在一次漏洞挖掘过程中，我发现 callback=jsonp_xxx 或者 callback=jQuery_xxx 这类格式的URL存在 XSS 漏洞，当时没有自己研究具体是怎么回事
打开VLC，点击媒体 -> 打开网络串流，添加网络流媒体链接： rtsp://wowzaec2demo.streamlock.net/vod/mp4:BigBuckBunny_115k.mp4
一、什么是防盗链 网站资源都有域的概念，浏览器加载一个站点时，首先加载这个站点的首页，一般是index.html或者index.php等。页面加载，如果仅仅 是加载一个index.html页面，那么该页面里面只有文本，最终浏览器只能呈现一个文本页面。丰富的多媒体信息无法在站点上面展现。 那么我们看到的各类元素丰富的网页是如何在浏览器端生成并呈现的？其实，index.html在被解析时，浏览器会识别页面源码中的 img，script等标签，标签内部一般会有src属性，src属性一般是一个绝对的URL地址或者相
1. 概述 上段时间一直忙于处理大会安全保障与应急，借助公司云悉情报平台，发现并处置几十起网站被劫持的情况。对黑客SEO技术颇有感觉。正好这段时间有时间，把以前遇到比较有趣的案例和大家分享一下。里面很多技术其实早已被玩透，只是网上搜了一下并无太多这方面的介绍。所以在这里共享一下相关的案例，案例主要分享一下思路。 1.1 原理 网站劫持是一个相对古老的技术，主要是黑帽用来做SEO用。实现网站劫持如果以下步骤: 入侵相关网站 然后在网站中插入JS或修改其配置文件，增加相应的劫持代码。另外一般会加入判断条件，判
现在基于WEB页面的网络游戏越来越流行，由于是基于HTTP的，因此应该可以用LoadRunner来开发外挂。今天略为试了一下，证实是可行的。
通过调整nginx配置，解决error中的大量报错提示。通过过滤js等静态资源减少大量的access日志记录内容。
有些产品为了防止自己的产品被盗链访问，会采用反盗链措施，如封闭型生态的音乐网站和视频网站，他们已经为了版权付费，自然不希望你免费使用他们的资源。但因为很多人专门研究盗链，因此我们也需要了解下盗链、反盗链和逃避反盗链的原理。
前后端分离的项目，前端使用Vue，后端使用Spring MVC。 显然，需要解决浏览器跨域访问数据限制的问题，在此使用CROS协议解决。 由于该项目我在中期加入的，主要负责集成shiro框架到项目中作为权限管理组件，之前别的同事已经写好了部分接口，我负责写一部分新的接口。 之前同事解决跨域问题使用Spring提供的@CrossOrigin注解：
留言板有个来源的字段，用来获取网页的地址。测试时发现在谷歌Chrome浏览器中，可以正确获取到网址来源，然后用火狐Firefox浏览器，却无法正确获取到网址来源。因为后台使用的是PHP，留言成功之后通过JS弹出alert提示框，然后再通过location.href跳转回留言页面。
攻击者在入侵网站后，常常会通过恶意劫持流量来获取收益，从而实现流量变现。有一些黑帽劫持的手法堪称防不胜防，正常的访问行为很难发现异常。今天给大家分享一下常见的网站劫持手法和排查思路。
Fiddler抓取内容自动保存本地 一.点击FidderScript 二.选择你想要的获得内容的方法 OnBeforeRequest:发送请求后 OnBeforeResponse:获得响应 三.修改j
从msdn得知，WinHttp.WinHttpRequest.5.1 是 msxml 4.0 的底层对象，也就是说 XMLHTTP/ServerXMLHTTP 也是在它的基础上封装而来。用 WinHttpRequest 发的请求，连 Fiddler 也监测不到，看来确实是比较底层的东西。
完成了代理这个大模块的学习，我们继续其它 Nginx 中 HTTP 相关的模块学习。今天的内容都比较简单，不过最后的来源处理非常有用，可以帮我们解决外链问题。另外两个其实大家了解一下就好。
前言 本文只针对比较流行的跳转型暗链作为研究对象，其他类型的暗链暂时不做讨论。只对bypass进行讨论，不涉及检测工具的编写。本着不知功焉知防的思想，从绕过XSS过滤的角度对暗链检测提出一些新的idea。 跳转型暗链的一般模式 暗链模式一：见人说人话 如今很多的被植入暗链的网站都有一个奇怪的现象，就是通过地址直接访问不会跳转到非法网站，但是通过搜索引擎搜索关键字才会跳转到非法网站。 这种一般是通过JS的document.refere字段来实现的: HTTP Header referer这玩意主要是告诉人们
说明：safe1.html,safe2.html,safe3.html;fish1.html/fish2.html/fish3.html 的区别仅在于请求接口不用。
在一开始,我打算将其他网站的图片放在自己的网站（http://localhost…）上显示.
