本文的目的是深层次的分析Flash的ExternalInterface的XSS漏洞，并提出比较有效的解决方案。 首先，我们看看什么情况下，会出现XSS。 第一种情况： 把flashvars传入的参数（或者其他能被别人控制的方式）当ExternalInterface.call的第一个参数 package { import flash.display.Sprite; import flash.external.ExternalInterface;
今天做网页两侧浮动广告图片，用js代码是实现，下面是一个*.js文件，在需要用到的网页加一句代码
Flash Xss进阶 [ExternalInterface.call第一个参数]
Flash和js交互的效率分析 AS代码： var time:int = getTimer(); for (var i:int = 0; i < 50000; i++) { ExternalInterface.call( "noReturn" ); //8371ms }
传统的播放视频是采用 flash 播放器方式，然而各大浏览器厂商都不再支持flash , 我们不得不寻找其他解决方案。
EasyPlayer几乎涵盖了开发者所需的全部平台，尤其是在web端的EasyPlayer.js时遇到的播放器接入的问题，比如：不懂前端的js代码、没有公网服务器放置这些js脚本和网页、微信对接入IP播放地址有限制等。EasyPlayer.js，极大地方便了开发者在解决B/S型业务开发，集 rtmp，hls，flv，websocket 于一身的网页直播/点播播放器。
注意：先调用ExternalInterface.addCallback，再调用ExternalInterface.call
这是一个Flash插件，swf是一种动画格式，实现效果应该是下面的Object内容
应用web化，不论对开发商，还是对用户来说，实在是一种很经济的选择，因为基于web的应用，客户端的规则很简单，容易学习，容易维护，容易发布。但对程序员来说，因为浏览器的局限性，却要面对很多挑战。怎么样来进行基于web的套打，就是这么一个令多数程序员头痛不已的问题。 基于web的套打，难度在于要将浏览器中呈现的html，精确地打印到票据中，而且能够实现对分页位置的控制。下面就ie浏览器所能采用的套打解决方案，来个汇总分析，希望对大家有所帮助。 jatoolsPrinter 是一款实现网页套打的免费工
CHM文件格式是微软推出的基于HTML文件特性的帮助文件系统，也称作“已编译的HTML帮助文件”。CHM能够支持脚本、Flash、图片、音频、视频等内容，并且同样支持超链接目录、索引以及全文检索功能，常用来制作说明文档、电子书等以方便查阅，在绝大多数人的印象中，CHM类型文件是“无公害”文档文件。
flv.js项目的代码有一定规模，如果要研究的话，我建议从demux入手，理解了demux就掌握了媒体数据处理的关键步骤，前面的媒体数据下载和后面的媒体数据播放就变得容易理解了。
作者：matrix 被围观: 2,616 次 发布时间：2013-10-09 分类：Wordpress 兼容并蓄 零零星星 | 2 条评论 »
HTML是用于创建web页面和web应用程序的公开标准的标记语言。HTML文件基本上是纯文本文件，这意味着软件应用程序和普通人可以轻松地创建、读取和更新web页面。HTML的开放特性不仅使得用户可以使用简单的文本编辑器来编辑网站，而且任何人都可以查看源代码并复制其HTML源代码，并应用于其他地方。
0x01 HTML中嵌入FLASH 在HTML中嵌入FLASH的时候在IE和非IE浏览器下嵌入的方式有所不同，可以使用embed标签和object标签，使用如下的代码进行嵌入： IE下嵌入 <object codeBase="http://fpdownload.macromedia.com/get/Flashplayer/current/swFlash.cab#version=8,0,0,0" classid="clsid:D27CDB6E-AE6D-11cf-96B8-444553540000"> <pa
