1. 概述 上段时间一直忙于处理大会安全保障与应急，借助公司云悉情报平台，发现并处置几十起网站被劫持的情况。对黑客SEO技术颇有感觉。正好这段时间有时间，把以前遇到比较有趣的案例和大家分享一下。里面很多技术其实早已被玩透，只是网上搜了一下并无太多这方面的介绍。所以在这里共享一下相关的案例，案例主要分享一下思路。 1.1 原理 网站劫持是一个相对古老的技术，主要是黑帽用来做SEO用。实现网站劫持如果以下步骤: 入侵相关网站 然后在网站中插入JS或修改其配置文件，增加相应的劫持代码。另外一般会加入判断条件，判
今天跟大家分享的课题是，当我们进行XSS脚本注入时，在不同的注入点进行注入，会产生不同的结果，那么这到底是为什么呢？不同节点，我们又该用什么针对性的插入方法呢？
本文分享的Writeup是作者在测试一些目标服务相关的负载均衡或CDN应用时发现的错误配置型漏洞，这些漏洞有些发生服务端犄角旮旯的响应消息中，可能很少会引人注意，我们一起来看看。
SpiderMonkey是第一款最早面世的JavaScript引擎，它是Mozilla使用的Javascript引擎。FreeSWITCH也使用了该引擎来在FreeSWITCH内部支持Javascript嵌入式语言。 FreeSWITCH中对Javascript脚本的支持是在mod_spidermonkey中实现的。通过该模块，可以使用Javascrip控制呼叫流程，如，你可以使用如下Dialplan将电话交给一个Javascript脚本处理： <action application=“javascript” data=“/tmp/test.js”/> 然后，创建如下js文件： session.answer(); session.sleep(1000); session.streamFile("/tmp/hello-js.wav"); session.hangup(); 在js脚本中，可以得到一个session对象（Object），然后就可以对该session进行操作了。一个session代表一路通话。从上面的js脚本中很容易看出，第一行用于对来话进行应答，进二行小睡一会（1000毫秒），第三行则播放一个 .wav 文件，第四行挂机。 是的，它等于以下Dialplan： <action application=“answer””/> <action application=“sleep” data=“1000”/> <action application=“playback” data=“/tmp/hello-js.wav”/> <action application=“hangup”/> 但是，大家都知道，在Dialplan中加入逻辑判断等功能都是有限的，但在Javascript中就不同了，你很容易写一些 if-else 之类的语句判断当前的场景进而执行不同的动作。关于这一点，我们在此就不举例子，有兴趣的可以自己研究一下。 除了SpiderMonkey外，另一个Javascript引敬是V8，这是一个在Google Chrome中以及 Node.js中使用的Javascript引擎，它提供了比SpiderMondey更好的性能。最近，FreeSWITCH中也实现了一个mod_v8模块。该模块除了与mod_spidermonkey有一些小小的差别外，在API上完全兼容。也就是说，上述的test.js脚本在mod_v8下也能正常运行。 由于mod_v8的出现，现在mod_spidermonkey已经不推荐使用了。从下列提交信息中，可以看出它已被移至源代码的 legacy目录中： b0bcc01 Deprecate mod_spidermonkeyWe consider mod_spidermonkey to be completely replaced by mod_v8 关于mod_v8，且听下回解说。 另外，如果大家想先看哪些模块，告诉我，我会优先写。 ---------------------------------------- FreeSWITCH-CN是什么？ ---------------------------------------- FreeSWITCH-CN是FreeSWITCH中文社区，我们的官方网站是 http://www.freeswitch.org.cn 。