巧用搜索引擎首推谷歌查看了解SRC旗下涉及到的业务，收集其对应的业务下的域名，再进一步进行挖掘，如：
验证码在我们实际的生活场景中非常常见，可以防止恶意破解密码、刷票、论坛灌水、刷注册等等。现在的网站基本都有使用验证码来对用户的行为进行验证。从简单的文字验证码、图片验证码、滑动验证码、图片选择验证码等，验证码一直在进化，在和“黑恶势力”做斗争。Google 验证码是 Google 提供的一项免费的验证码服务，接入非常简单，推荐用它来替换传统的图片验证码。
请求后台验证码接口，获取验证码和验证码校验的接口，校验时总是获取不到数值，就是两次的SESSIONID不一样
不管我们是做网站，还是作为域名投资，如果域名被盗那再好的网站都徒劳。所以我们在购买域名的时候首先需要选择优秀的域名注册商，其次我们需要确保账户的足够安全设置，在我们自己设置强大的密码和个人账户信息准确之外，有些商家还提供二次密码验证保护。比如Namecheap域名注册商就提供这样的服务，设置账户之后我们可以采用短信、语音留言的方式验证账户确保域名的安全。
CORS 请求分成两类：简单请求（simple request）和非简单请求（not-so-simple request）。
image.png StartSSL™是一家CA机构，它的根证书被Firefox、Chrome、Safari、IE等浏览器支持。StartSSL提供免费SSL证书。本文主要讲SSL证书的申请与Ngin
概念 CSRF全称即Cross Site Request forgery，跨站点请求伪造，攻击者通过跨站点进行伪造用户的请求进行合法的非法操作，其攻击手法是通过窃取用户cookie或服务器session获取用户身份，在用户不知情的情况下在攻击者服务器模拟伪造用户真实的请求。 防御手段 既然是跨站点攻击，所以防御的手段无非是识别请求的来源是否合法。 防御的手段一般有： 1、检查referer referer是http header的请求头属性，标识了请求的来源地址，通过检查这个属性可以判断请求地址是否合法
1.2 验证码过于简易时效性过长，接口未做限制(一般为纯数字4-8位数，时效性长达30分钟以上可以对验证码进行枚举)。
短信验证码登录支持在客户端使用短信验证码进行登录，封装了短信验证码的生成、发送、校验和定时清理逻辑，帮助开发者进行鉴权。登录成功后，用户身份将转化为正式用户。
1.在给用户授权的时候，用到了一个%，表示的是任何ip都可以连接这个数据库。换句话说，如果你换了电脑，你也是可以进行连接数据库继续开发的。
在开发过程中遇到这么一个问题，让我花了一个下午的大好时光才解决。但是解决玩之后，发现那么的容易。就是查找资料的时候很费劲。这里把问题记录一下。
使用IIS7网站监控，进入监控页面，输入你需要检测的网站域名，点击“提交检测”，我们可以看到“检测次数”、“返回码”、“最终打开网站”、“打开时间”、“网站IP”、“检测地”、“网站标题”等监控内容，就可以让自己的网站一直处于安全的情况之下。
从旁观者的角度了解整个WEB应用乃至整个目标的全貌，但是资产是收集不完的，可以边收集，边进行一定程度的测试。信息收集最小的粒度应是目录。
对每个人而言，真正的职责只有一个：找到自我。然后在心中坚守其一生，全心全意，永不停息。所有其它的路都是不完整的，是人的逃避方式，是对大众理想的懦弱回归，是随波逐流，是对内心的恐惧 ——赫尔曼·黑塞《德米安》
验证码（CAPTCHA）全称为：Completely Automated Public Turing test to tell Computers and Humans Apart，全自动区分计算机和人类的图灵测试，是一种区分用户是计算机还是人的公共全自动程序。
给大家po一张手工写的一些重要信息，全部打码了，整整两张A4纸，请大家忽略我这一手的草书，谢谢！
最近做项目的时候，遇到一个区块链交易所，从渗透这块走估计挺难，所以花了不少时间，打入敌人内部获取了不少信息，通过观察发现几个疑似管理员，在微信群里深入交流之后，获取了不少电话和QQ账号。