二月十一日，FireEye捕获了一次基于0day漏洞的攻击，这次攻击针对美国的一个退伍兵网站(bfw.org)。 我们确信这次攻击是针对美国高层军方人员的一次预谋已久的APT攻击，因为在这一天美国国会正巧因为暴风雪放假一天。因为攻击手法的相似性，我们认为它与不久之前的两次APT攻击有着一定的联系，这两次攻击是Operation DeputyDog 和 Operation Ephemeral Hydra. 这篇文章介绍了这次攻击所利用的漏洞和相关的攻击手法，并赋予了这次攻击一个代号“雪人行动”(Operat
前言 以往做一些H5的运营项目，都是动画设计师使用Animate cc（原来的Flash）先设计好动画原型，然后交给我们UI开发来实现。做过动画开发的童鞋都知道动画开发都是比较耗费时间精力的，而且还要高质量的还原动画设计师设计好的动画，来回沟通成本也非常高。 那有没有一种高效的方法来改善这种流程，提高开发效率的同时还能完成高品质的动画呢？ 经过一段时间的摸索，发现AnimateCC（就是原来的Flash）可以导出canvas动画，而且是基于createjs这个开发轻量级游戏的js库的，非常适合用来做移动
该篇章目的是重新牢固地基，加强每日训练操作的笔记，在记录地基笔记中会有很多跳跃性思维的操作和方式方法，望大家能共同加油学到东西。
前注：1-4 是普通原理，没看明白的话，可以从5开始，结合实际例子看。 1. 本来是有另外一个例子的，不过不知道是腾讯已经给修复了，还是之前测试的时候人品好，偶尔碰上了，总之现在用不上了。
后记：JavaScript是一个被匆忙设计出来的语言，为什么能够击败众多的竞争者，成为浏览器之王呢？回到90年代，当时能和JavaScript争雄的有Java Applet，Flash，还有微软的JScript，Applet又丑又慢，Flash自成体系，JScript绑定微软浏览器，唯有JS，跨浏览器支持，可以和Web网页轻松交互。还有就是当时的网页都非常简单，HTML为主，动态的东西很少，写点简单的JS代码就可以搞定了，不需要复杂的，静态类型的，虚拟机支持的语言。但是让大家没有想到的是，Web迅速变成了一
其实总体自定义UI组件都比较简单，尤其是cocos2d-js是开源的，如果有什么不明白的直接看js代码或者C++代码即可。当然js代码基本就够了。 另外，js的ctor函数虽然说是构造函数，但毕竟不是flash或者c++的构造函数，这只是一个普通函数，也就是说可以不在第一行默认调用，这就给扩展带来了不少方便。 现在想做一个声音按钮，点一下能关闭音乐，再点一下又能打开。当然就是MenuItemToggle了。 但想做得再炫一点，有声音的时候，按钮的样子能有几个音波的变化。那么就需要用MenuItemSprit
漏洞知识库 网络安全/渗透测试/代码审计/ 关注 ExternalInterface.call第二个参数 讲完ExternalInterface.call的第一个参数，我们接着来讲第“2”个参数，之所以2打上引号，因为 call 函数的原型是：call(functionName:String, ... arguments):*， 即后面可以有很多很多个参数，我们统称为第2个参数。有时候我们会遇到ExternalInterface.call("xxxxx","可控内容");的情况，那么这种情况下，如何构造XS
在IE中，JS可以直接访问剪贴板，但是firefox,chrome等其它"高级"浏览器，就没这么幸运了。网上流传的所谓兼容firefox/IE的剪贴板访问javascript代码，都是N年前的往事了。 根据http://mozilla.com.cn/post/49413/ 上的说法: ---------------------------------- 火狐不允许网页操作用户的剪切板，因为有安全问题，网页可能盗用你复制的密码等等。 以前可以通过修改设置提权，允许网页获得高权限，操作剪切板，目前火狐已经取消了
