这是一篇介绍JSON Web Token(JWT)的文章，虽然可能用到的例子和Laravel和AngularJS有关，但知道了原理便能写出适用于自己的。同时，由于目前个人用的后台一直是java，前端也没用过AngularJS，vue也是最近才开始学，所以Laravel和AngularJS部分 并不十分了解，若有错误，欢迎及时提出。
首先，我们需要肯定的是，它的出现是为了弥补php更准确的是laravel的短板：性能和资源利用率。其次，就我们现有的场景来说，更多的是开发http的相关功能。
你可能有留意到当你浏览网页时，会有一些推送消息，大多数是你最近留意过的同类东西，比如你想买桌子，上淘宝搜了一下，结果连着几天会有各种各样的桌子的链接。这是因为
前言：我们这篇主要是说JavaScript的本地存储web Storage，首先我们需要了解一下客户端存储的几种方式。
RFC 6265定义了 cookie 的工作方式。在处理 HTTP 请求时，服务器可以在 HTTP 响应头中通过HTTP Headers Set-Cookie 为客户端设置 cookie。然后，对于同一服务器发起的每一个请求，客户端都会在 HTTP 请求头中以字段 Cookie 的形式将 cookie 的值发送过去。也可以将 cookie 设置为在特定日期过期，或限制为特定的域和路径。
大家好，我是柒八九。我们在网络拾遗之Http缓存文章中，从网络协议的视角介绍了网站「客户端缓存」 中的HTTP缓存策略，并对「强缓存」和「协商缓存」做了较为详细的介绍。
网络早期最大的问题之一是如何管理状态。简而言之，服务器无法知道两个请求是否来自同一个浏览器。当时最简单的方法是在请求时，在页面中插入一些参数，并在下一个请求中传回参数。这需要使用包含参数的隐藏的表单，或者作为URL参数的一部分传递。这两个解决方案都手动操作，容易出错。cookie出现来解决这个问题。
HTTP Cookie（也叫 Web Cookie 或浏览器 Cookie）是服务器发送到用户浏览器并保存在本地的一小块数据，它会在浏览器下次向同一服务器再发起请求时被携带并发送到服务器上。通常，它用于告知服务端两个请求是否来自同一浏览器，如保持用户的登录状态。Cookie 使基于无状态的HTTP协议记录稳定的状态信息成为了可能。
大家好，这里是 渗透攻击红队 的第 74 篇文章，本公众号会记录一些红队攻击的案例，不定时更新！请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关！
随着移动网络的发展与演化，我们手机上现在除了有原生 App，还能跑“WebApp”——它即开即用，用完即走。一个优秀的 WebApp 甚至可以拥有和原生 App 媲美的功能和体验。WebApp 优异的性能表现，有一部分原因要归功于浏览器存储技术的提升。cookie存储数据的功能已经很难满足开发所需，逐渐被Web Storage、IndexedDB所取代，本文将介绍这几种存储方式的差异和优缺点。
static 是静态变量,在局部函数中存在且只初始化一次,使用过后再次使用会使用上次执行的结果; 作为计数，程序内部缓存，单例模式中都有用到。
随着Web应用程序的出现，直接在客户端上存储用户信息的需求也随之出现。者背后的想象时合法的：与特定用户相关的信息都应该保存在用户的机器上。无论是登录信息、个人偏好、还是其他数据，Web应用程序提供者都需要有办法 将他们保存在客户端。对于这个问题，第一个解决方案就是cookie。
随着Web应用程序的出现，直接**在客户端上存储用户信息**的需求也随之出现。者背后的想象时合法的：与特定用户相关的信息都应该保存在用户的机器上。无论是登录信息、个人偏好、还是其他数据，Web应用程序提供者都需要有办法 将他们保存在客户端。对于这个问题，第一个解决方案就是cookie。
TLS协商（5节）后，如果需要SASL协商（6节）与资源绑定（7节），XML节可通过流来发送。定义了三种XML节用于 'jabber:client'与'jabber:server'命名空间：<message/>, <presence/>, and <iq/>。另外，这种节有五个通用属性。这些通用属性，像三种节的基本语义一样，都定义在此；与即时消息与表示应用相关的XML节的更详细信息在[XMPP-IM]中提供。 9．1通用属性 以下五个属性对message, presence与IQ均
如果您有机会阅读我们之前在 Google Analytics 4 （GA4） 上发布的指南，您可能知道它不像 Universal Analytics 那样是一款即插即用的分析工具。
