常见web攻击：https://www.cnblogs.com/morethink/p/8734103.html 搞Web开发离不开安全这个话题，确保网站或者网页应用的安全性，是每个开发人员都应该了解的事。本篇主要简单介绍在Web领域几种常见的攻击手段及Java Web中的预防方式。
人们经常将跨站脚本攻击（Cross Site Scripting）缩写为CSS，但这会与层叠样式表（Cascading Style Sheets，CSS）的缩写混淆。因此，有人将跨站脚本攻击缩写为XSS。 跨站脚本攻击（XSS），是最普遍的Web应用安全漏洞。这类漏洞能够使得攻击者嵌入恶意脚本代码到正常用户会访问到的页面中，当正常用户访问该页面时，则可导致嵌入的恶意脚本代码的执行，从而达到恶意攻击用户的目的。 攻击者可以使用户在浏览器中执行其预定义的恶意脚本，其导致的危害可想而知，如劫持用户会话，插入恶意内容、重定向用户、使用恶意软件劫持用户浏览器、繁殖XSS蠕虫，甚至破坏网站、修改路由器配置信息等。
您还可以删除Admin用户，但首先你需要确保它不是任何页面的author，因为它可能会产生的问题 (一些标准页面需要它的author有足够的权限).
静态代码扫描工具（系统）不少，比较出名的可能有fortify、coverity...无论是公司购买或是网上论坛捡到的破解版，相比不少人都已经尝过fortify的鲜。其强大与误报不再做讨论，本文就fortify扫描出的漏洞进行学习说明，为想学习代码审计（尤其是java代码审计）的童鞋提供些许思路。
今天呀，我想当一名黑客，去黑别人的网站！我有两三技能，独乐不如众乐乐，今天我也把这个几个攻击手段教给你，咱们一起搞事情去。
但是光有了工具还仅仅是不够的，正所谓：工欲善其事，必先利其器”熟练掌握工具，还要看懂里面传达的信息，那么下面就为带大家讲解一些相关知识：
Manage Jenkins->Plugin Manager->Advanced->Update Site
跨站脚本攻击，英文全称是 Cross Site Script，本来缩写是CSS，但是为了和层叠样式表（Cascading Style Sheet，CSS）有所区别，所以在安全领域叫做“XSS”。
点击关注公众号，Java干货及时送达 出品 | OSC开源社区（ID：oschina2013） 作为差点一统全球门户网站的前端工具，jQuery 曾在 Web 2.0 初兴之时风头无两，然而随着前端技术的不断演进与浏览器底层标准的统一，jQuery 却逐渐成为一些网站眼中的 “技术债”。 日前，英国政府网站 GOV.UK 删除其网站上所有前端应用程序依赖项 jQuery。删除之后，13 个前端应用程序 JavaScript 大小减少了 32 KB（或 31% 到 49%）之间，其他多项性能提升，团队
1. 美国Segue公司的Silk系列产品 Segue公司一直专注于软件质量优化领域。在Segue的产品套件中，拥有业内最强劲且最容易使用的、用于企业应用测试、调优和监测的自动化工具，能够帮助用户保障应用在其生命周期内的可靠性和性能。
写在前面：开发过程中，会遇到很多繁杂精细的麻烦问题，虽然知道要去按照步骤解决，但总归耗费大量的时间，那为什么不去寻求一个捷径，本文总结了一些在线工具，遇到问题，打开网页，想要的东西，分分钟就能解决，让开发变得高效，快速，有了这些工具在手，就可以从繁重的工作任务中解脱出来，有大把的时间去王者峡谷散步打野浪一圈了。 一：Atool在线工具： http://www.atool.org/ aTool,工具在线工具,由华中科技大学一位在校女研究生开发的在线工具集合网站,旨在做出最简单方便、最完整干净、最全面完整的工具
随着互联网高速的发展，信息安全已经成为企业重点关注焦点之一，而前端又是引发安全问题的高危据点，所以，作为一个前端开发人员，需要了解前端的安全问题，以及如何去预防、修复安全漏洞。下面就以前端可能受到的攻击方式为起点，讲解web中可能存在的安全漏洞以及如何去检测这些安全漏洞，如何去防范潜在的恶意攻击。
虽然网站的美感很重要，但它的内容和加载速度会让人们回访。WordPress 为用户提供了一个复杂的插件和主题工具箱，可以快速创建他们自己的自定义网站。
最近有个分析反馈，自己在面试的时候，遇到一个 jmeter 题目，要我帮忙看下，题目如下：
