登录公众号后，左侧菜单栏选择：开发 => 基本配置，直接复制开发者ID(AppID)即可：
JSFinder是一款优秀的github开源工具，这款工具功能就是查找隐藏在js文件中的api接口和敏感目录，以及一些子域名。
一、前言 近期，开始了一段辛酸的还未开始就已经结束的“创业”（参见我的第二次创业，以梦为马，莫负韶华）。大体上是开发了一款微信小程序，关于创业这件事情就不细说了，本文主要介绍一下开发小程序的过程中踩过的几个坑。 二、注册 开发一款功能全乎的小程序，在未动键盘开始码代码之前就要涉及到账号注册、微信认证、支付申请等等，这里面也有一些坑。 首先是必须要企业认证才能有微信支付功能，以个人名义申请不能进行支付。微信认证还算容易，只需要支付300元即可。支付申请的时候会让你选择需要申请的经营种类，此处如果与企业执照上相
目前在读大学生，挖过半年SRC，发现实验室刚入的大一新生有大多数都不是很了解某个具体网站的漏洞要如何挖掘，想借这篇文章总结一下漏洞挖掘的基本步骤。
随着web安全从业人员的增多，很多人都有个疑问：怎么洞越来越难挖了!!?大网站是不是没有这些漏洞!!? 原因是多样性的，一方面是漏洞隐藏的越来越深，另一方面是网站的架构正在发生改变；所以我们除了要提
最近诸事缠身好久没有写文章了。前不久将与微信公众号有关的一些知识点进行了梳理，微信公众号开发过程中，用最多的就是微信js-sdk了。但是使用微信js-sdk需要获取签名、时间戳、随机字符串，等等一系列的参数，那问题就来了，这些参数是由后端提供能，还是前端自己获得呢？当然是先由后端获，然后向前端工程师提供一个接口，只不过这个接口返回的是jsapi_ticket还是计算好的签名signature，这个就得由前后端工程师协商了，一般为了方便，我的做法是直接返回计算好的签名。
1.绑定域名： 登录微信公众平台 –> 公众号设置 –> 功能设置 –> 填写“JS接口安全域名”
本篇文章探讨“基于 Webview，如何在 App 内实现带离线包能力的 H5”。在当下这个主题似乎有些过时，但 H5 技术以其良好的跨端一致性，长期来看会占据一席之地，希望整理一个较完整的方案，从基本的实现原理到业务具体应用，让不了解的同学对“离线 H5"有一个较完整的视角。
版权声明：本文为博主原创文章，未经博主允许不得转载。 https://blog.csdn.net/u011415782/article/details/80944832
8 月 9 日的时候 WPS 官方发布了一条代码执行漏洞的安全通告, 另外根据收到的样本和各类通告，发现在今年的攻防演练期间先后三次发生了不同的针对 WPS 利用链的代码执行攻击。通过我们的研究分析发现，该系列的漏洞都因为在 docx 文档中插入了一个浏览器对象 WebShape，由于 WPS 使用了 Chrome 嵌入式框架（CEF），该对象可以直接调用 Chrome 渲染 Html 网页，这三次都是因为 WPS WebShape 漏洞造成的攻击事件，分别为：
天气逐渐变凉,但渗透测试的热情温度感觉不到凉,因为有我们的存在公开分享渗透实战经验过程,才会让这个秋冬变得不再冷，近期有反映在各个环境下的目录解析漏洞的检测方法,那么本节由我们Sine安全的高级渗透架构师来详细的讲解平常用到的web环境检测点和网站漏洞防护办法。
因为一个正确的url必定是由http://或者是https://、domain、路径/参数组成，所以可以用split以/进行分割成数组，取第3部分就是域名了。
一、将样式表放在顶部 可视性回馈的重要性 进度指示器有三个主要优势——它们让用户知道系统没有崩溃，只是正在为他或她解决问题；它们指出了用户大概还需要等多久，以便用户能够在漫长的等待中做些其他事情；最后，它们能给用户提供一些可以看的东西，使得等待不再是那么无聊。最后一点优势不可低估，这也是为什么推荐使用图形进度条而不是仅仅以数字形式显示预期的剩余时间。在Web的世界里，Html页面的逐步呈现就是很好的进度指示器。 将没有立即使用的css放在底部是错误的做法 通常组件的下载是按照文档中出现的顺序下载的，所以将不
抓文档的正文非常简单，使用GNE高级版，只要有URL直接就能抓取下来，如下图所示：
这个只能算个思路~~~ 我相信大家也知道，所有前端页面的源码都是开源的，自己辛辛苦苦写的脚本，被人一个复制，作品就完了，经过10多天的苦思冥想，我自己想出了一个脚本，那就是在自己的前端页面留下后门，如果别人把你的源码复制走了，那么就对对方进行CC反击
CWFF是一款专用于模糊测试的自定义字典工具，该工具可以帮助广大研究人员以高速并发的形式创建一个特定的高质量模糊测试/内容发现字典。
使用JSSDK主要包括 1、判断当前客户端版本是否支持指定JS接口、 2、分享接口（微信认证） 3、图像接口 4、音频接口 5、智能接口（识别语音并返回结果） 6、设备信息（获取网络状态） 7、地理位置 8、界面操作 9、微信扫一扫 10、微信小店（服务号必须通过微信认证） 11、微信卡券 （微信认证） 12、微信支付（服务号必须通过微信认证）
通常我们写了一套自适应的 web 程序,想在多种环境中使用.比如 app 里,微信小程序里,各种 app 分享中, 假如只是能使用 app 浏览,问题不大,但是要在被嵌入 app 里面和 app 本身交互,就要做各种折腾, 如是就有了本文.