所暴力破解的设备信息 华三路由器 设备型号 MSR900 软件版本 CMW520-R2311 所用到的工具 Firefox浏览器及其插件Proxy Switcher， OWASP ZAP代理抓包工具。 OWASP ZAP 代理抓包工具 https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project PKAV HTTP Fuzzer 1.5.6（这个工具下载后内含pdf说明书可自行阅读学习） http://www.pkav.net/too
1、由于在后台-系统-核心设置，填写了 跨域共享cookie的域名 ，而你的跨域域名与你当前域名不符引起
为了确保网络安全，我们网站采用了文字点选验证码来验证用户身份。文字点选验证码是一种简单而有效的验证机制，通过要求用户点击相关图像来区分真实用户和机器人。它不仅可以防止恶意攻击，还能提供用户友好的验证体验。
reCaptcha是Google公司的验证码服务，方便快捷，改变了传统验证码需要输入n位失真字符的特点。reCaptcha在使用的时候是这样的：
案例介绍： 问题出现在忘记密码处，可以通过手机找回和邮箱找回密码两种方式获得指定帐户的新密码设置权限
使用微信小程序云函数实现注册短信验证码的管理，并不是一件分分钟的事，目前想要存储验证码只能放到数据库中，因为存储后才能和用户提交上来的验证码做比较。
2013年是中国梦的开局之年，也是互联网快速发展的一年。这一年里，互联网已从窗口变成了引擎，改变了我们的生活，推动着社会进步。俗语有云，福兮祸之所伏，人们在充分享受互联网带来的便利之时，也必然面临越来越严峻的互联网安全风险。 网络安全刻不容缓 近年来，云应用和可穿戴智能设备广泛应用，技术的发展与人的意识共同进步，就在人们欢呼大数据时代的到来的时候，互联网信息安全正面临着不断增多的新挑战，隐私安全问题愈加突出。 从世界范围看，美国“棱镜门”事件曝光，网络安全问题再度升级。放眼国内，中国互联网系统依然脆弱，个人
Cookie是一种在网站之间传递的小型文本文件，用于存储用户的个人信息和偏好设置。当您访问一个网站时，网站会将Cookie存储在您的浏览器中，并在您下次访问该网站时读取该Cookie。这样，网站可以记住您的登录状态、购物车内容以及其他个性化设置。
由于阿里云需要备案过的域名或者已上线的APP才能申请短信签名，我的域名正在备案，申请还没通过，这里用腾讯云实现短信验证码的发送功能。腾讯云只需要你有个公众号就能申请短信签名，而且免费赠送200条。
1.需要准备好VPN（因为是用的国外的，不会搭建的可以看我之前的笔记笔记地址） 2.手机下载Gmail, 注册谷歌邮箱，国内手机号就可以注册手机邮箱 3.谷歌邮箱内验证freenom注册信息时候需要美区手机号验证。这里给大家分享应该共享的手机号地址：https://receive-smss.com/sms/447309916750/ （隐私性或重要的验证码不要用这个网站，因为这个网站的手机号验证码是共享的） 4.第三步验证的时候还需要用到：详细地址，邮编，城市等位置信息（最好用VPN所用的IP地址详细信息）推荐IP地址查询工具网站： https://www.ipaddress.com/ (IP地址输入进去会显示详细的位置信息及邮编等）
之前我们了解了一些验证码的处理流程，比如图形验证码、滑块验证码、点选验证码等等，但是这些验证码都有一种共同的特点，那就是这些验证码的处理流程通常只需要在 PC 上完成即可，比如图形验证码如果在 PC 上出现，那么在 PC 上直接验证通过就好了，所有的识别、验证输入的流程都是在 PC 上完成的。
配置在 config/default.js ，当然可以在具体文件配置，但是这儿方便一点
前置：需要腾讯云的账号,后期授权需要,不需要买云服务器，有需要的可以购买短信套餐(几块钱)
验证码是阻挡机器人攻击的有效实践，网络爬虫，又被称为网络机器人，是按照一定的规则，自动地抓取网络信息和数据的程序或者脚本。如何防控，这里简单提供几个小Tips。
TIPS：本文针对于仅在腾讯云备案，备案主体下有多个备案网站，且不注销所有网站备案的情况
什么样的邮箱是企业邮箱？比如 admin@vpsss.net，这种形式的邮箱就可以称之为企业邮箱。做外贸用企业邮箱能有效提高公司形象，便于管理员工工作质量和工作进度，国内企业邮箱很多，做外贸老魏用过网易企业邮箱（付费版本），网易企业邮箱有国外服务器，不会漏掉你和国外客户的往来邮件；同时可以批量发送开发信而不被国外邮局屏蔽。有了这些亲身经历所以今天老魏讲解如何设置免费网易企业邮箱。 1. 注册并填写资料 在浏览器地址栏里面输入网易企业邮箱注册地址 ym . 163 . com 就可以打开网易企业邮箱首页，点击