个人计算机的发展导致了带有图形的用户界面GUI的数据库应用的发展。程序在个人计算机上运行，这些代码直接与一个共享的数据库进行通信。这种模式被称为客户-服务器体系结构。
国庆假期结束,这一节准备XSS跨站攻击渗透测试中的利用点,上一节讲了SQL注入攻击的详细流程,很多朋友想要咨询具体在跨站攻击上是如何实现和利用的,那么我们Sinesafe渗透测试工程师为大家详细的讲讲这个XSS是如何实现以及原理。
如果你是一个Web开发初学者，那么你难免会在网上搜索HTML, CSS, XML, JS(Javascript), DOM, XSL等等这些词的意思，然而，随着学习的深入。
在 Linux 中，shell 脚本结合系统任务计划 crontab，非常简单就能实现一些复杂程序才能完成的工作，开发成本低，且简单易学。 张戈博客之前也分享过不少 shell 在网站运营方面的妙用，比如： CCKiller：Linux 轻量级 CC 攻击防御工具，秒级检查、自动拉黑和释放 SEO 技巧：Shell 脚本自动提交网站 404 死链到搜索引擎 Linux/vps 本地七天循环备份和七牛远程备份脚本 nginx 日志切割及 7 天前的历史日志删除脚本 Shell+Curl 网站健康状态
1. 动态网页是指服务器端运行的程序或者网页，它们会随不同客户，不同时间，返回不同的内容。
http :// localhost:8080 / news/index.html
18个网站优化技巧 快速的页面加载对提升搜索引擎排名、网站转化率和整体的用户体验是非常重要的。网站页面的加载速度也是衡量网站性能的一个重要因素。 如果网站不是以最好的性能在运行，迟缓的加载会让
什么是网页挂马 网页挂马是指恶意攻击者攻击WEB网站后，在网页中嵌入一段代码或脚本，用于自动下载带有特定目的木马程序，而恶意攻击者实施恶意代码或脚本植入的行为通常称为“挂马”。 什么是SEO暗链 SEO暗链是SEO黑帽手法中相当普遍的一种手段。笼统地说，它就是指一些人用非正常的手段获取其他网站的权限后，修改其网站的源代码，加入指向自己网站的反向链接代码。其目的是优化自己网站中的一些关键字在搜索引擎中的排名，或是提高自己网站的搜索引擎权重。 暗链实例： TR-201202-0002
网马的本质是一个特定的网页，这个网页包含了攻击者精心构造的恶意代码，这些恶意代码通过利用浏览器（包括控件、插件）的漏洞，加载并执行攻击者指定的恶意软件（通常是木马）。 网站挂马是黑客植入木马的一种主要手段。黑客通过入侵或者其他方式控制了网站的权限，在网站的Web页面中插入网马，用户在访问被挂马的网站时也会访问黑客构造的网马，网马在被用户浏览器访问时就会利用浏览器或者相关插件的漏洞，下载并执行恶意软件。其本质是利用浏览器和浏览器控件、插件的漏洞，通过触发漏洞获取到程序的执行权限，执行黑客精心构造的shellcode。
跨站脚本攻击XSS(Cross Site Scripting)，为了不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故将跨站脚本攻击缩写为XSS。恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。XSS攻击针对的是用户层面的攻击！
XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的。XSS属于被动式的攻击，因为其被动且不好利用，所以许多人常呼略其危害性。
我在没有接触互联网这个行业的时候，就一直好奇网站是怎么构建的。我现在虽然从事互联网相关的工作，但是也一直没有接触过Web开发之类的东西，不过兴趣终归还是要有的，还要自己动手去实践的。Web开发的途径有好多种，比如传统的.Net，还有Java。
首先要知道网站访问大概是什么个过程： 假设你在浏览器地址栏输入这个问题的地址 http://www.zhihu.com/question/22689579 访问过程和下图差不多，浏览器和服务器交流，服
最近因为一些原因，大部分软件和网站都变成了灰色，但是有的网站无脑跟风，只想着变色不想着用户的体验，如图
优化了加载速度的网站不仅可以提高其搜索引擎的排名，同时也可以降低网站的跳出率，提高其转换率，还能提供更好的终端用户体验，这是当今基于Web环境取得成功的关键。