进入路径：登录公众平台后台==>公众号设置==>功能设置==>设置JS接口安全域名
SSO系统就是解决分布式环境下登录问题的，本质上是解决分布式环境下Session共享问题。
什么是Ajax？ Ajax是一种可以与服务器交换数据并更新部分页面内容，同时可以在不让整个网页重新加载的情况下更新网页的一种技术 Ajax请求过程： 1：创建一个异步对象 var xmlHttp = new XMLHttpRequest(); 2：设置请求方式和请求地址 /* 参数顺序，描述 （1）method：请求的类型；GET 或 POST （2）url：文件在服务器上的位置 （3）async：true（异步）或 false（同步） （一般为true，因ajax的精髓就是
浏览器在我们日常工作、学习中经常会使用到，有时候遇到页面请求过多，页面卡顿需要好长一段时间才能加载完成，有没有想过这是什么原因？和我们本文将要讨论的并发数有什么关系？
大家好，又见面了，我是你们的朋友全栈君。 1. 开发前准备 1.1 注册微信公众平台账号 进入的网址：https://mp.weixin.qq.com。 测试号（网址：https://mp.
很多网站的资源后面都加了版本号，这样做的目的是：每次升级了 JS 或 CSS 文件后，为了防止浏览器进行缓存，强制改变版本号，客户端浏览器就会重新下载新的 JS 或 CSS 文件 ，以保证用户能够及时获得网站的最新更新。
通过 http 模块提供的 http.createServer() 方法，就能方便的把一台普通的电脑，变成一台 Web 服务器，从而对外提供 Web 资源服务。
前段时间需要快速做个静态展示页面，要求是响应式和较美观。由于时间较短，自己动手写的话也有点麻烦，所以就打算上网找现成的。
如果你是使用Burp Suite来进行测试，就可以通过多种方式来收集应用程序中的所有JavaScript文件。这也是俺比较喜欢的一种方式
通过反向代理再加上缓存,现在很容易就能把别人的站给镜像克隆,这样会造成你网站被搜索引擎判断重复内容而降权,这样对于原创站点真的很不公平,虽然可以通过查询对方网站IP,然后在服务器上禁止这个IP的方法来禁止,但是对可以经常更换IP的对方网站或者对方套了CDN,就比较难操作,其实还可以再综合下面做法:
CDN的全称是Content Delivery Network，即“内容分发网络”，它是构建在现有网络基础之上的智能虚拟网络，依靠部署在各地的边缘服务器，通过中心平台的负载均衡、内容分发、调度等功能模块，使用户就近获取所需内容，减低网络阻塞，提高用户访问响应速度和命中率。
XSRF 又名 CSRF (opens new window)，跨站请求伪造，它是前端常见的一种攻击方式，我们先通过一张图来认识它的攻击手段。
本文介绍了在 Web 页面中实现跨域的常见方法，包括使用 CORS、使用 JSONP、使用代理服务器等，并给出了具体的代码示例和案例分析。同时，本文还探讨了在跨域请求中可能遇到的难题和解决方案，包括同源策略、CORS 的配置、缓存问题等，并给出了相应的解决方案。
什么是毒汤日历 毒汤日历是一本有毒的日历，每天用毒鸡汤来唤醒你。 你甚至不用打开日历，打开 App 的推送，每天会定时送上一杯毒鸡汤。 自己也能制作毒鸡汤？那太好了，毒性够强，如果让别人扎到心你就厉害
1.先看效果图，随便抓的信息 [1.jpg] [2.jpg] 2.解析 ，fiddler抓包工具的配置大家自己百度吧，教程都很详细 3.打开fiddler和模拟器，在模拟器打开哔哩哔哩软件，fiddler我是通过查找分析之后之后过滤的域名 [3.jpg] 4.我们通过打开b站的相应版块，然后进行往下翻页之后，fiddler就会根据我之前选择过滤的域名给我标黑 [4.jpg] 5.我们点开其中一条标黑的url，然后和b站软件的进行对比，发现我们需要的信息都可以抓取出来 [5.jpg] 6.我们可以通过这两条u
在互联网早期，网络爬虫仅仅应用在搜索引擎中。随着大数据时代的到来，数据存储和计算越来越廉价和高效，越来越多的企业开始利用网络爬虫来获取外部数据。例如：获取政府公开数据以进行统计分析；获取公开资讯以进行舆情和热点追踪；获取竞争对手数据以进行产品和营销优化等等。
为了提高网站的访问速度，现在一般会将静态资源放在 CDN 下，而不是放在网站的域名之下。以腾讯课堂为例，其域名为 ke.qq.com，打开控制台，访问 ke.qq.com，我们可以看到 js 文件放在了 CDN 7.url.cn 下，css 文件放在了 CDN 8.url.cn 下。尽管 CDN 的服务可用性一般宣称 99.9% 甚至 99.999%，然而实际上监测结果比该数值要小一些。为了应对这种情况，需要做到当发现 css 或 js 文件从 CDN 加载失败时，能再次从网站的域名加载。
