“瑞数” 是逆向路上的一座大山，是许多JS逆向者绕不开的一堵围墙，也是跳槽简历上的一个亮点，我们必须得在下次跳槽前攻克它！！ 好在现在网上有很多讲解瑞数相关的文章，贴心的一步一步教我们去分析瑞数流程，分析如何去扣瑞数逻辑，企图以此教会我们 (手动狗头)。却鲜有文章详细去讲解如何通过纯补环境的方式过瑞数。今天，它来了！
因为不少大网站有对selenium的js监测机制。比如：navigator.webdriver，navigator.languages，navigator.plugins.length……
这篇文章是《2019年末逆向复习系列》的第二篇：《努比亚Cookie生成逆向分析》
今天写的 Js 逆向之补环境，就可以理解是在 Js 环境下精进我们的 " 骗术 "
https://mp.weixin.qq.com/s/4hQplDJ4xrV30ZkwE78QVQ
本文提供的工具、教程、学习路线、精品文章均为原创或互联网收集，旨在提高网络安全技术水平为目的，只做技术研究，谨遵守国家相关法律法规，请勿用于违法用途。
系统开放3012、12017两个端口，前者为身份认证接口，以json形式返回token与权限参数，后者为业务系统，前端调用js-aes对json加密得到cookie
YUhSMGNITTZMeTkzZDNjdWNISnBZMlZzYVc1bExtTnZiUzVoZFM4PQ==
在chrome插件中，我们通常会看到在插件端登录操作会跳转到第三方独立的web去登录，一旦web登录，返回到插件端，一刷新页面，插件就自动登录了。这是如何实现的呢？本文是插件与web端的单点登录的一篇总结笔记，希望看完在项目中有所帮助。
确实有点东西，我打开控制台，用chrome调试页面时，刷新页面后一直在debug，浏览器都搞崩了。
案例地址：https://www.dsedt.gov.mo/zh_CN/pg_home
本文从黑产攻击方式、木马恶意行为、监控及防御方案等角度对Lnkr木马进行分析，此类木马影响范围较广，攻击手法多样，但目前国内相关的资料却非常稀少，希望本文的实践经验和总结能对从事相关安全检测的同学有所帮助。
本文章中所有内容仅供学习交流使用，不用于其他任何目的，不提供完整代码，抓包内容、敏感网址、数据接口等均已做脱敏处理，严禁用于商业用途和非法用途，否则由此产生的一切后果均与作者无关！
在爬取简单的页面则很轻松的可以抓取搞定，但是如今一个b***p项目(不透露)，需要抓取的网站有比较强悍的反爬虫技术，我们也提高作战技术，汇总并逐步实现反爬虫技术。
2020年10月，美团安全运营平台发现流量中存在恶意JavaScript请求，信息安全部收到告警后立即开始应急处理，通过对网络环境、访问日志等进行排查，最终锁定恶意请求由Chrome浏览器安装恶意插件引起，该恶意JavaScript文件会窃取Cookie并强制用户跳转到恶意色情站点、推广链接等，结合美团威胁情报大数据，发现该插件与Lnkr Ad Injector木马特征吻合。
对用户获取短信验证码的手机号、ip、和浏览器（使用唯一标识）进行限制。本文介绍的方法是对用户每天只能通过同一浏览器或同一ip地址获取验证码10次或者同一手机号只能获取3次短信验证码，三种限制为“或”关系，一条超限就不发验证码。方法是通过在服务器端将用户的手机号、ip、ur_r记录并写入文件，再通过读取文件记录判断用户请求发送验证码的次数来做限制。方法如下：
上周麒麟服务器的安全检测报告出炉，其中有一条是“反射型XSS”漏洞，而且显示的是高危漏洞，我对服务器安全认知较少，毕竟一直在用开源程序或者成熟的框架，一些基本的安全都完善了，但是整套源码并没有完善这些，所以还得手动，我就想着安装了服务器防火墙就好了，什么sql注入，常见渗透等攻击都会被阻止，结果我太天真了，我居然以为安装了防火墙就完事了，直到我在宝塔系统安装了防火墙之后才明白，防火墙根本用不了，，，好吧那就手动吧，先看看什么是“反射型XSS”