现在有很多库、实用工具和程序任Java开发人员选择。每个工具都有其优点，但其中有一些因它的知名度、多功能性和有效性从众多选项中脱颖而出。 以下这8个工具，从代码构建到错误挤压，覆盖Java开发的全域。学习这些工具可以帮助你改善代码质量，成为一个更高效的Java开发人员。 JAVA 的用途：80%以上的高端企业级应用都使用JAVA平台（电信、银行等）。JAVA是成熟的产品，已经有10年的历史。如果你想在Java行业有所建树，想要系统的进行java的学习，那么你可以来这个群，前面是五一四，中间是一六七，后面是六七八连起来就可以了。 这里有很多互联网大牛教你学习，还有java直播的课程。不是想学习的就不要加了。 1.Eclipse 尽管IntelliJ IDEA、NetBeans和一些其他的IDE正在日益普及，但是有调查表明，Eclipse仍然是几乎半数Java开发人员首选的开发环境。 Eclipse是IDE领域的瑞士军刀，有着大量定制的接口和无数的插件。它无处不在，后面本文将推荐的其他所有工具都提供Eclipse插件。 Eclipse的工作流程可分为三个方面：工作台，工作空间和视角。工作台作为到IDE的出发点。工作空间将项目、文件和配置设置组合在一个单独的 目录下。视角定义工具、视图和有效设置。虽然新手开发人员可能会觉得相比Netbeans和IntelliJ IDEA，Eclipse使用起来更难，但Eclipse的灵活性，使其成为企业开发的首选IDE。 Luna，Eclipse的最新版本，支持Java 8、分屏编辑、新的黑色主题，以及一个功能齐全的命令行终端。 官方网站：https://eclipse.org/ 2.IDEA IDEA 全称IntelliJ IDEA，是用于java语言开发的集成环境（也可用于其他语言），IntelliJ在业界被公认为最好的java开发工具之一，尤其在智能代码助手、代码自动提示、重构、J2EE支持、Ant、JUnit、CVS整合、代码审查、 创新的GUI设计等方面的功能可以说是超常的。IDEA是JetBrains公司的产品，这家公司总部位于捷克共和国的首都布拉格，开发人员以严谨著称的东欧程序员为主。 官方网站：https://www.jetbrains.com/idea/ 3.Javadoc Javadoc是Oracle提供的文档生成器。它可以将特殊格式的注释解析为HTML文档。以下截图就是Javadoc生成的Java SE 8 API规范： Javadoc注释使用开放标签、关闭标签，以及一个或多个描述性标签的格式。开放式标签类似于标准Java多行注释标记，使用两个星号的除外。Javadoc也解析普通的HTML标签。 Javadoc自动格式化标签和关键字，除非另有规定。Javadoc广泛使用超链接，允许你参考和链接到代码的不同区域。许多IDE——包括 Eclipse——可以自动添加Javadoc注释模块到变量、类和方法中。支持Maven、Gradle和Ant的插件在编译代码的同时也可以构建 Javadoc HTML。 想要了解更多信息，请参阅Oracle关于如何为Javadoc工具写文档注释的文章。 官方网站：http://www.oracle.com/technetwork/java/javase/documentation/index-jsp-135444.html 4.JUnit JUnit是用于编写和运行单元测试的开源框架。一个基本的JUnit测试包括测试类、测试方法、以及执行测试的功能。 JUnit使用标注来确定测试如何构造和运行。例如，如果你的程序有一个类叫做MathClass，具有乘法和除法的方法，你可以创建JUnit测试来检 查不符合预期的值。输入数字2和5到乘法方法，你希望得到的结果为10。当输入0作为除法方法的第二个参数时，你会期望给出一个数字计算异常的警告因为除 数不能为0： @Test标注规定，MathClass方法是一个测试用例。 在JUnit提供额外的标注，比如@Before，这样你就可以在测试运行之前设置环境。 JUnit还可以设置规则用于定义测试方法的行为。例如，TemporaryFolder规则使得一旦测试完成，由测试创建的文件或文件夹就会被删除。 想要了解更多信息，请参考JUnit入门。 此外还有使用JUnit单元测试的教程。 官方网站：http://junit.org/ 5.Notepad++
