前言 闲着没事写写单页，免得忘了老底，结果写着写着，发现我把HTML里的href和src又搞混了，想了想干脆写篇博客记下来，毕竟好记性不如烂笔头嘛。...src src源于source的缩写，翻译过来是源，其作用是引入。...src属性指向的内容会被嵌入到文档当前标签所在位置，一般出现于img、script、iframe标签属性，例如： 当浏览器解析到该元素时...总结 src是引入，将当前元素进行替换，而href则是引用，用于当前文档和引用资源之间的关系建立。
--{{ data.src }}--> {{ data.title...浏览器中html解析如下 ?...必须使用绝对路径引用这些文件，这是通过config.js文件中的build.assetsPublic和build.assertsSubDirectory链接来确定的。...--{{ data.src }}--> {{...浏览器中html解析如下 ? webpack打包之后src路径
│ │ ├─pawcmprs │ │ │ └─SRC │ │ ├─pawcomn │ │ │ └─SRC │ │ ├─pawdsm │ │ │ └─SRC │ │ ├─pawrem │...│ │ └─SRC │ │ ├─pawsess │ │ │ └─SRC │ │ └─pawterm │ │ └─SRC │ └─Source │ ├─COLLECT.BIN │ │ └─...SRC │ ├─Include │ │ └─Src │ ├─INF │ │ └─SRC │ ├─Nobuilds │ │ └─Src │ ├─npawhelp │ │ └─SRC │...│ └─OLD │ ├─npawrem │ │ └─SRC │ ├─pawcmprs │ │ └─SRC │ ├─pawcomn │ │ └─SRC │ ├─pawdsm │ │ └─SRC...│ ├─pawhelp │ │ └─SRC │ │ └─OLD │ ├─pawrem │ │ └─SRC │ ├─pawsess │ │ └─SRC │ ├─pawtcp │ │ └
如何挖src 0x01 信息收集？
localhost:8000/********' because it violates the following Content Security Policy directive: "media-src...当做出以下设置的时候，问题得到解决： default-src 'unsafe-inline' 'self'; script-src 'unsafe-eval' 'unsafe-inline' 'self...';style-src 'unsafe-inline' 'self';img-src 'self' https://t;media-src * blob:; 这里的前面的限制暂且不考虑，关键是针对media-src...具体详细的Content-Security-Policy的知识点，及其不同的限制策略和设置，可以在mozilla的开发网站中得到相关信息。 ?...media-src中对应的scheme-source的定义和使用，从这个我们可以了解到，scheme-source并不仅仅指 https和http。
H5中新增的一个属性： 让标签可以编辑的属性 contenteditable="true" 即使是一个div也可以编辑文字； <
0x01 今天分享一些实用的BurpSuite插件实用技巧，帮助白帽子如何在竞争激烈的src挖掘中吃上一块肉。...ssrf-King在BurpSuite中实现自动化SSRF检测 推荐插件：ssrfking 支持扫描和自动发现SSRF漏洞 https://github.com/ethicalhackingplayground.../ssrf-king/ 首先使用bp中自带的类似于dnslog的工具Burp Collaborator生成地址 打开 Collaborator 客户端 加载功能插件SSRF-King，把我们的地址填入即可...2.Schema 用于描述接口获取数据的逻辑，类比RESTful中的每个独立资源URI。...我们通常在实战中遇到graphql，GraphQL内置了接口文档，你可以通过内省的方法获得这些信息，如对象定义、接口参数等信息。
iYVBruFnAbYj（访问码：lqt6） ☆文章版权声明☆ * 网站名称：obaby@mars * 网址：https://h4ck.org.cn/ * 本文标题： 《KASPERSKY 2008 SRC...[古董]》 * 本文链接：https://h4ck.org.cn/2020/10/kaspersky-2008-src%e5%8f%a4%e8%91%a3/ * 转载文章请标明文章来源，原文标题以及原文链接