一，工作组概念 在一个大的单位内，可能有成百上千台计算机互相连接组成局域网，它们都会列在“网络”（网上邻居）内。如果这些计算机不分组，情况会有多么混乱是可想而知的——很难找一台计算机。为了解决这一问题，就有了工作组（Work Group）这个概念。将不同的计算机按功能（或部门）分别列入不同的工作组中，如技术部的计算机都列入“技术部”工作组中，行政部的计算机都列入“行政部”工作组中。要想访问某个部门的资源，只要在“网络”里找到那个部门的工作组名并双击，就可以看到那个部门的所有计算机了。 二，域 域（Domain）是一个有安全边界的计算机集合（安全边界的意思是：在两个域中，一个域中的用户无法访问另一个域中的资源），可以简单地把域理解成升级版的工作组。相比工作组而言， 域有更加严格的安全管理控制机制。要想访问域内的资源，用户必须通过合法的身份登录域，而用户对该域内的资源拥有什么样的权限，还取决于他在该域内的身份。 域控制器（Domain Controller，DC）是一个域中的一台类似管理服务器的计算机，我们可以形象地将它理解为一个单位的门卫。域控制器负责每一台联入的计算机和用户的验证工作。域内第 1 章 内网渗透测试基础 3计算机如果想互相访问，首先都要经过域控制器的审核。 1．单域 在一般的具有固定地理位置的小公司里，建立一个域就可以满足所需。一般在一个域内要建立至少两个域服务器，一个作为 DC，另一个作为备份 DC。如果没有备份 DC，那么一旦 DC 瘫 痪了，域内的其他用户就不能登录该域了，因为活动目录的数据库（包括用户的账号信息）是存储在 DC 中的。如果有一台备份域控制器（BDC），则至少该域还能正常使用（把瘫痪的 DC 恢复即可）。 2．父域和子域 出于管理及其他需求，需要在网络中划分多个域。第一个域称为父域，各分部的域称为该域的子域。例如，一个大公司的不同分公司位于不同的地理位置，就需要父域及子域这样的结构。如果把不同地理位置的分公司放在同一个域内，那么它们之间信息交互（包括同步、复制等）所花费的时间就会比较长，占用的带宽也会比较大（因为在同一个域内，信息交互的条目是很多的，而且不压缩；而在域和域之间，信息交互的条目相对较少，而且可以压缩）。这样处理还有一个好处，就是子公司可以通过自己的域来管理自己的资源。还有一种情况，就是出于安全策略的考虑（每个域都有自己独有的安全策略）。例如，一个公司的财务部门希望能使用特定的安全策略（包括账号密码策略等），那么可以将财务部门作为一个子域来单独管理。 3．域树 域树（Tree）指若干个域通过建立信任关系而组成的集合。一个域管理员只能管理本域的内部，不能访问或者管理其他域，两个域之间相互访问则需要建立信任关系（Trust Relation）。信任关系是连接不同域的桥梁。域树内的父域与子域之间不但可以按照需要相互进行管理，还可以跨网分配文件和打印机等设备资源，从而在不同的域之间实现网络资源的共享与管理、通信和数据传输。 在一个域树中，父域可以包含很多个子域。子域是相对父域来说的，是指域名中的每一个段。各子域之间用点号隔开，一个“.”代表一个层次。放在域名最后的子域称为最高级子域或一级域，在它前面的子域称为二级域。例如，域 asia.abc.com 就比域 abc.com 的级别低，因为域 asia.abc.com有两个层次，而域 abc.com 只有一个层次。再如，域 cn.asia.abc.com 比域 asia.abc.com 的级别低。可以看出，子域只能使用父域作为域名的后缀，也就是说，在一个域树中，域的名字是连续的，如图
一个企业的整个网络划分是非常巨大了，甚至有多个林，而这个域森林权力最大还属企业管理员了，当我们拿到一个域的dc的时候，当然不是红队的终点，我们的最终的目标是企业管理员，只要我们拿下了企业管理员，整个企业内网才算真正拿下。
在本节中，我们将解释什么是跨域资源共享（CORS），并描述一些基于 CORS 的常见攻击示例，以及讨论如何防御这些攻击。
程序员宝库关注即可习得新技能! cookie前言 网络早期最大的问题之一是如何管理状态。简而言之，服务器无法知道两个请求是否来自同一个浏览器。当时最简单的方法是在请求时，在页面中插入一些参数，并在下一个请求中传回参数。这需要使用包含参数的隐藏的表单，或者作为URL参数的一部分传递。这两个解决方案都手动操作，容易出错。cookie出现来解决这个问题。 作用 cookie是纯文本，没有可执行代码。存储数据，当用户访问了某个网站（网页）的时候，我们就可以通过cookie来向访问者电脑上存储数据，或者某些网站为了辨