FreeSWITCH-CN同时也是一个微信公共账号，可以通过点击本页最顶端的「FreeSWITCH中文社... 」，或在通迅录->订阅号中搜索「FreeSWITCH-CN」来订阅，也可以到官方网站上扫描二维码。当然，不管是新用户还是老用户，随时都可以输入m或1显示本账号的主菜单。 FreeSWITCH-CN的账号维护者是Seven Du，在此，他会分享多年的FreeSWITCH使用经验，分享一些对开源VoIP软件以及软件社区的思考，并隔三差五的解答一些粉丝关心的问题。Seven Du于2007年听说、2008年开始使用FreeSWITCH，2009年创办FreeSWITCH-CN中文社区，2011~2013连续三年参加了在美国芝加哥举办的ClueCon全球VoIP开发者大会，该会议是由FreeSWITCH核心团队主办的。 如果你在学习和使用FreeSWITCH的过程中，有什么有趣的故事，也欢迎与我分享。移动设备上打字不方便，如果想写长的留言可以发邮件到 wechat@freeswitch.org.cn 。
因为看到好多小伙伴问我关于美团X-FOR-WITH生成的问题，那我就出个教程好了！
开源情报曾在上月初发布了永恒之蓝下载器挖矿木马的更新攻击事件—“黑球”行动，其中就有提到它利用带有Office漏洞CVE-2017-8570漏洞的doc文档作为附件的垃圾邮件进行攻击，然后通过执行PowerShell命令下载和安装挖矿相关的恶意计划任务，相关的垃圾邮件具体信息如下：
本篇内容不涉及任何R语言或者Python代码实现，仅从异步加载的逻辑实现过程以及浏览器抓包分析的角度来给大家分享一下个人近期学习爬虫的一些心得。 涉及到的工具有Chrome浏览器（开发者工具）、postman(一款非常优秀的Chrome网络请求构造工具，你可以在Chrome浏览器在线商店里搜到，也可以下载桌面版)。 1、异步加载概念及实现过程 2、浏览器抓包分析一般流程 异步加载的英文简称是ajax,即“Asynchronous Javascript And XML”（异步JavaScript和XML）是指
0x00 概述 近日，腾讯反病毒实验室拦截到一个名为RAA的敲诈者木马，其所有的功能均在JS脚本里完成。这有别于过往敲诈者仅把JS脚本当作一个下载器，去下载和执行真正的敲诈者木马。采用JS脚本编写木马，混淆加密更加容易，并且增加了杀软的查杀难度，敲诈者木马与杀软的对抗进一步升级。但是经分析，发现名为RAA的敲诈者木马在部分场景下存在逻辑缺陷，可实现对加密文档的解密。 解密工具：<点击文末阅读原文按钮下载解密工具> 0x01 样本分析 1、运行JS后，首先会在My Documents目录下释放一个假文档，文件
本文为 Google Chrome 团队的开发项目工程师 Addy Osmani 在PerfMatters 2019 网页性能大会发表的“JavaScript性能优化”（https://medium.com/@addyosmani/the-cost-of-javascript-in-2018-7d8950fbb5d4）的演讲，其分享了处理 JavaScript 的脚本优化建议，大幅地减少了下载时间和执行时间。
微言： Chris Gardner：You want something. Go get it！ 克里斯·加德纳：有了目标就要全力以赴。
在web产品优化准则中，很重要的一条是针对js脚本的加载和执行方式的优化。本篇文章简单描述一下其中的优化准则。 1. 脚本加载优化 1.1 脚本位置对性能的影响 优化页面加载性能的原则之一是将script标签放在body底部，这跟浏览器的渲染原理有关： js脚本的下载和执行会阻塞浏览器的解析。在较早时期，浏览器不支持并行下载的时候，js脚本的下载执行按照在html文档中的位置依次进行，可以想象当页面有大量js脚本时页面的加载有多慢； js脚本的下载会阻塞其他资源的下载，比如图片、外链css等。虽然目前大多数
通过前边三篇的学习，想必大家已经对iframe有了一定的认识和了解，今天这一篇主要是对iframe的一些特殊情况的介绍和讲解，主要从iframe的定位、监听事件和执行js脚本三个方面进行展开介绍。