一个完整的域名由二个或二个以上部分组成，各部分之间用英文的句号”.”来分隔，最后一个”.”的右边部分称为顶级域名（TLD，也称为一级域名），最后一个”.”的左边部分称为二级域名（SLD），二级域名的左边部分称为三级域名，以此类推，每一级的域名控制它下一级域名的分配。定义是这样的，在域名中包含两个点的，就叫二级域名，只包含一个点的，就是一级域名。
之前在《关于 WEB/HTTP 调试利器 Fiddler 的一些技巧分享》中系统的介绍过 Fiddler 的原理与一些常见技巧，但那篇文章只是入门科普，并不深入，今天要介绍到的内容相对更加高级与深入，扩展性更好，功能更加强大。 1、Fiddler Script 1.1 Fiddler Script简介 在web前端开发的过程中，fiddler是最常使用的一款调试工具。在大多数情况下，通过fiddler默认菜单的功能就可以基本满足开发者的调试需求，然而如果需要满足更复杂的调试场景时，单纯通过fiddler菜单
AgileConfig的UI使用react重写快完成了。上次搞定了基于jwt的登录模式（AntDesign Pro + .NET Core 实现基于JWT的登录认证），但是还有点问题。现在使用react重写后，agileconfig成了个确确实实的前后端分离项目。那么其实部署的话要分2个站点部署，把前端build完的静态内容部署在一个网站，把server端也部署在一个站点。然后修改前端的baseURL让spa的api请求都指向server的网站。 这样做也不是不行，但是这不符合AgileConfig的精神，那就是简单。asp.net core程序本身其实就是一个http服务器，所以完全可以把spa网站使用它来承载。这样只需要部署一个站点就可以同时跑spa跟后端server了。 其实最简单的办法就是把build完的文件全部丢wwwroot文件夹下面。然后访问：
当我们的css，js文件等内容没有通过CDN进行分发时。默认将会通过我们的本地服务器进行加载。例如当前博客网站样式，为了确保稳定。css和js等文件配置全部存储在了本地。
1.nginx的优化 全局配置优化：修改系统ulimit限制/etc/security/limits.conf
补充知识：Django 前后端分离跨域AJAX获取csrftoken及获取cookie时遇到的问题
今天北哥就给大家普及下csrf是啥？如果你已经知道了可以直接拉文章到底部点个赞。:smile:
通常站点，都会想让自己网站的视频和图片，免被盗用，毕竟视频流量，花的都是白花花银子 首先我们没有配置防盗链的情况下，放开静态资源你的访问。我们来看看效果
referrer policy是unsafe url的，ok，下面介绍一下Referer和referrer policy
从网络开始的那一刻起，爬虫就肩负了她的使命，数据收集！尤其是大数据时代的到来，越来越多的企业认识到数据的重要性，数据成了一个企业的重要资产，数据的多样性给了爬虫更高的使命。今天我们来探讨一下常见爬虫的攻防策略，对大家设计爬虫和反爬虫有一定的指导作用！
在渗透测试中，经常能够遇到这样一种XSS漏洞，它通常存在于比较隐私的个人信息配置等等功能中，有一个非常鲜明的特点就是“只有自己可见，别人不可见”，XSS漏洞只能攻击自己自然是毫无价值的，因此此类Self-XSS几乎不会被SRC所接受。本文通过对一个在线游戏平台的测试经历，提供一种攻击思路，把原本无害的Self-XSS漏洞与其它漏洞结合起来打组合拳，从而实现无害漏洞从无害到高危的利用。
Izy发现，当我们通过第三方APP“快手”，将信息分享到微博时，信息内容就会造成一个XSS。当用户在ipad版微博客户端上查看这条微博的时候，即触发。我们这次的目的就是让这个存储型XSS变成蠕虫。
简言之，HTTP Referer是header的一部分，当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器我是从哪个页面链接过来的，服务器籍此可以获得一些信息用于处理。比如从我主页上链接到一个朋友那里，他的服务器就能够从HTTP Referer中统计出每天有多少用户点击我主页上的链接访问他的网站。
在本文中，我以 https://gitee.com/Topcvan/js-notes-img/raw/master/%E5%AE%8F%E4%BB%BB%E5%8A%A1%E9%98%9F%E5%88%97.png 这个图片为例，重现下事发过程。
然后访问你的域名看一看是否成功镜像，需要注意的一点是，如果被镜像的网站设置了防盗链，那么静态文件(js/css/图片)可能无法显示，这就没办法了。
nginx反向代理的指令不需要新增额外的模块，默认自带proxy_pass指令，只需要修改配置文件就可以实现反向代理。