本号提供的工具、教程、学习路线、精品文章均为原创或互联网收集，旨在提高网络安全技术水平为目的，只做技术研究，谨遵守国家相关法律法规，请勿用于违法用途，如有侵权请联系小编处理。
同源策略 影响源的因素：host,子域名,端口,协议 a.com通过以下代码:
跨网站脚本（Cross-site scripting，简称XSS） 又称为跨站脚本攻击，它是一种针对网站应用程序的安全漏洞攻击技术，是代码注入的一种。XSS允许恶意用户将代码注入网页，其他用户在浏览网页时就会执行其中的恶意代码。恶意用户利用XSS代码攻击成功后，可能得到很高的权限（执行操作）、私密网页内容、会话和Cookie等各种内容。与XSS相关的攻击类型包括Cookie窃取、会话劫持、钓鱼欺骗等，这类攻击通常包含了HTML以及用户端脚本语言。
在我们前面的文章中已经深入学了HTML和CSS，在网页设计中我们已经有能力完成一个美观的网页框架
脚本可以让你在XWiki页面(或者视图)无需编译代码或部署软件组件来创建基本到复杂的Web应用程序。换句话说，你可以除了wiki和HTML语法之外使用脚本语法来编写XWiki页面的内容。
全球都在处理数字化转型的问题，飞速发展的同时也为基础设施带来了一定的压力。同时许多黑客也在不断更新升级他们的攻击技术。
我们展示了如何使用 JavaScript 来创建可重复使用的代码、解决日期管理问题、链接函数、检测恶意网站等。
前端即网站前台部分，运行PC在端，移动端等浏览器上展现给用户浏览的网页。随着互联网技术的发展，HTML5，CSS3，前端框架的应用，跨平台响应式网页设计能够适应各种屏幕分辨率，合适的动效设计，给用户带来极高的用户体验。
攻击者盗用了你的身份，以你的名义发送恶意请求，对服务器来说这个请求是完全合法的，但是却完成了攻击者所期望的一个操作。对于CSRF而言，它的攻击有两个关键点，跨站点的请求与请求是伪造的。
安全问题的分类 按照所发生的区域分类 后端安全问题：所有发生在后端服务器、应用、服务当中的安全问题 前端安全问题：所有发生在浏览器、单页面应用、Web页面当中的安全问题 按照团队中哪个角色最适合来修复安全问题分类 后端安全问题：针对这个安全问题，后端最适合来修复 前端安全问题：针对这个安全问题，前端最适合来修复 综合以上 前端安全问题：发生在浏览器、前端应用当中或者通常由前端开发工程师来对其进行修复的安全问题 浏览器安全 同源策略 是一种约定，是浏览器最核心也最基本的安全功能，限制了来自不同源的docum
自动转向(Auto-Redirecting)，也叫自动重定向。自动跳转，指当访问用户登陆到某网站时，自动将用户转向其它网页地址的一种技术。转向的网页地址可以是网站内的其它网页，也可以是其它网站。通常情况下，浏览器会收到一个网页，该页面含有自动加载一其它网页的代码。该页面有可能在服务器端被转换，这样的话，浏览器只收到一个页面，而自动转向往往意味着浏览器收到的页面具有自动将访问用户送至其它页面的功能。 对自动转向技术(Auto-Redirecting)的合理应用包括：将用户转向到指定浏览器的网页版本；当网站的域名变更或删除后将人们转向到新域名下，等等。但现在这种技术却往往被搜索引擎优化人士用来作为提高网站的搜索引擎排名的一种手段。例如，先专门针对搜索引擎做一个高度优化的网页，也就是我们通常所说的“桥页”，然后把这个网页提交给搜索引擎来获得好的排名。但是，当搜索用户通过搜索引擎的搜索结果列表点击该网页列表进入后，将被自动转向到一个用户本来无意去访问的网站地址。搜索引擎常常认为自动转向的网页是对读者的误导，所以它会对这种网页或网站施以惩戒，不过对一些自动转向方法它目前还无法自动检测出来。 Meta Refresh Tag自动转向法 由于搜索引擎能够读取HTML，而Meta tags也是HTML，所以对于这种自动转向法，搜索引擎能够自动检测出来。因而无论网站的转向出于什么目的，都很容易被搜索引擎视做对读者的误导而受到惩罚。不过，如果跳转延迟时间设置合适，搜索引擎就不会视之为作弊。 页面定时刷新元标识(Meta Refresh Tag)只能放在HTML代码的< HEAD>区里。如下所示： <meta http-equiv=”refresh” content=”10; 其中的“10”是告诉浏览器在页面加载5秒钟后自动跳转到url这个页面。 这种方法常可以在论坛中见到。