漏洞简单介绍：服务端未对传入的跳转URL变量进行检查和控制，导致可恶意构造任意一个恶意地址，诱导用户跳转到恶意网站。由于是从可信的站点跳转出去的，用户会比较信任，所以跳转漏洞一般用于钓鱼攻击，通过转到恶意网站欺骗用户输入用户名和密码盗取用户信息，或欺骗用户进行金钱交易。
HTTP严格安全传输（HTTP Strict Transport Security, HSTS）chromuim实现源码分析（二） HTTP strict transport security (HSTS) is defined in http://tools.ietf.org/html/ietf-websec-strict-transport-sec HTTP-based dynamic public key pinning (HPKP) is defined in http://tools.ietf.o
什么是毒汤日历？毒汤日历是一本有毒的日历，每天用毒鸡汤来唤醒你。 你甚至不用打开日历，打开 App 的推送，每天会定时送上一杯毒鸡汤。 自己也能制作毒鸡汤？那太好了，毒性够强，如果让别人扎到心你就厉害了。 每条毒汤可以点扎心、发毒评，或者转发给别人，让别人也扎扎心。
上一篇文章这个高颜值的开源第三方网易云音乐播放器你值得拥有介绍了一个开源的第三方网易云音乐播放器，这篇文章我们来详细了解一下其中使用到的网易云音乐api项目NeteaseCloudMusicApi的实现原理。
如上图，如果不做相关处理，页面进行二次分享，用户看到的就是链接＋空图，上面显示的文案（考拉阅读）实际上是获取的title标签中的文案，我在网上查的相关例子有说明，图片如果不设置，将会自动获取浏览器渲染的第一张图片，经过个人测试，并没有实现（朋友圈同理，不做图片展示）。
前言 这里主要是讲如何快速扫描到有问题的flash文件，用于批量，有时候很笨的方法也会有奇效，下面记录一下在实现过程中的一些思路和遇到的一些坑。 第三方插件 通过自己为数不多的网站渗透的经验，发现了两
简介 在平时的安全测试中，信息收集是非常重要的一部分，信息收集之前少不了最重要的一步，就是判断网站是否使用了CDN。在测试过程中，如果目标使用了CDN 服务，将会影响到后续的安全测试过程。 方法 判断CDN的方法有很多种，在这里主要来讲解用nslookup判断并实现批量判断的目的。 使用nslookup，如果目标有CDN服务的话，那么将会返回多个IP地址（>=2个）。 nsllokup www.xxxx.com 可以清楚的看到该域名返回了两个地址，可以判断该域名使用了CDN服务。 我们的目的就是用
自动触发服务器脚本，自动打包，更新 1.把github上的项目克隆到本地 2.初始化项目，用node.js搭建环境，是已经过时的项目了 3.安装模块 4.进入微信开发者平台 https://open.weixin.qq.com/ 5.g82.jscook.cn 怎么保存啊？ 6.搭建服务？ 执行node.js,访问 看端口监听好了没有：在谷歌里 在static里面写一个html静态文件：helloword; 文件是怎样访问到的？ 把文件映射到接口中 cat 来查看文件，要是没有，就创建一个 Svon(5
接下来给大家介绍一个封装的函数，可以通过这个函数将一个url地址中的查询字符串提取出来，并且转换为一个对象。
在我们写文章(博客、公众号、自媒体)的时候，常常觉得自己的文章有些老土，这很大程度是因为配图没有选好。本文将和大家分享一个实用爬虫案例！
XSS 攻击指的是跨站脚本攻击，是一种代码注入攻击。攻击者通过在网站注入恶意脚本，使之在用户的浏览器上运行，从而盗取用户的信息如 cookie 等。
一、前言 威胁情报作为信息安全领域一个正在茁壮成长的分支，在当下依旧处于混浊状态。即网络中存在着大量的所谓“情报”，它们的结构不同、关注方向不同、可信度不同、情报内容不同、情报的来源也是千奇百怪。这使得威胁情报在实际的运用中面临许多问题，而这其中的关键问题在于，在现阶段无法统一有效的提取出威胁情报中能够应用的关键信息。 为了在一定程度上解决这一问题，我们做了一点微小的工作，通过爬取网上已经公开的威胁情报内容，提取其中的域名、URL、IP等数据，作为威胁情报库的基础数据。由此可以看出，威胁情报库的丰富，在于情
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