Norton AntiVirus 是一套强而有力的防毒软件，它可帮你侦测上万种已知和未知的病毒，并且每当开机时，自动防护便会常驻在System Tray，当你从磁盘、网路上、E-mail 夹档中开启档案时便会自动侦测档案的安全性...│ │ │ ├─LIB.IRA │ │ │ └─SRC │ │ ├─INCLUDE │ │ │ └─SRC │ │ ├─ISHIELD3 │ │ │ └─SRC │ │ ├─ISNAVNT...LIB.IRA │ │ └─SRC │ ├─INCLUDE │ │ └─SRC │ ├─ISHIELD3 │ │ └─SRC │ ├─ISNAVNT │ │ └─SRC │ ├─ISUSER...│ ├─LIVEUPDATEI │ │ └─src │ ├─LUADMIN │ │ ├─LIB.BIN │ │ └─SRC │ ├─LUADMIN.AXP │ │ └─SRC │ ├─...│ │ │ └─src │ │ ├─navntutl │ │ │ └─src │ │ ├─nobuilds │ │ │ └─src │ │ ├─scandlvr │ │ │ └─src
各路SRC的迅速崛起，无疑给广大白帽子带来了福音与福利。...0x01 常规操作--官方域名 基本上SRC都会提供相关域名，常以 *.xx.oo 形式告诉一级域名。...如果SRC一级域名不多，直接在kali下 dnsenum xx.oo ，如果一级域名很多，写个py调用dnseum或dig也是轻松+愉快。...0x04 常规操作--指纹识别 在这个过程中，可以加入端口扫描、敏感文件扫描之类的操作。 ?...如果把上一篇公众号文章“运维安全那些洞”中的漏洞部分或全部自动化，那么就可以坐收渔翁之利。 0x05 常规操作？--历史漏洞 现在可以从wooyun镜像站点搜索相关漏洞。
1.资产收集 1.1业务范围 巧用搜索引擎首推谷歌查看了解SRC旗下涉及到的业务，收集其对应的业务下的域名，再进一步进行挖掘，如： ? ? 整理，再进行常规资产收集 ?...目前发现关于这部分没有发现比较好的收集工具或脚本，因此打算写一个，目前还正在编写中，主要基于chrom协议、pyppeteer框架动态触发爬取包含ajax以尽可能的收集到url、接口、域名： a)网站源码涉及到的子域名...ur接口资产爬取 b)网站源码js中包含的请求或拼接的访问接口 c高级功能）url接口中json信息泄漏识别 备注：该部分的具体内容将在下一篇文章【谈js静态文件在漏洞挖掘中的利用】继续更新 1.4其他业务查找...sflag=1修改response中uid，服务端没有校验客户端提交的uid与授权成功的uid相同) 8.总结 在挖洞的过程中还是比较注重有耐心，细心测试更多参数、同时也需要我们不断的交流学习新思路，才会有更进一步的收获
被编码了添加一个链接然后发表，并进行抓包将href值修改为javascript:alert(1);成功弹框，也就是说有些标签的不会被编码再找一个绕过方式添加一个图片然后发表，并进行抓包修改为结果并没有出现弹框，查看前端代码，onerror被替换为空了尝试双写绕过onerroonerrorr，让中间的
（直接IP访问） 这时候访问网站则需要使用Apache的 httpd.conf配置中的ServerName里指定的值才能够正常访问。 ? (使用域名访问） ?...（公网DNS服务器无法解析内部自定义域名） 大概了解一下DNS解析过程 1.在浏览器内部中查看是否有缓存 2.在本机hosts文件中查看是否有映射关系 3.本地DNS缓存（ipconfig /displaydns...） 4.本地DNS服务器 5.跟域服务器 通俗点讲 当用户在浏览器中输入一个需要访问的网 址时，浏览器会查看自身是否有缓存，没 有系统则会检查自己的Hosts文件中是否 有这个域名和IP的映射关系。...部分VUE站点，还可以通过F12查看webpack打包前的前端代码，可从注释中获取敏感信息。 ? ?...永远不知道程序员会在JS中给你留下了什么样的惊喜。