如果在论坛上发信息，先会看到一个确认页面，几秒后会自动重新跳转回当前的论坛页面中。 从搜索引擎优化的角度出发，一般不希望自动转向有延迟。不过，如果是用Meta Refresh标识进行转向，一定要注意把延迟时间设定成至少10秒以上。 “javascript”自动转向法 由于不能解析javascript，所以搜索引擎无法察觉(自动检测到)用javascript脚本进行的自动转向。javascript自动重定向脚本可以放在网页的任何位置上，如果要求立即跳转，则可以将其放入网页源码的<head>区内的最上面。用javascript实现跳转的范例如下： <script language=”javascript”><!–location.replace(“pagename.html”)//–></script> 其中的“pagename.html”指特定的重定向目标地址，用相对/绝对URL地址均可。 用javascript实现自动重定向的好处在于：用户所访问的目标URL不会保留在用户浏览器的历史记录中，如果用户按返回按钮返回，则将回到跳转前的网页，而不是包含javascript自动重定向脚本的跳转页面，所以不会出现当用户点击返回按钮后返回至重定向页，然后该页自动跳转到用户本来想离开的那个页面的尴尬情形。 如果需要，可以把javascript自动重定向脚本存在一个外部文件中，并通过下面的命令行来加载，其中“filename.js”是该外部文件的路径和文件名： <script language=”javascript” src=”filename.js”></script> 注意：若需实现即刻转向，或不希望人们看到转向前的那个页面，一般常用javascript脚本实现。在这种情况下应将javascript脚本放入HTML源码的<HEAD>区中。 表单(FORM)自动转向法 搜索引擎的“爬行”程序是不会填写表单的，所以它们也不会注意到提交表单，因而可以利用表单来实现自动转向(重定向)而不让搜索引擎察觉。 对于表单，人们往往很少意识到：表单的Action参数中包含的URL地址其实正是浏览器向服务器所请求的URL。浏览器将会通过向请求的URL地址增加一些格式为name=value的参数给予它以特殊的对待。在什么都没有的情况下，浏览器仍旧会为该URL安排请求至服务器。 用javascript脚本可让页面开始加载时即提交表单。下面是一个用javascript实现表单自动提交，以及提交表单的范例： <script language=”javascript”><!–document.myform.submit()//–></script> <form name=”myform” action=”pagename.html”
日前，英国政府网站 GOV.UK 删除其网站上所有前端应用程序依赖项 jQuery。删除之后，13 个前端应用程序 JavaScript 大小减少了 32 KB（或 31% 到 49%）之间，其他多项性能提升，团队部分技术债得以清除。
最近在折腾博客主题，通常来说大多数人认为换主题会影响 SEO，实际上只要你把工作都做到位了，是没有任何问题的。比如，换主题后你得仔细检查标题和描述等内容是否发生改变、换主题后是否带来了大量的 404
毫无疑问，比起其他浏览器，谷歌浏览器虽有着明显的优势，但是它的劲敌火狐却是很多前端攻城师和研发人员的挚爱，为了尽可能地提高用户体验，火狐浏览器的社区在插件开发和运用上有着丰富的经验，说它是网站开发者的
原作：Archie Mistry 翻译：豌豆花下猫@Python猫 原文：https://morioh.com/p/765b19f066a4
安全服务工程师大家应该都知道，对于他的岗位职责你可能会说不就是渗透测试啊、应急响应嘛.....实际上正式一点的企业对于安服的要求是包括了漏洞扫描、安全基线检查、渗透测试、安全加固、日志分析、恶意代码检查、应急响应、安全加固等差不多十个方面的内容的。内容多吗？我也觉得多！
很多客户的网站被拦截并提示：“该内容被禁止访问”，大多数客户使用的都是阿里云的虚拟主机以及ECS服务器，最近发生这种问题的网站也越来越多，这几天刚解决完一个客户网站被阿里云：违规URL屏蔽访问处理通知并拦截，经过朋友介绍找到我们SINE安全公司。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