乌鸦安全的技术文章仅供参考，此文所提供的信息只为网络安全人员对自己所负责的网站、服务器等（包括但不限于）进行检测或维护参考，未经授权请勿利用文章中的技术资料对任何计算机系统进行入侵操作。利用此文所提供的信息而造成的直接或间接后果和损失，均由使用者本人负责。
B站这个视频列表是真的体验感太差了,有时候想把章节复制下来,再对应的章节下面做笔记,实在是太难搞了,于是就有了这篇文文章
XSS攻击是指在网页中嵌入一段恶意的客户端Js脚本代码片段，JS脚本恶意代码可以获取用户的Cookie、URL跳转、内容篡改、会话劫持……等。
最近给主题评论区加UA判断，判断评论者是什么操作系统，博客程序本身就存了评论者的User-Agent，只要针对User-Agent进行判断系统就行了。 思路
XSS 全称：跨站脚本（ Cross Site Scripting ）,为了不和层叠样式表（ Cascading Style Sheets ）的缩写 CSS 混合，所以改名为 XSS；攻击者会向 web 页面（ input 表单、 URL 、留言版等位置）插入恶意 JavaScript 代码，导致 管理员/用户 访问时触发，从而达到攻击者的目的。
属性里可能存的是方法，也可能存的就是一个值（值有两个方法getter、setter）
刷完了XSS challenge和XSS game 对XSS漏洞有了些许认识 在此做个小结与记录
HawkScan是一款针对网站的网络侦察和信息收集工具，并且同时支持Python 2.x和Python 3.x环境。
原本昨天就要发文章的了，由于之前的pdd文章被投诉了，删除了，影响心情的同时也不敢乱发文章了，所以就暂时歇了一天，也改了另外一个网站，就是今天的物流网站。如果大家某天看不到我发文了，估计我也是被举报完了，到时想要看的可以去我的GitHub上看。
大部分网站都会对关键参数进行加密，JS 逆向时，我们首要任务是定位参数具体的加密逻辑。
功能类似于JSFinder，开发由来就是使用它的时候经常返回空或链接不全，作者还不更新修bug，那就自己来咯
Monster 是 Alipay UED 推出的网站代码分析、质量检测及评分的浏览器扩展，它能智能分析CSS、JS、HTML内容并生动形象展示网页得分情况(类似YSlow)。它是一个开源 项目，您可以在GoogleCode中心检出MonsterForChrome项目源代码。不久会推出Firefox版扩展。
public文件夹下新建了static文件夹，其余的css js plug文件夹都在下面
前端性能优化，是每个前端必备的技能，优化自己的代码，使自己的网址可以更加快速的访问打开，减少用户等待，今天就会从几个方面说起前端性能优化的方案，
Web Spider Fiddler - JS Hook 基本使用：https://blog.csdn.net/EXIxiaozhou/article/details/128794705 网洛者 - 反反爬虫训练平台网址：https://wangluozhe.com/
今天给大家分享一个常见的 cookie 加密反爬，这个加密以前也遇到过，不过只有一层
在一些接口项目中，API的使用很频繁，所以一款API在线文档生成和测试工具非常有必要。而Swagger UI就是这么一款很实用的在线工具 本博客介绍如何在公司或者自己的电脑上按照Swagger UI，注意因为公司的测试服务器是Linux系统的，所以本博客也只介绍基于Linux系统的Swagger环境搭建过程
首先理清思路，没必要每次登录都去实时监测识别登录页面的验证码，而是反过来想，当我们登录成功了，必然在cookie里留下标识符比如token之类的，那么我们直接带着这些cookie去请求页面，就可以在cookie有效期内随时登录这个系统了：https://www.dianxiaomi.com/package/toAdd.htm
