以下是一篇不完整的文章，主要记录了在审计过程中的一些记录，在面对这类复杂的代码审计的时候，一旦被打断或者过后重新复习都会花费巨大的代价，所以这次稍微记录了一下结构。
本文介绍了mXSS漏洞的基本概念、危害以及三个典型的mXSS漏洞案例。作者通过分析这些案例，强调了XSS漏洞的危害性以及mXSS漏洞的复杂性和隐蔽性。同时，对于开发人员来说，了解mXSS漏洞的原因和危害，有助于在开发过程中避免类似的漏洞产生，提高网络的安全性。
后台服务端没有对输入的参数进行过滤, 直接任选一个注入xss payload即可:
一个月前刷了XSSchalleng以为自己已经算是入门了XSS了，但是在我挖洞碰到有可能存在XSS漏洞网页的时候，发现我只能记起来<script>alert('xss')</script>
不论是服务器端或客户端的XSS过滤器，都认定过滤后的HTML源代码应该与浏览器所渲染后的HTML代码保持一致，至少不会出现很大的出入。然而，如果用户所提供的富文本内容通过javascript代码进属性后，一些意外的变化会使得这个认定不再成立：一串看似没有任何危害的HTML代码，将逃过XSS过滤器的检测，最终进入某个DOM节点中，浏览器的渲染引擎会将本来没有任何危害的HTML代码渲染成具有潜在危险的XSS攻击代码。随后，该段攻击代码，可能会被JS代码中的其它一些流程输出到DOM中或是其它方式被再次渲染，从而导致XSS的执行。 这种由于HTML内容进后发生意外变化（mutation，突变，来自遗传学的一个单词，大家都知道的基因突变，gene mutation），而最终导致XSS的攻击流程，被称为突变XSS（mXSS, Mutation-based Cross-Site-Scripting）。
首先，我要说SyntaxHighlighter插件的实现方式及应用示例，然后再说明如何将其应用到自己的博客，使博客的代码着色更加美观。
原理：每当执行npm run，就会自动新建一个 Shell，在这个 Shell 里面执行指定的脚本命令。因此，只要是 Shell（一般是 Bash）可以运行的命令，就可以写在 npm 脚本里面。
作者：蒋海滔，阿里巴巴国际事业部，高级技术专家，爱好Java/JavaScript，长期关注高性能、并发编程以及Web安全。 来自：高可用架构(ID:ArchNotes) 一，互联网web应用面临的主要威胁 1. XSS 跨站脚本攻击(Cross Site Scripting)， 即A站点的网页想办法跑到B站点上。 因为我们的网页都是javascript驱动的，所以js拥有非常大的权力。 XSS 可以大概分为三类(注意这三类不是排斥的)， DomXSS, 反射型XSS和存储型XSS。 首先Dom型XS
最近把博客从 Typecho 搬到了 Next.js + Vercel 驱动、Notion 为 CMS 的架构（使用 nobelium 搭建），其中评论区转到了 cusdis 作为后端。原博客有文章 112 篇，评论总量大约 1.2k 条，文章迁移手动操作还行，但评论数据的迁移经历了一些小坎坷，断断续续花了两个周末才弄完，也写一写其中踩过的坑，还有一些小小的心得。
JSX是快速生成react元素的一种语法，实际是React.createElement(component, props, ...children)的语法糖，同时JSX也是Js的语法扩展，包含所有Js功能。
总有人在抱怨如今的 JavaScript 开发变得多么多么复杂，这种现象并不罕见。当一个新人开始学习 JavaScript 的时候，其实我是对他抱有同情的。
node类型是DOMLevel 1中定义的，除了ie浏览器所有的浏览器都可以访问这个类型，在js中，所有的节点类型都继承node类型。
Virtual DOM是一棵以JavaScript对象作为基础的树，每一个节点可以将其称为VNode，用对象属性来描述节点，实际上它是一层对真实DOM的抽象，最终可以通过渲染操作使这棵树映射到真实环境上，简单来说Virtual DOM就是一个Js对象，是更加轻量级的对DOM的描述，用以表示整个文档。
XSS，CSRF,SSRF三种常见的Web服务端漏洞均是由于，服务器端对用户提供的可控数据过于信任或者过滤不严导致的。
支持 MySQL/MariaDB, Microsoft SQL Server, PostgreSQL, Redis, and ElasticSearch