CSRF，是跨站请求伪造（Cross Site Request Forgery）的缩写，是一种劫持受信任用户向服务器发送非预期请求的攻击方式。
本文讲述了我在Facebook上发现的一个任意账户密码重置漏洞，利用该漏洞无需用户交互过程，就可以黑掉任何Facebook账户。总体来说，该漏洞非常简单，但影响和威胁严重度较高，最终我获得了Facebook方面奖励的$15000美元赏金。 漏洞情况 该漏洞原理在于，我可以获取任意其他用户的密码重置权限，通过简单地密码重置操作，我就能获取到其他账户的消息、FB支付区域的借记卡信息、个人照片等其它隐私信息。最终，Facebook确认了该漏洞，并作出了迅速的修复措施。 漏洞分析 当Facebook用户忘记了登
如果我们已备案的网站废弃不用，或者网站已经出售，域名已经过户转手，那么我们一定记得要注销网站备案，假如你的域名未能注销备案而被新的域名持有人运营新的内容，一旦内容出现经营范围不符和违规侵权内容，你或你的公司将会受到牵连!承担相关的法律责任！
http://***.test.com.cn/*/forgetPassword.html
终端作为所有用户的真正使用设备，终端开发者也是离用户最近的开发人员，它肩负着将后方提供的一个又一个独立服务整合为体验良好的产品的使命。面对不同的场景，所挑选的后方服务不同，实现方法也不同。
有些时候渗透测试搞着搞着就陷入了无解状态，不知道再从哪儿下手了 故对渗透测试思路做个整理，后续有新的见解持续更新
还是那句老话,渗透测试的本质是信息收集，对于没有0day的弱鸡选手来说，挖SRC感觉更像是对企业的资产梳理，我们往往需要花很长的时间去做信息收集，收集与此公司相关的信息，包括企业的分公司，全资子公司，网站域名、手机app,微信小程序，企业专利品牌信息，企业邮箱，电话等等，对于很多万人挖的src来说，你收集到了别人没有收集过的资产，往往离挖到漏洞就不远了。
笔者第一份工作就是以java工程师的名义写爬虫，不得不说第一份工作很重要啊，现在除了爬虫不会干别的，到现在已经干了近5年了，期间经历了不少与反爬策略的斗争。最近又耗时两周成功搞定了某网站的反爬策略后，心里有点莫名的惆怅。今日无心工作，就总结下这些年与网站互怼的经验吧。
本站开放注册是想让更多的同道中人一起学习进步分享所得的目的，单近日（2019.06.07-10）本站遭到不明人士恶意注册，很是气人，所以本篇文章分享的是网站如何防止他人恶意攻击。
信用卡的盗刷风险 相信很多人都使用过信用卡，我们也都或多多少的担忧过信用卡安全。 我们在使用信用卡的时候，通常需要输入“卡号”“有效期”及最重要的一个“安全码”，当我们在国内使用信用卡支付的时候，需要提供的信息如下： 1、卡号； 2、一般情况下需要输入短信验证码； 3、有效期； 4、安全码； 5、查询密码 但如果信用卡在国际支付的时候，只需要提供“卡号”、“有效期”及“安全码”，个别情况下还需要提供“个人名字”（这个在卡上面也有）。但绝对不需要提供“查询密码”，也没有短信验证码！ 笔者多次国
偶然接触到一个国外网站 http://onamoney.club 这类网站被称作PTC，即pay to click。用户完成网站上任务，可以获得对应收益，比如点击广告主的广告，达到一定金额可以提现
BLUTO是一款信息探测和爆破工具，它的功能有DNS探测、暴力猜解、DNS域传送，和电子邮箱枚举。 DNS信息和域传送漏洞探测 BLUTO会利用目标域名来探测MX和NS记录的，同时通过NetCraft获取子域名。先说目标域名的NS记录，它可以用来探测目标是否存在域传送漏洞。 域名爆破和查询整合 如果没有查询到结果的话，BLUTO会继续用并行的子进程去取Alex Top 100万中的前2万个子域名前缀，来爆破目标的子域名。此外，NetCraft的查询结果是单独进行的。爆破的结果和NetCraft的查询结
最近很多人问 开源项目中的截图如何使用，我怎么看不到这个效果。 今天就来聊聊这个话题
领取专属 10元无门槛券
手把手带您无忧上云