周五公司技术交流群的同事发现的一个网页小游戏，然后链接直接甩到了群里，本着好奇的心态打开看看，没想到还是个宝藏
摘 要 最近安恒APT团队截获一个新版的LOCKY勒索者病毒样本，区别之前大多数样本采用WORD文档投递并用宏代码远程下载执行的方式，该样本在原有的WORD文档基础上再加一层PDF“壳”较有新意。其整
1. 前几章节简单介绍了postman使用及配置，基础的请求实战案例&如何断言..今天给各位聊聊postman参数化实战逻辑以及这个过程我们做了什么。
版权声明：本文为博主原创文章，未经博主允许不得转载。 https://blog.csdn.net/q383965374/article/details/46414115
本例的一个目的是，根据服务器返回js脚本名称，有选择的让浏览器执行本地的js脚本文件。
因为要执行一大串的脚本，黏贴到shell窗口里，就要很长时间，所以问题来了，直接复制一大串代码执行的方法太慢了，只能看看能不能用命令执行文件，将代码弄到一个js文件里，然后用命令执行
当我们在修改主题样式后，经常要做的一个重复动作就是按F5刷新网页，今天介绍一款神奇的小工具，可以检测CSS和JavaScript文件的变化，并自动刷新网页的JS脚本Live.js。
从 Chrome 68 开始，service worker 脚本检查更新的HTTP请求将默认不受 HTTP cache 的影响。这可以解决开发人员的共同难题，即在 service worker 脚本上设置无意的 Cache-Control 标头可能导致的更新延迟。
Bootstrap是一个非常不错的前端框架，但是在实际的使用过程中还需要根据实际的需要再微调整，比如我们默认使用Bootstrap框架下拉菜单的时候主导航是无法点击打开页面的，以及下拉展开需要单击主菜单，如果我们需要实现主菜单可以点击打开，而且下拉菜单实现悬停下拉的效果则需要进行调整JS脚本。
浏览器中渲染引擎与Js脚本引擎是互斥的，在浏览器开始渲染页面时，如果遇到<script>标签，会停止渲染当前页面，也就是说在脚本加载与执行的过程中会阻塞页面的渲染，在网速较差的环境下可能会出现浏览器页面假死的情况，这也就是尽量将<script>文件放置于<body>后的原因，Js文件异步加载就是使浏览器加载外部Js脚本文件时不阻塞渲染线程，这称为非阻塞模式加载，当然加载完成之后解析执行Js脚本时必须与渲染引擎互斥，解析执行Js脚本的时机取决于异步加载Js的方式。
学习Vue.js动画时，需要引入一个animate.css，如何全局引入外部文件呢？
不知道各位是都了解 instant.page 网站预加载的脚本，至少我是不知道的，我之前接触过“dns-prefetch”标签，也在部分模板集成了接口，昨天看彧繎博客发现这个这个 instant.page 标签，是的，感觉很新奇啊，这是什么造型，干啥的呢？小朋友你四不四有很多问号？于是乎我就度娘了一下，发现它的作用是可以预加载，用户想访问的页面，用户点击网站链接之前，他们将鼠标悬停在该链接上。当用户徘徊 65 毫秒时，当用户真正点击链接后，就会直接从缓存中读取，以此提升网站的访问速度，因此 instant.page 此时开始预加载，平均超过 300 毫秒，instant.page 是渐进式增强 ，对不支持它的浏览器没有影响。
闲置了很久的东西，在做dicectf2021的Web IDE的时候再次碰到这个东西，特此学学。
js脚本语言和php脚本语言的区别是什么？ 一句话： js是客户端脚本， 由浏览器执行。 php是服务端脚本， 由php服务执行， php脚本跟shell脚本（bash执行）颇为类似。
请求参数可以放在脚本的URL上，除此之外，URL上还应有一个callback参数，参数值为一个函数名称。
下面例子中，我们通过javax.script包ScriptEngine.put()方法设置JS脚本中的变量，JS把所有在线用户输出。
淘宝曾做出调查，大约有0.1%的淘宝用户在访问淘宝网的时候是警用js脚本的，虽然看似比例不大，但假设淘宝网每天有1000万人访问，那也有1万人是无法正常浏览淘宝网的，一个大型的网站是绝对不允许出现这样的问题的，所以淘宝在这块做的很好，怎么个好？让我们用IE8来测试下（当然前提是在Internet选项里把js脚本都禁用起）