前言 在WebSocket API尚未被众多浏览器实现和发布的时期，开发者在开发需要接收来自服务器的实时通知应用程序时，不得不求助于一些“hacks”来模拟实时连接以实现实时通信，最流行的一种方式是长轮询 。 长轮询主要是发出一个HTTP请求到服务器，然后保持连接打开以允许服务器在稍后的时间响应（由服务器确定）。为了这个连接有效地工作，许多技术需要被用于确保消息不错过，如需要在服务器端缓存和记录多个的连接信息（每个客户）。虽然长轮询是可以解决这一问题的，但它会耗费更多的资源，如CPU、内存和带宽等，要想很好
CSRF（Cross-site request forgery，中文为跨站请求伪造）是一种利用网站可信用户的权限去执行未授权的命令的一种恶意攻击。通过伪装可信用户的请求来利用信任该用户的网站，这种攻击方式虽然不是很流行，但是却难以防范，其危害也不比其他安全漏洞小。
HttpSession对象是 javax.servlet.http.HttpSession 的实例，该接口并不像 HttpServletRequest 或HttpServletResponse 还存在一个父接口，该接口只是一个纯粹的接口。这因为 session 本身就属于 HTTP 协议的范畴。
Windows 凭据管理是操作系统从服务或用户接收凭据并保护该信息以供将来向身份验证目标呈现的过程。对于加入域的计算机，身份验证目标是域控制器。身份验证中使用的凭据是将用户身份与某种形式的真实性证明（例如证书、密码或 PIN）相关联的数字文档。
今天Web系列终于换了一个主题了，咱们这次来讲讲Cookie和Session会话技术，其实有一定web基础的人对这两个东西还是比较熟悉的，不过不熟悉也没关系，这篇文章我会写的比较详细，也会比较长，如果你看的比较累了可以收藏一下，下次继续来看。
抛砖引玉 在文章开始前，先看看一个常见的情况👇 在集团内进行开发时，通常会遇到不同组之间的合作，如果是同一个组的前后端，因为交互请求都是在同一个「域」内发生的，所以一般不会存在跨域问题。但如果未做处理，直接从 a.alibaba.com 请求 b.alibaba.com 的接口，就会出现跨域的问题，这是因为浏览器对于不同域请求的限制问题，其实跨域的问题很好解，只要设置了正确的请求头即可，具体的可以参考我的这篇文章 👉《一次跨域问题的分析》 但这是访问不需要登录的接口，那如果是从 a.alibaba.com
JSP的四大作用域：page、request、session、application
组织：中国互动出版网（http://www.china-pub.com/） RFC文档中文翻译计划（http://www.china-pub.com/compters/emook/aboutemook.htm） E-mail：ouyang@china-pub.com 译者：牛韬（NT niuniu50@bz-public.sd.cninfo.net） 译文发布时间：2001-5-11 版权：本中文翻译文档版权归中国互动出版网所有。可以用于非商业用途自由转载，但必须 保留本文档的翻译及版权信息。 Net
前言 本文将首先概述基于cookie的身份验证方式和基于token的身份验证方式，在此基础上对两种验证进行比较。 最后将介绍JWT（主要是翻译官网介绍）。 概述 HTTP是一个“无状态”协议，这意味着Web应用程序服务器在响应客户端请求时不会将多个请求链接到任何一个客户端。然而，许多Web应用程序的安全和正常运行都取决于系统能够区分用户并识别用户及其权限。 这就需要一些机制来为一个HTTP请求提供状态。它们使站点能够在会话期间对各用户做出适当的响应，从而保持跟踪用户在应用程序中的活动（请求和响应）。 co
同源策略（SOP）限制了应用程序之间的信息共享，并且仅允许在托管应用程序的域内共享。这有效防止了系统机密信息的泄露。但与此同时，也带来了另外的问题。随着Web应用程序和微服务使用的日益增长，出于实用目的往往需要将信息从一个子域传递到另一个子域，或者在不同域之间进行传递（例如将访问令牌和会话标识符，传递给另一个应用程序）。
在一个大型单位中，可能有成百上千台计算机，他们相互连接组成局域网，如果不进行分组，那么网络关系就会杂乱不堪，此时工作组的出现，成功解决了这个问题。它将局域网中不同的计算机按功能分别列入不同的工作组，使得网络更有序。
cookie 前言 网络早期最大的问题之一是如何管理状态。简而言之，服务器无法知道两个请求是否来自同一个浏览器。当时最简单的方法是在请求时，在页面中插入一些参数，并在下一个请求中传回参数。 这需要使用包含参数的隐藏的表单，或者作为URL参数的一部分传递。这两个解决方案都手动操作，容易出错。cookie出现来解决这个问题。 作用 cookie是纯文本，没有可执行代码。存储数据，当用户访问了某个网站（网页）的时候，我们就可以通过cookie来向访问者电脑上存储数据，或者某些网站为了辨别用户身份、进行sessio
