0x01开场白 这个议题呢，主要是教大家一个思路，而不是把现成准备好的代码放给大家。 可能在大家眼中WAF（Web应用防火墙）就是“不要脸”的代名词。如果没有他，我们的“世界”可能会更加美好。但是事与愿违。没有它，你让各大网站怎么活。但是呢，我是站在你们的这一边的，所以，今天我们就来谈谈如何绕过WAF吧。之所以叫做“杂谈”，是因为我在本次演讲里，会涉及到webkit、nginx&apache等。下面正式开始：） 0x02直视WAF： 作为第一节，我先为大家简单的说下一些绕过WAF的方法。 一：大小写转换法：
如果作为普通访客可能会略有抵触，但是作为站长，我们却十分需要这样的广告来为网站赚钱贴补一下服务器维护费用。说实话我挺喜欢这个功能的，但是一直未找到合适的代码，直到我看了“蝈蝈要安静”的博客。下面代码方式内容来自于蝈蝈要安静的文章：
最近在我们自用插件上开发了一个 WordPress 集成 Unsplash 和 Pexels 免费图库的功能，方便直接搜索免费图片和直接下载插入 WordPress 图库和文章，所有就需要在 WordPress 后台创建弹窗，这样操作似乎才满意。
关于验证码的使用场景还是非常多的，很多网站上的验证码可谓是五花八门，下面是我使用Vue.js实现滑动拼图验证码做的一个笔记。
之前一直使用wp-postviews插件来统计文章浏览次数，考虑到使用wp-postviews插件要修改排版和样式会比较麻烦，于是就决定不再使用插件实现文章浏览次数，直接免插件实现Wordpress文章浏览阅读次数。
由于想实现评论实名制的功能,我就放弃了自带的评论,使用了畅言评论,有个单点登录方面设置,当时就要泽泽能否弄个插件 省去一些步骤（主要是我懒）.后续泽泽就开发了简单的单点登录插件~这里要感谢@泽泽方便我这个群友~
周末没事，就在家里改进了下JCShare这个插件，此次加入了弹窗功能。 先说明下，JCShare的名字纯属是自己的英文名和老婆的英文名第一个字母，并无其他含义：） 弹窗的属性：popupModel 有3个值，分别为： window：弹窗（window.open） link：链接方式 showdialog：模态对话框（window.showModalDialog） ----------------------------------------------------------------
AdsMatcher Anti Adblock 是一款用来防止广告被拦截的 WordPress 插件，如果你的站点上投放了广告，而你又不希望用户屏蔽广告，不妨尝试一下这款插件吧。当用户访问你的站点时，如果开启了广告屏蔽，就会弹窗阻止用户继续浏览你的站点，可以起到防广告被拦截的目的。
所暴力破解的设备信息 华三路由器 设备型号 MSR900 软件版本 CMW520-R2311 所用到的工具 Firefox浏览器及其插件Proxy Switcher， OWASP ZAP代理抓包工具。 OWASP ZAP 代理抓包工具 https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project PKAV HTTP Fuzzer 1.5.6（这个工具下载后内含pdf说明书可自行阅读学习） http://www.pkav.net/too
0x01 环境配置 这里以DVWA平台为例。具体搭建可以找度娘。 先用最低级别 Low 选择XSS（Reflected） 我们输入hack，点击提交，然后右键查看源代码。 看上图，我们输入的内容直接被
备注：如果已经将 api_url置为空了； 但是依旧还是 弹窗出 那个“是否切换本地插件列表”的提示，就是你的FastAdmin是非常旧的版本，新版本才支持设置为空时自动切换到本地插件。
我在 WPJAM Basic 插件的介绍页面就说过，WPJAM Basic 是我们 WordPres 果酱团队进行二次开发的基础，甚至花生小店这么复杂的电商小程序 SaaS 平台就是在 WPJAM Basic 的基础上开发出来的。
最近看了一下Web类型的题目，感觉还是很有趣的~学会了查看源码，也就是F12还有使用view-source:，当时还是感觉很有成就感的，感觉自己看到了一些不一样的东西~哈哈
WordPress著名插件Google Analytics by Yoast插件中曝出存储型XSS漏洞，该漏洞能够让未被授权的攻击者在WordPress管理面板中存储任何HTML代码，包括JavaScript。管理员查看插件的设置面板是JavaScript就会被触发，不需要别的交互行为。 漏洞描述 Google Analytics by Yoast是一款用于监视网站流量的WordPress插件。这款插件有大约7百万的下载量，是最受欢迎的WP插件之一。尽管插件代码从2014年开始被例行安全审计，但还是出现