如果我们是站长相关的网站博客，如果需要引用一些脚本代码的时候一般看到的都是代码高亮效果，这样的用户体验更好一些。我们要实现代码高亮的方法有很多中，比如WordPress也有代码高亮插件或者是手动实现CSS样式来实现代码高亮。在这篇文章中老蒋要分享的是Prism.js小工具可以实现页面的代码高亮效果。
KindEditor是一套很方便的html编译器插件。在这里做一个简单的使用介绍。
在我们使用selenium进行自动化测试的时候，selenium能够帮助我们实现元素定位和点击输入等操作，但是有的时候，我们会发现，即使我们的元素定位没有问题，元素也无法执行操作；也有部分情况是我们无法直接定位滚动条河时间控件来进行操作，这个时候，我们就需要借助JavaScript来解决问题。本文就来给大家介绍一下selenium如何执行JavaScript脚本，以及这种方法的一些常见应用场景和最佳实践。
我们最开始学前端的时候都会看到教程在处理外部css，js的时候会将css放在header中，js放在body的最后。为什么要这样子处理，今天参考一些资料好好分析下。
渗透测试过程中，使用BurpSuite对Web站点进行数据包拦截时，有时会遇到应用程序在前端对数据进行了加密后再传输，导致拦截或监听到的数据包为密文的形式。
而且从昨天开始，【组队比拼】又来了，你没点人气都不好意思帮人助力了，想要人气你就得做任务，但一看到这个任务列表，放弃的心都有了......
在研究SEO优化的过程中，有网友问昝辉老师，关于网站JavaScript的使用和SEO注意事项，今天我们也一起学习学习。JS的SEO是很重要的问题，无论是异步调用内容，还是增加页面互动，现在的网站几乎无法避免使用JS脚本。但JavaScript使用不当的话可能会对SEO造成非常大的影响，JS造成SEO问题的症结在于，搜索引擎不一定执行JS脚本。
一年一度的双十一大促又来了，原以为今年总算不需要帮忙盖楼了，奈何还有沉迷于助力的小同事：
NPM酷库，每天两分钟，了解一个流行NPM库。 今天我们要了解的库是 vm2，这是一个Node.js 官方 vm 库的替代品，主要解决了安全问题。 不安全的vm 在Node.js官方标准库中有一个vm库，用来在V8虚拟机环境中编译执行JS代码。通常，我们用vm库来实现一个沙箱，在代码主程序之外执行额外的JS脚本。 有时，我们需要vm虚拟机来执行不受信任的代码，这些代码可能是由用户提交的，比如在脉冲云接口文档管理中，允许用户提交Mock.js脚本生成模拟接口数据。而Node.js标准库中的vm是不安全的，
得益于Google的品牌力量和技术实力，chrome浏览器近年来的市场占有率不断上升。reizhi也是chrome的爱好者之一，从最原始的IE，到假死王maxthon，再到轻快的opera，最后让我留恋chrome的理由还是强大的可扩展性。虽然资源占用永远都是抛不开的弱点，但无与伦比的速度和极致的可扩展性是有目共睹的。
用途:确认当前进程的java虚拟机是否已经启动，虚拟机包括Dalbik或者ART等。虚拟机没有启动的情况下不要唤醒其他java的属性或者方法。
概述： 案例：Cesium打包流程，相关技术点和大概流程 原理：代码优化的意义：压缩 优化 混淆 优化：如何完善Cesium打包流程 关键字：Cesium gulp uglifyjs 字数：2330 | 阅读时间：7min+ 1 Cesium打包流程 如果没有记错，Cesium从2016年初对代码构建工具做了一次调整，从grunt改为gulp。作为一名业余选手，就不揣测两者的差别了。个人而言，gulp和Ant的思路很相似，通过管道连接，都是基于流的构建风格，而且gulp更像是JS的编码风格，自带一种亲切感。
其实我只要id和name，找后台解决、、、算了吧，奈何天生就是个儒生，温文尔雅，打架是打不赢的，要是能打赢的就直接打吧，打完让他们改！
为什么慢？GFW屏蔽了google, 而stack overflow上用了一个js脚本，此脚本在谷歌服务器上。解决思路，就是让浏览器在本地加载此js脚本。访问速度直接从1.4min变到2s.