1. 首先，第一步，我们需要找到存在缺陷的FLASH文件。如何找到这类文件呢？最好的办法，当然是GOOGLE搜索。但是其实很多人是不太会用搜索引擎。或者知道怎么用，但是不知道该如何搜索关键词。因而教程的开始，我们来说一说，如何搜索关键词。 2. 基本语句肯定是 site:qq.com filetype:swf 意思是，限定域名为qq.com 文件类型为FLASH文件。 3. 显然这样会搜索出很多FLASH文件，不利于我们后续的漏洞查找，所以我们需要输入某个关键词来进一步缩小范围。这里我列举一些寻找关键词的方式。 3.1 已知存在缺陷的FLASH文件名或参数名，如：swfupload,jwplayer等 3.2 多媒体功能的FLASH文件名，如：upload，player, music, video等 3.3 调用的外部配置或数据文件后缀，如: xml, php 等 3.4 前期经验积累下来的程序员特征参数名用词，如: callback, cb , function 等 4. 结合以上经验，本例使用其中第三条： 我们搜索：site:qq.com filetype:swf inurl:xml 可以找到这个FLASH
现在 Google 也推出了 Swiffy，免费把 SWF 格式转换为 HTML5 代码。
它是一种软件，用来制作网页游戏、动画，以及视频播放器。只要观看网络视频，基本都会用到它。
作者：matrix 被围观: 2,424 次 发布时间：2013-09-16 分类：Wordpress 零零星星 | 无评论 »
1、js配合传统css属性控制，可以使用setTimeout或者高级的requestAnimationFrame
《前端技术观察》是由字节跳动IES前端团队收集、整理、推荐的业界高品质前端资源合集，主要分为以下几个板块： Highlights 业界最新的技术、热点文章 业界对（新）技术的深度地、优秀地实践 Tut
这个很简单 首先你要把html代码转成js代码 有这种转换工具的 搜下代码转换工具就可以 再把你转换好了的代码放到文本中 把后缀名改成点js就可以了 可以用txt文档改 js文件用记事本可以打开小编喝醉了酒，流入街头可怜的像条狗，哭着对你说别走，你义无反顾笑笑也不回头。
前言 说起动画H5，作为一个前端，可谓是“又爱又恨”。爱的是加上动画动效后H5会变得生动有趣，吸引力Max；恨的是做动画时都是一边在脑海中yy效果，一边用css、js代码模拟出来，既低效又
网马的本质是一个特定的网页，这个网页包含了攻击者精心构造的恶意代码，这些恶意代码通过利用浏览器（包括控件、插件）的漏洞，加载并执行攻击者指定的恶意软件（通常是木马）。 网站挂马是黑客植入木马的一种主要手段。黑客通过入侵或者其他方式控制了网站的权限，在网站的Web页面中插入网马，用户在访问被挂马的网站时也会访问黑客构造的网马，网马在被用户浏览器访问时就会利用浏览器或者相关插件的漏洞，下载并执行恶意软件。其本质是利用浏览器和浏览器控件、插件的漏洞，通过触发漏洞获取到程序的执行权限，执行黑客精心构造的shellcode。
<link href="__PUBLIC__/CSS/bootstrap.css" rel="stylesheet">
跨网站脚本（Cross-site scripting，XSS） 又称为跨站脚本攻击，是一种经常出现在Web应用程序的安全漏洞攻击，也是代码注入的一种。XSS是由于Web应用程序对用户的输入过滤不足而产生的，攻击者利用网站漏洞把恶意的脚本代码注入到网页之中，当其他用户浏览这些网页时，就会执行其中的恶意代码，对受害者用户可能采取Cookie窃取、会话劫持、钓鱼欺骗等各种攻击。这类攻击通常包含了HTML以及用户端脚本语言。
WebView2和CEF相比，在WPF中CEF相当于把渲染的界面生成图片再加载，而WebView2则没有这一步，性能有显著提升。
HTML5是一种热门的跨平台开发技术，随着引擎技术的发展，如今LayaAir引擎的产品性能已达到原生APP的水准，甚至可以直接用于开发APP、HTML5、Flash的多端版本产品。认真学习完本篇教程，可以帮您打开全平台开发之门。
前言 以往做一些H5的运营项目，都是动画设计师使用Animate cc（原来的Flash）先设计好动画原型，然后交给我们UI开发来实现。做过动画开发的童鞋都知道动画开发都是比较耗费时间精力的，而且还要高质量的还原动画设计师设计好的动画，来回沟通成本也非常高。 那有没有一种高效的方法来改善这种流程，提高开发效率的同时还能完成高品质的动画呢？ 经过一段时间的摸索，发现AnimateCC（就是原来的Flash）可以导出canvas动画，而且是基于createjs这个开发轻量级游戏的js库的，非常适合用来做移动端的