这几天因为新弄了个域名，新装修了wp博客站，wp博客有一大优点，先将内容装载在框架里运行，然后再以静态的形式呈现给用户，如果不优化了话，刚建站还好，数据一旦增长，别说后台了，就是前台也卡得一批。所以站长们都会选择使用redis，nginx，或者缓存插件的方式进行优化。
CVE 是通用漏洞披露（Common Vulnerabilities and Exposures）的英文缩写，列出了已公开披露的各种计算机安全缺陷。CVE 识别号由 CVE 编号管理机构（CNA）分配。全球目前约有 100 个 CNA，包括各大 IT 供应商以及安全公司和研究组织。
首先我把标题的样式改了一下，之前是标题下面一条线，感觉有点难看，现在改成这个样子，感觉明显高级多了。
ripro是一款为资源付费类型的WordPress主题，主要运营方向是会员余额中性化，无需任何插件，带会员中心，主题的会员制度采用：会员，非会员，非会员原价购买资源等，会员用户可更具设置的资源折扣等享受免费下载或者打折下载，会员到期是否采用常见的到期时间，续费，过期等，可自定义会员标识，网站货币等。
当时最初接触安全的时候拿下的第一个shell，还是比较兴奋的，忽略一下文章写的很水。
这个是 WordPress 的媒体库月份筛选功能，博客的这些附件的月份是直接通过查询数据库来获取的。
查看网页html代码，可以看到htmlentities()函数对用户输入的<>做了转义处理,恶意代码当然也就没法执行了。
FastAdmin是一款基于ThinkPHP5+Bootstrap的极速后台开发框架。
这个问题的主要原因是，主题原本赞赏打开是有阴影弹窗的，但是在其他插件的干扰下，该功能无法实现，如果实在纯handsome主题下，应该是不用更改的！
xdebug 版本需要与php匹配，匹配地址 :https://xdebug.org/wizard.php
常用插件备份 easyui 框架 http://www.cnblogs.com/purediy/archive/2013/02/17/2914309.html 表格数据展示插件 datatables http://dt.thxopen.com/index.html 全屏滚动插件 http://www.dowebok.com/77.html My97 DatePicker 日期选择插件: 用法介绍：http://www.my97.net/dp/demo/index.htm layer弹窗插件：http
DUX主题是基于WordPress程序的主题，由themebetter团队原创开发，是目前比较火的wordpress主题，和大前端主题一样比较优秀的主题还有begin知更鸟，两者功能都很多，界面也比较好看，做一个个人博客完全够用了，今天爱游分享就是大前端5.2主题，已去除域名限制。
http://127.0.0.1/index.php/install/index/complete.html
├── assets │ ├── audio // 鼠标划上去的音效文件 │ ├── background // 动态背景文件 │ ├── css // 主题样式目录 │ │ └── joe.min.scss // 全局样式文件，优先PC端 │ │ └── joe.responsive.min.scss // 自适应样式文件 │ │ └── joe.setting.min.scss // 后台外观设置的样式文件 │ │ └── OwO.min.scss // 评论
简介： vanilla Forums 是一套php+Mysql开源论坛。它的特点在于各种配置，功能，操作界面风格（Themes）都很简洁，素雅。另外vanilla默认会在首页中直接列出所有贴子，按照时间顺序，把最新的讨论贴放在最前面和概念中的论坛相比更加像博客。vanilla所有的功能和模块都是通过应用（Applications）和插件（plugins）来实现，是一款灵活的轻量级论坛程序。 这两天都是在捣鼓这个东西，再加上家里有人来装修什么的，原本的计划都被打乱了。最初看到vanilla Forums（注目：不是吃的草莓……）是在煎蛋最初的论坛上面，当然那时还不知道这就是vanilla Forums，正式知道叫做vanilla Forums还是在09年的时候，当时在家无聊，于是就想搭个论坛玩玩什么的（当然后来并没有实行），当时国内的主流论坛程序大概有下面这些吧：phpwind 、Discuz、Dvbbs 、BBSMAX、BBSXP等，但一直以来都觉得这些论坛程序大多都是臃肿恶心的，尤其是当时SNS大行其道，有些论坛自然也连SNS也功能也整合进去了实在是无法忍受，现在回看，这些论坛带SNS的模式没有多少个是成功的。而我心中的论坛，外观上最起码应该是百度贴吧或者天涯或者水木清华或者小百合那样的，方便简单、明了直观。