在android的开发过程中，有很多时候需要用到本地java代码和javascript进行交互。android对交互进行了很好的封装，在开发中我们可以很简单的用java代码调用webview中的js，也可以用webview中的js来调用本地的java代码，这样我们可以实现很多原来做不了的功能，比如点击网页上的电话号码后，手机自动拨打电话，点击网页中的笑话，自动发送短信等. 废话不多说，这次教程的目标如下 android 中的java代码调用webview里面的js脚本 webview中的js
（今天又喝酒去了，所以今晚的文章写的有点飘~~） 从某种程度上来讲，写JS脚本，和写文章是一样的。都是有时间、地点、人物、事件。 时间用Date()获取；地点用this获取；人物用getElementById获取；事件就是on；业务逻辑是它们之间发生了哪些故事。。 把它们之间的故事理清，就相当于是剧透谁爱上了谁，谁背后说谁的坏话，谁是谁的小三，谁包养了谁。。。 那些个if判断啊，三元之类的判断，就相当于是几个关键在故事转折点了。 分析到这个程度上，你是不是已经发现，写JS和写小说的都挺像的呢？没错，虽然用的
同mysql数据库类似，mongoDB也可通过mongo客户端连接到mongod服务器来进行绝大多数日常管理。这个命令行工具就是mongo，在mysql中则是mysql。通过mongo命令可以连接到本机，异机，以及在linux shell或者mongo shell下执行js脚本。本文即是对此展开的描述。 一、mongo客户端连接到mongoDB //mongo连接格式 $ mongo some-host:30000/myDB //连接到本机缺省端口，缺省数据库test C:\Users\Think
JavaScript和ASP.NET的传值 因项目需要，最近一段时间里对于js的开发有了一定的了解。在基于ASP.NET的开发中，经常性的需要JS脚本来增加一些客户端的控制，比如限制输入字符，日期控件等等。一般这样的控制基本上在客户端完成就比较好，无需回传到服务端。总结了最近的开发中使用的一些js的技巧，提供给大家 1、js脚本如何访问服务器控件的值 界面上有一个TextBox控件，ID为Name，js里可以采用如下脚本取Name的值 var myvalue=documen
无论 <script> 标签是嵌入代码还是引用外部文件，只要不包含 defer 属性和 async 属性（这两个属性只对外部文件有效），浏览器会按照 <script> 的出现顺序对他们依次进行解析，也就是说，只有在第一个 <script> 中的代码执行完成之后，浏览器才会执行第二个 <script> 中的代码，并且在解析时，页面的处理会暂时停止。
Selenium 可以通过 execute_script() 来执行 JavaScript 脚本。
因为浏览器的同源策略限制，不是同源的脚本不能操作其他源下面的资源，想操作另一个源下面的资源就属于跨域了，这里说的跨域是广义跨域，我们常说的代码中请求跨域，是狭义的跨域，即在脚本代码中向非同源域发送http请求
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