参考:https://www.cnblogs.com/caidingyu/p/11077194.html
数据持久指将内存中的数据模型转化为存储模型，和将存储模型转化为内存中的数据模型这一过程的统称。在普通情况下，我们存储的数据会一直保留，直到我们删除相关内容；或者是这些数据保存到浏览器会话结束，用户关闭之后。 但在实际情况中会更加复杂一些。用户、操作系统、浏览器或插件都可以随时阻止或删除持久数据。浏览器有权限删除存储内容比较陈旧或者是比较大的项目内容；还能记录页面状态，当我们离开当前页面，重新打开页面的时候上次记录的内容会得到保存记录，可以直接使用。
提到状态，我们总是伴随着可变的、并发、隔离和作用域等词语，精确定义如下：状态是有关存储信息的技术名词，任何一个时间程序能够立即访问到。简单地说，状态是一种可能被行为操作改变的数据，是一种可变的纯数据。
这个章节主要讲Active Directory 域服务概述及相关概念，设计步骤及AD常见的规划设计TOP方案，每种架构TOP方案的特定及优缺点。
1.接口是前后端沟通的桥梁，是数据传输通道,包括外部接口、内部接口，内部接口又包括：上层服务与下层服务接口、同级接口;
外网更侧重于找漏洞寻找突破口 举个简单的例子： 把渗透测试当做去偷某家超市的某个商品。外网渗透就是突破超市的大门，进入超市。
当渗透进入内网后，利用BloodHound对庞大内网域环境进行自动化信息搜集并整理分析数据，提高渗透效率。
内网也指 局域网（ Local Area Network ， LAN ） 是指在某一区域内由多台计算机互联成的计算机组。一般是方圆几千米以内。局域网可以实现文件管理、应用软件共享、打印机共享、工作组内的历程安排、电子邮件和传真通信服务等功能。 • 内网是封闭型的，它可以由办公室内的两台计算机组成，也可以由一个公司内的上千台计算机组成。列如银行、学校、企业工厂、政府机关、网吧、单位办公网等都属于此类。
域名系统（DNS，Domain Name System）是因特网的地址簿。DNS 通过映射不容易忘记的域名（例如example.com）到诸如192.0.2.8或0123:4567:89ab:cdef:0123:4567:89ab:cdef这样的 IP 地址，将 Web 流量引导至您的 Linode 并通过电子邮件发送到您的收件箱。本篇指南介绍了基本的 DNS 概念以及不同类型的 DNS 记录（DNS Record）。
一个监听器既是一个 payload 的配置信息，同时又是 Cobalt Strike 起一个服务器来接收来自这个 payload 的连接的指示。一个监听器由用户定义的名称、payload 类型和几个特定于 payload 的选项组成。
客户端进程：发起通信的进程 服务器进程：等待连接的进程 注意：P2P架构的应用也有客户端进程和服务器进程之分
作者 Rabbit_Run 微软的活动目录默认使用Kerberos处理认证请求。在BlackHat 2014上神器Mimikatz的作者剖析了微软实现的Kerberos协议中存在的安全缺陷，并通过神器Mimikatz新添功能“Golden Ticket”展示了如何利用这些安全缺陷，让Kerberos把守的地狱之门为大家敞开。 一、快速介绍 Kerberos 是Windows活动目录中使用的客户/服务器认证协议，为通信双方提供双向身份认证。相互认证或请求服务的实体被称为委托人（principal）。参与的中央
大多数商业解决方案侧重于客户端服务体系结构，以实现更精细的控制。因此,我们将关注使用客户端服务体系结构设计服务。让我们看看在这一章节中我们将如何进展。
假期马上结束了，闲暇之时我自己尝试着搭建了一个内网渗透的靶场。靶场是根据比较新的漏洞进行搭建的，质量自以为还可以。
直接转发方式（Forward），客户端和浏览器只发出一次请求，Servlet、HTML、JSP或其它信息资源，由第二个信息资源响应该请求，在请求对象request中，保存的对象对于每个信息资源是共享的。
Laravel Valet 是 macOS 极简主义者的开发环境。Laravel Valet 将您的 mac 配置为在您的机器启动时始终在后台运行 Nginx，然后使用 Dnsmasq，Valet 代理 *.test 域上的所有请求指向安装在本地计算机上的站点
摘要: 原创出处:www.bysocket.com 泥瓦匠BYSocket 希望转载，保留摘要，谢谢！
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