网站前端的用户体验，决定了用户是否想要继续使用网站以及网站的其他功能，网站的用户体验佳，可留住更多的用户。除此之外，前端优化得好，还可以为企业节约成本。那么我们应该如何对我们前端的页面进行性能优化呢？
作者：vienwu 随便写点啥，不然要被k。。 javascript 的出错我们应该都很熟悉，例如xxx undefined,SyntaxError等。 我们 team 将出现错误的 javascri
SQL注入： 所谓SQL注入，就是通过把SQL命令插入到提交的Web表单或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令，导致数据库中的信息泄露或者更改。 防范： 1.永远不要信任用户的输入,将用户输入的数据当做一个参数处理： 使用参数化的形式，也就是将用户输入的东西以一个参数的形式执行，而不是将用户的输入直接嵌入到SQL语句中，用户输入就被限于一个参数。 2.避免提示详细的错误信息： 当用户输入错误的时候，避免提示一些详细的错误信息，因为黑客们可以利用这些消息，使用一种标准的输入确认机制来验证所有的输入数据的长度、类型、语句、企业规则等。 3. 加密处理： 将用户登录名称、密码等数据加密保存。加密用户输入的数据，然后再将它与数据库中保存的数据比较，这相当于对用户输入的数据进行了“消毒”处理，用户输入的数据不再对数据库有任何特殊的意义，从而也就防止了攻击者注入SQL命令。 4.确保数据库安全： 锁定你的数据库的安全，只给访问数据库的web应用功能所需的最低的权限，撤销不必要的公共许可，如果web应用不需要访问某些表，那么确认它没有访问这些表的权限。如果web应用只需要只读的权限，那么就禁止它对此表的 drop 、insert、update、delete 的权限，并确保数据库打了最新补丁。
从本节开始，我们探讨如何使用VUE和WebPack开发一款类似于植物大战僵尸的前端游戏，当游戏完成后，情况如下： 游戏的设定如下，一系列外星飞船从天而降入侵地球，为了保护地球，玩家需要使用各种道具防
``` javascript的出错我们应该都很熟悉，例如`xxx undefined`,`SyntaxError`等。 我们team将出现错误的javascript代码取名为badjs，也有一个
为什么要在这个时候探索flv.js做直播呢？原因在于各大浏览器厂商已经默认禁用Flash，之前常见的Flash直播方案需要用户同意使用Flash后才可以正常使用直播功能，这样的用户体验很致命。 在介绍flv.js之前先介绍下常见的直播协议以及给出我对它们的延迟与性能所做的测试得出的数据。 如果你看的很吃力可以先了解下音视频技术的一些基础概念。 常见直播协议 RTMP: 底层基于TCP，在浏览器端依赖Flash。 HTTP-FLV: 基于HTTP流式IO传输FLV，依赖浏览器支持播放FLV。 WebSocke
今天是不幸的一天，为什么说呢，因为Github挂了！全球最大的同性交友网站挂了，让我等技术宅还怎么好好的撸代码呢？
完成了若干个基于WEB的项目, 也了解了从前端的js,css,html到后端python/php等, 二者如何交互, 最终浏览器如何执行, 这些在心里也已经很明确了. 不过一个问题一直萦绕在心中,那就是:
js混淆工具是一种能够将js代码转换成难以阅读和理解的代码的工具，通常用于保护js代码的安全性和版权，防止被恶意修改或盗用。js混淆工具可以通过以下方式实现代码的混淆：
function define(){ ... } var a = define; define = function(){ try{ a.apply(this,arguments); }catch(e){ ...错误上报 } };
浏览器内核（Rendering Engine），常见的叫法如：排版引擎、解释引擎、渲染引擎，现在流行称为浏览器内核。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
云直播