上面的路由比较简单，如果这个人登陆过，持久化存储在服务端Session信息中的login为true,那么就不需要密码登陆，前端给予控制路由即可。
根据需求需要将老项目中的 WebView 替换成 WKWebView，期间查阅了不少文档和资料，之前也发布了几篇 WKWebView 相关的优秀文章。
CSRF（Cross Site Request Forgery, 跨站域请求伪造）是一种网络的攻击方式，它在 2007 年曾被列为互联网 20 大安全隐患之一。其他安全隐患，比如 SQL 脚本注入，跨站域脚本攻击等在近年来已经逐渐为众人熟知，很多网站也都针对他们进行了防御。然而，对于大多数人来说，CSRF 却依然是一个陌生的概念。即便是大名鼎鼎的 Gmail, 在 2007 年底也存在着 CSRF 漏洞，从而被黑客攻击而使 Gmail 的用户造成巨大的损失。
现在淘宝的商品搜索页必须要登录才能见，所以必须要cookies才能进行下一步操作。本期介绍如何使用pyppeteer登录淘宝，获取Cookies。
在对一些需要进行登陆操作的网站爬取时，通常都会使用到Selenium。但是Selenium爬虫在爬取数据时也是会被网站检测到，这是因为Selenium模拟了浏览器行为，而相对于真实用户的浏览器，Selenium模拟无法识别JavaScript代码和CSS文件。此外，网站也可能通过检测请求头、IP地址、Cookie等信息来判断是否是爬虫。
后端 CMS：一般PHP开发居多源码程序（利用源码程序名去搜漏洞情况，源码去下载进行后期的代码审计）
前言 我们大前端团队内部 ?每周一练 的知识复习计划继续加油，本篇文章是 《Hybrid APP 混合应用专题》 主题的第二期和第三期的合集。 这一期共整理了 10 个问题，和相应的参考答案，文字和图
前言 我们大前端团队内部 📖每周一练 的知识复习计划继续加油，本篇文章是 《Hybrid APP 混合应用专题》 主题的第二期和第三期的合集。 这一期共整理了 10 个问题，和相应的参考答案，文字和图片较多，建议大家可以收藏，根据文章目录来阅读。 之前分享的每周内容，我都整理到掘金收藏集 📔《EFT每周一练》 上啦，欢迎点赞收藏咯💕💕。 内容回顾： 《EFT 每周分享 —— Hybrid App 应用开发中 5 个必备知识点复习》 《EFT 每周分享 —— HTTP 的15个常
UIWebView 是苹果继承于 UIView 封装的一个加载 web 内容的类,它可以加载任何远端的web数据展示在你的页面上，你可以像浏览器一样前进后退刷新等操作。不过苹果在 iOS8 以后推出了 WKWebView 来加载 Web，并应用于 iOS 和 OSX 中，它取代了 UIWebView 和 WebView ，在两个平台上支持同一套 API。
1.基础知识：网站基本原理，html,python,多进程/多线程/协程等（必学）
前言 在面对xss漏洞的时候，笔者通常会简单的找个xss平台，插入一段平台的xss代码，盗取个cookie，就自以为是的认为自己掌握了xss漏洞。这篇文章旨在抛开xss漏洞平台，从简单利用源代码的角度，分享一下如何利用xss获取用户的cookie信息。在实际渗透中，笔者通过自己写利用代码的方式，先后运用xss实现了挖矿、简单的DDOS攻击测试、获取cookie、内网端口、截屏等。 声明：本文仅涉及技术讨论，请勿用于任何非法用途！ 0x00 vps 当我们在插入的xss，在客户端成功执行了相关的操作后，需要将
Cookie Hook 用于定位 Cookie 中关键参数生成位置，以下代码演示了当 Cookie 中匹配到了 v 关键字， 则插入断点
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