1、src 属性它的值是图像文件的 URL，也就是引用该图像的文件的的绝对路径或相对路径。 绝对路径：指向其他站点（比如 src=“www.example.com/example.js”）。...相对路径：指向站点内的文件（比如 src="/scripts/example.js"）。 2、alt 属性指定了替代文本，用于在图像无法显示或者用户禁用图像显示时，代替图像显示在浏览器中的内容。...3、align 属性规定 div 元素中的内容的水平对齐方式。
因而在HTML5中，你可以随意使用下列任何语法。... Hello world ...Hello world Hello world 在HTML5中，我只要简单地把所有内容都包装在一个链接元素中就行了。...不要紧，但我可以告诉你，我认为这才是HTML5中这些新语义标记的真正价值所在。换句话说，我们现在有了独立的元素了，这些元素中的标题级别可以重新定义。
但这种技术虽然可达到双向通信，但依然需要发出请求，而且在Comet中，普遍采用了长链接，这也会大量消耗服务器带宽和资源。...面对这种状况，HTML5定义了WebSocket协议，能更好的节省服务器资源和带宽并达到实时通讯。WebSocket 是HTML5一种新的协议。它是实现了浏览器与伺服器的双向通讯。...目前为止，Chrome和Safari的最新版本浏览器已经支持WebSockets了（win8测试版中的IE10也是支持的）。...客户端 在支持WebSocket的浏览器中，可以直接在Javascript中通过WebSocket对象来实现通信。...onkey(event)" /> 68 Send 69 70 服务器端 在.Net 4.5中，
大家好，又见面了，我是全栈君 ImageView中XML属性src和background的差别： background会依据ImageView组件给定的长宽进行拉伸，而src就存放的是原图的大小。...src是图片内容（前景），bg是背景，能够同一时候使用。 此外：scaleType仅仅对src起作用。bg可设置透明度。...演示样例代码例如以下： <ImageView android:id=”@+id/img” android:src=”@drawable/logo” android:scaleType...注意：控制的图片为资源而不是背景，即android:src=”@drawable/logo”，而非android:background=”@drawable/logo”。...程序中动态载入图片也类似，如：应该imgView.setImageResource(R.drawable.*);而非imgView.setBackgroundResource(R.drawable.*)
对get，post，cookie传递过来的值过滤对一些sql语句关键字过滤or and && select if () union from等再加个云waf
所以在真的想要花点时间在SRC漏洞挖掘上的话，建议先选好目标。 那么目标怎么选呢，考虑到收益回报与付出的比例来看，建议是从专属SRC入手，特别在一些活动中，可以获取比平时更高的收益。...0x02 确认测试范围 前面说到确定测什么SRC，那么下面就要通过一些方法，获取这个SRC的测试范围，以免测偏。...3、爱企查 从爱企查等商业查询平台获取公司所属域名 搜索想要测试等SRC所属公司名称，在知识产权->网站备案中可以获取测试范围。...说真的，在渗透测试过程中，弱口令，YYDS！...1、首先在某个页面中，鼠标右键，选择检查 2、点击Application 3、在Frames->top->Scripts中能够获取当前页面请求到的所有JS 4、火狐浏览器的话，则是在调试中
记一下gulp.src()用法 语法 gulp.src(globs[, options]) globs:文件匹配模式(类似正则表达式)，用来匹配文件路径(包括文件名) options:可选参数。...) 匹配括号中给定的任一模式0次或多次，类似于js正则中的(pattern|pattern|pattern)* @(pattern|pattern|pattern) 匹配括号中给定的任一模式1次，类似于...js正则中的(pattern|pattern|pattern) 数组 使用数组匹配多种模式 js gulp.src(['js/*.js', 'css/*.css', '*.html']) 数组 + 排除...,排除模式不能出现在数组的第一个元素中 js gulp.src([*.js,'!...b*.js']) // 匹配所有js文件，但排除掉以b开头的js文件 gulp.src(['!
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
