBuilderSupport extends BuilderSupport 类中维护一个 Map 集合 , 该 Map 集合用于存储 上一篇博客 【Groovy】自定义 Xml 生成器 BuilderSupport ( 构造 Xml 节点类 | 封装节点名称、节点值、节点属性、子节点 | 将封装的节点数据转为 Xml 字符串 ) 中封装的 XmlNode 节点 ;
在 mysql 中，分号 代表一个查询语句的结束，所以我们可以用分号在一行里拼接多个查询语句
之前很长一段时间，我是不重视SVG的，认为他就是在AI里画画，然后导出来做个矢量图标。直到我在上家公司遇到图表的绘制，因为不会写不得已而拿插件实现，而插件绘制的SVG代码又因为看着非常吃力甚至看不懂，导致自己严重受挫。到那个时候我才从基础正式开始学习SVG。 关于SVG的文章和教程网络上有很多，我这一系列的ABC其实是我自己的一个学历历程 ，对于高手应该没有太大的帮助，对于还没有怎么写过的同学，可以一起开始学习。 首先先来认识一下SVG： SVG可缩放矢量图形（Scalable Vector Graphi
在这篇技术博客中，我们将深入探讨如何使用 Paper.js 实现一个基本的图形绘制应用，允许用户在画布上绘制封闭的多边形。Paper.js 是一个强大的向量图形脚本库，它简化了在网页上进行图形和交互式界面设计的过程。本文主要围绕上述代码进行解析，揭示其实现逻辑和关键技术点。
本文实例讲述了Thinkphp 框架扩展之标签库驱动原理与用法。分享给大家供大家参考，具体如下：
JSON(JavaScript Object Notation) 是一种轻量级的数据交换格式。它基于 ECMAScript（European Computer Manufacturers Association, 欧洲计算机协会制定的js规范）的一个子集，采用完全独立于编程语言的文本格式来存储和表示数据。
XML 外部实体（XXE）漏洞涉及利用应用解析 XML 输入的方式，更具体来说，应用程序处理输入中外部实体的包含方式。为了完全理解理解如何利用，以及他的潜力。我觉得我们最好首先理解什么是 XML 和外部实体。
2.标签：如""或" "以小于号和大于号包裹，成对出现，或单独出现的文本成为标签，其中成对出现的标签为闭合标签，单独出现的为自闭合标签。如""为闭合标签，" "为自闭合标签 3.注释：以""结束，其中包裹的内容为注释内容，注释分为单行注释，快捷键"ctrl+/",多行注释，快捷键"Shift+ctrl+/" 4.html版本声明：由于html迭代，客户端在解析网页时需要遵循不同版本html的规则，所以需要在html文件中声明当前html文件遵循的html规则。
万维网联盟（外语缩写：W3C）标准不是某一个标准，而是一系列标准的集合。网页主要由三部分组成：结构（Structure）、表现（Presentation）和行为（Behavior）。对应的标准也分三方面：结构化标准语言主要包括 XHTML 和 XML，表现标准语言主要包括 CSS，行为标准主要包括对象模型（如 W3C DOM）、ECMAScript 等。这些标准大部分由万维网联盟（外语缩写：W3C）起草和发布，也有一些是其他标准组织制订的标准，比如 ECMA（European Computer Manufacturers Association）的 ECMAScript 标准。
但工欲善其事必先利其器，以下是本人为前端开发收集的常用的vscode插件，有需要的话赶紧mark起来吧~
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