后台服务端没有对输入的参数进行过滤, 直接任选一个注入xss payload即可:
Apache访问日志 : 访问日志：顾名思义就是当有人访问咱们的站点，就会被记录些信息！其实这个还是蛮重要，尤其是站点受到攻击，直接命令的日志可以让我们迅速找到攻击者IP的规律！ 根据咱们之前的配置，访问日志如下： <VirtualHost *:80> DocumentRoot "/data/wwwroot/test3.com" ServerName www.test3.com ServerAlias www.haha.com #<Directory /data/wwwroot
防盗链，就是防有人盗用你的链接。别人在他的网站上引用了你的资源(图片,音频)，这样就会浪费你的流量，资源被引用的多了起来，你这边的服务器可能就扛不住挂了，你说这是多么悲哀的事情！
XSS 又叫 CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往 Web 页面里插入恶意 html 代码，当用户浏览该页之时，嵌入其中 Web 里面的 html 代码会被执行，从而达到恶意用户的特殊目的。它与 SQL 注入攻击类似，SQL 注入攻击中以 SQL 语句作为用户输入，从而达到查询 / 修改 / 删除数据的目的，而在 XSS 攻击中，通过插入恶意脚本，实现对用户游览器的控制，获取用户的一些信息。原理是 WEB 应用程序混淆了用户提交的数据和 JS 脚本的代码边界，导致浏览器把用户的输入当成了 JS 代码来执行。XSS 的攻击对象是浏览器一端的普通用户。
为什么要搞个防盗链，难道怕自行车被偷吗？现在知识都共享了，还担心什么数据被别人使用吗！
本文章中所有内容仅供学习交流使用，不用于其他任何目的，不提供完整代码，抓包内容、敏感网址、数据接口等均已做脱敏处理，严禁用于商业用途和非法用途，否则由此产生的一切后果均与作者无关！
在electron-vue中配置跨域代理无效，经排查是因为在webpack中绕过了proxyTable，那么应该如何进行配置？
公众号爬取今日头条的那一期，不少小伙伴反应爬取下来的图片无法查看或者爬取不了，小詹也重新试了下，的确是的，写那篇推文的时候，头条还比较友好，没有添加反爬措施，大概是爬取的朋友太多，对其造成了极大的压力吧，添加了某些反爬技术，然而，上有政策，下有对策，粉丝群有小伙伴改写了程序并添加了反反爬策略进行了妹子的爬取~
CC攻击（Challenge Collapsar）CC攻击的本名叫做HTTP-flood，是一种专门针对于Web的应用层flood攻击，攻击者操纵网络上的肉鸡，对目标Web服务器进行海量http request攻击，造成对方服务器资源耗尽，一直到宕机崩溃。
转载地址：https://blog.51cto.com/ucode/1750564
现在很多Web项目都是前后端分离的形式，现在浏览器的功能也是越来越强大，基本上大部分主流的浏览器都有调试模式，也有很多抓包工具，可以很轻松的看到前端请求的URL和发送的数据信息。如果不增加安全验证的话，这种形式的前后端交互时候是很不安全的。
一、将样式表放在顶部 可视性回馈的重要性 进度指示器有三个主要优势——它们让用户知道系统没有崩溃，只是正在为他或她解决问题；它们指出了用户大概还需要等多久，以便用户能够在漫长的等待中做些其他事情；最后，它们能给用户提供一些可以看的东西，使得等待不再是那么无聊。最后一点优势不可低估，这也是为什么推荐使用图形进度条而不是仅仅以数字形式显示预期的剩余时间。在Web的世界里，Html页面的逐步呈现就是很好的进度指示器。 将没有立即使用的css放在底部是错误的做法 通常组件的下载是按照文档中出现的顺序下载的，所以将不
开通CDN服务 开通路径，顶部导航条—基础–CDN与加速 开通步骤根据提示一步一来就行了，不做过多介绍。 添加接入域名 点击确定，自动跳到接入界面，如果没有，可以点击 下图中的 添加域名 按钮。 📷
-多年互联网运维工作经验，曾负责过大规模集群架构自动化运维管理工作。 -擅长Web集群架构与自动化运维，曾负责国内某大型金融公司运维工作。 -devops项目经理兼DBA。 -开发过一套自动化运维平台（功能如下）： 1)整合了各个公有云API，自主创建云主机。 2)ELK自动化收集日志功能。 3)Saltstack自动化运维统一配置管理工具。 4)Git、Jenkins自动化代码上线及自动化测试平台。 5)堡垒机，连接Linux、Windows平台及日志审计。 6)SQL执行及审批流程。 7)慢查询日志分析web界面。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
云直播
对象存储