今天分享 6 个 Vue3 开发必备的 VSCode 插件，可以直接用过 VSCode 的插件中心直接安装使用。
从本文开始，打算写一个系列文章。其主要目的是从xss-labs靶场题解开始来介绍一下XSS攻击。
本文章产生的缘由是因为专业老师，让我给本专业的同学讲一哈SQL注入和XSS入门,为了备课，于是产生了这篇文章。
这些天在做新的项目，工欲利其事，必先利其器，所以花时间把Sublime Text3配置为强大的php编辑器。
最近在知乎上看到的一个提问做前端技术方案选型的时候，你是怎么做决策的？想起一年来自己所做的项目，全都是一个人在做选型，能力也在一步步中培养起来。
以上文章属于此公众号原创所有，如需转载请注明出处。其中图片引用第三方。更多内容请扫描下方二维码关注。
记得有一次组内分享，以弹窗为例讲了如何创建可复用的vue组件，后面发现这个例子并不恰当（bei tiao zhan），使用组件需要先import，再注册，然后再按照props in events out原则使用，无论从流程或者使用方式来说都相当麻烦。
Typecho开启CDN后，可能无法获取访客真实IP，只能取得CDN节点IP，为此可以在Typecho博客网站的根目录的config.inc.php插入下面的代码：
首先来看一下最简单的客户端校验，文件上传是文件从本地到传输到远程服务器，中间经过了三个步骤，在你的客户端（自己电脑）本身做一个文件检测，或者文件传到后端服务器之后，在后端服务器上对文件做检测，简单的就是客户端校验JavaScript校验。文件是在网页做上传，所以javascript就会在你的浏览器上运行。这里有一些js代码及注释，方便大家对文件作出判断：
大家好，我是敖丙。今天聊聊程序员写文档的那些事，再给大家分享一款程序员写文档的神器，相信你一定能用得上。
最近做课程表的项目，找了好多个插件感觉都不好用，无意间看到了fullcalendar，还挺简单的，很方便，先贴一张项目页面
很多小伙伴说用了打包工具(Webpack)之后，断点调试相当痛苦； 常规的方式无非是debugger,console.log()大法； 但是，vscode这货天生支持debug功能，不用白不用，今天我就说说怎么调教angular-cli;
2016 年整理了一下自己常用的 webstorm 插件：webstorm常用插件集合
使用window.open前，需要先知道一个概念：Pop-up blocker（弹窗拦截）
最近David Leo在Full Disclosure上爆出了一个ie的 uxss 漏洞，可以绕过ie的同源策略。FreeBuf也有相关的报道（点我查看）。本文简要分析一下这个漏洞的原理。 攻击过程 <iframe src="redirect.php"></iframe> <iframe src="https://www.google.com/images/srpr/logo11w.png"></iframe> <script> top[0].eval('_=top[1];alert();_.loc
这里是你们微胖的小编Monster。 Whatever，让我们一起来看看今天的内容吧
https://blog.formsec.cn/2018/07/12/%E5%9F%BA%E4%BA%8EChrome-headless%E7%9A%84XSS%E6%A3%80%E6%B5%8B/
XSS攻击的常见目标是盗取用户的cookie和其他敏感信息，这些信息可以用来进行会话劫持、身份冒充等进一步攻击。如何防御？
《xss攻击手法》一开始在互联网上资料并不多(都是现成的代码，没有从基础的开始)，直到刺的《白帽子讲WEB安全》和cn4rry的《XSS跨站脚本攻击剖析与防御》才开始好转。 我这里就不说什么xss的历史什么东西了，xss是一门又热门又不太受重视的Web攻击手法，为什么会这样呢，原因有下： 1、耗时间 2、有一定几率不成功 3、没有相应的软件来完成自动化攻击 4、前期需要基本的html、js功底，后期需要扎实的html、js、actionscript2/3.0等语言的功底 5、是一种被动的攻击
关于大多数程序员不爱写文档问题， 我觉得可以从两个方面去拆解：主观原因、客观原因。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