被<![CDATA[]]>这个标记所包含的内容将表示为纯文本，比如<![CDATA[<]]>表示文本内容“<”。 此标记用于xml文档中，我们先来看看使用转义符的情况。我们知道，在xml中，”<”、”>”、”&”等字符是不能直接存入的，否则xml语法检查时会报错，如果想在xml中使用这些符号，必须将其转义为实体，如”<”、”>”、”&”，这样才能保存进xml文档。 在使用程序读取的时候，解析器会自动将这些实体转换回”<”、”>”、”&”。举个例子： <age> age < 30 </age> 上面这种写法会报错，应该这样写： <age> age < 30 </age> 值得注意的是： (1)转义序列字符之间不能有空格； (2) 转义序列必须以”;”结束； (3) 单独出现的”&”不会被认为是转义的开始； (4) 区分大小写。 在XML中，需要转义的字符有： (1)& & (2)< < (3)> > (4)＂ " (5)＇ ' 但是严格来说，在XML中只有”<”和”&”是非法的，其它三个都是可以合法存在的，但是，把它们都进行转义是一个好的习惯。 不管怎么样，转义前的字符也好，转义后的字符也好，都会被xml解析器解析，为了方便起见，使用<![CDATA[]]>来包含不被xml解析器解析的内容。但要注意的是： (1) 此部分不能再包含”]]>”； (2) 不允许嵌套使用； (3)”]]>”这部分不能包含空格或者换行。 最后，说说<![CDATA[]]>和xml转移字符的关系，它们两个看起来是不是感觉功能重复了？ 是的，它们的功能就是一样的，只是应用场景和需求有些不同： (1)<![CDATA[]]>不能适用所有情况，转义字符可以； (2) 对于短字符串<![CDATA[]]>写起来啰嗦，对于长字符串转义字符写起来可读性差； (3) <![CDATA[]]>表示xml解析器忽略解析，所以更快。
目前的网络环境，共享的数据要比以往任何时候都多，对于用户而言，必须注意在使用应用程序中可能遇到的相关风险。
相对于其他几种语言来说， PHP 在 web 建站方面有更大的优势，即使是新手，也能很容易搭建一个网站出来。但这种优势也容易带来一些负面影响，因为很多的 PHP 教程没有涉及到安全方面的知识。
在 mybatis 的 xml 文件中直接写 sql 比较方便简洁，但是需要注意的是，在 xml 文件中，经常会遇到一些需要转义的场景，比如查询 id < xxx的数据，这个小于号就不能直接写在 sql 中，接下来我们将看一下，mybatis 中的有哪些转义符，可以怎么处理转义问题
当将非受信数据作为参数传入时，确实存在XML注入（XML Injection）的风险，攻击者可以通过构造恶意的XML数据来修改XML文档结构或执行意外的操作。为了解决这个问题，你可以采取以下措施：
**原理：**将不受信任的数据作为命令或查询的一部分发送到解析器，会产生诸如sql注入、nosql注入、os注入和LADP注入的注入缺陷。攻击者的恶意数据可以诱使解析器在没有适当授权的情况下执行非预期的命令或的访问数据。
JSON常被拿来与XML做比较，因为JSON 的诞生本来就多多少少要有取代XNL的意思。相比 XML，JSON的优势如下:
最近博主看到了一款小而全的 Java 工具类库：Hutool，Github 已经接近 15K Star 了，想必一定很优秀，现在推荐给大家，很多轮子不要再造了！
环境说明：Windows10 + Idea2021.3.2 + Jdk1.8 + SpringBoot 2.3.1.RELEASE
本文使用「署名 4.0 国际 (CC BY 4.0)」许可协议，欢迎转载、或重新修改使用，但需要注明来源。 署名 4.0 国际 (CC BY 4.0)
不废话，直接正文 查询、编码、转义类： MD5：http://tool.chinaz.com/Tools/MD5.aspx TimeStamp： http://tool.chinaz.com/Tools/unixtime.aspx 加解密(AES、DES、RC4、Rabbit、TripleDes)： http://tool.chinaz.com/Tools/TextEncrypt.aspx Unicode编码： http://tool.chinaz.com/Tools/Unicode.aspx URL编码、
Hutool 是一个 Java 工具包类库，它可以对文件、流、加密解密、转码、正则、线程、XML等JDK方法进行封装，组成各种 Utils 工具类。
被<![CDATA[]]>这个标记，所包含的内容将表示为纯文本，比如<![CDATA[ < ]]>表示文本内容"<"。
漏洞知识库 网络安全/渗透测试/代码审计/ 关注 ExternalInterface.call第二个参数 讲完ExternalInterface.call的第一个参数，我们接着来讲第“2”个参数，之所以2打上引号，因为 call 函数的原型是：call(functionName:String, ... arguments):*， 即后面可以有很多很多个参数，我们统称为第2个参数。有时候我们会遇到ExternalInterface.call("xxxxx","可控内容");的情况，那么这种情况下，如何构造XS
本质上是 JavaScript 对象，这个对象就是更加轻量级的对 DOM 的描述。
除了XSS注入外，还存在XML注入、JSON注入和XPath注入三种代码注入情形。
在使用mybatis 时我们sql是写在xml 映射文件中，如果写的sql中有一些特殊的字符的话，在解析xml文件的时候会被转义。
最近看到了一款小而全的 Java 工具类库：Hutool，Github 已经接近 25K Star 了，想必一定很优秀，现在推荐给大家，很多轮子不要再造了！
内容整理自 2014 年的 OSCON - React Architecture by vjeux(https://speakerdeck.com/vjeux/oscon-react-architecture)，虽然从今天（2018）来看可能会有点历史感，但仍然值得学习了解。以史为鉴，从中也可以管窥 Facebook 优秀的工程管理文化。
博客迁到静态页面之后，在Gitalk拉垮、Discuz国内没法用的情况下，寻找一个可植入的第三方评论系统成了我需要去考虑的一件事。搜狐的畅言放在博客上效果并不是很好，Valine之前被大量垃圾评论洗刷过，实在不敢用，因此最后锁定了Waline，根据介绍这是一个带有后端的Valine，所以有一系列可以使用的功能。
在 HTML 中 <、>、& 等字符有特殊含义（<，> 用于标签中，& 用于转义），他们不能在 HTML 代码中直接使用，如果要在网页中显示这些符号，就需要使用 HTML 的转义字符串（Escape Sequence），例如 < 的转义字符是 <，浏览器渲染 HTML 页面时，会自动把转移字符串换成真实字符。
在一次Java解析xml文件的开发过程中，使用SAX解析时，出现了这样一个异常信息：
js是一种基于对象和事件驱动的并具有相对安全性的客户端脚本语言。也是一种广泛用于web客户端开发的脚本语言，常用来给html网页添加动态功能，如响应用户的各种操作。想了解更多加群1075083208主要的目的是为了解决服务器端语言遗留的速度问题，为客户提供更流畅的浏览效果。
概述 React的核心机制之一就是可以在内存中创建虚拟的DOM元素。React利用虚拟DOM来减少对实际DOM的操作从而提升性能。 JSX是什么 JSX是React的核心组成部分，它使用XML标记的方式去直接声明界面，界面组件之间可以互相嵌套。React发明了JSX，利用HTML语法来创建虚拟DOM。当遇到<，JSX就当HTML解析，遇到{就当JavaScript解析。使用虚拟DOM可以将React的语法转换为标准的JS语言。 简单来说，JSX就是Javascript和XML结合的一种格式。 JSX
Node 开发离不开 npm，而脚本功能是 npm 最强大、最常用的功能之一。 本文介绍如何使用 npm 脚本（npm scripts）。 一、什么是 npm 脚本？ npm 允许在package.j
npm 允许在package.json文件里面，使用scripts字段定义脚本命令。
本文最具价值的配置莫过于此，没有用到 GitHub Actions 前，每次发文需要将 markdown 文件放入 _post 文件夹下，然后执行 hexo clean && hexo g && hexo s && hexo g一连串命令，执行无报错还好说，万一本地环境出现错误，还得花时间找错，非常麻烦
JSP页面中可以包含模板元素、脚本元素、EL表达式、注释、指令、和行为元素（JSP标签）等内容。有三种类型的脚本元素：JSP脚本片断、JSP表达式和JSP声明，它们内部使用的都是Java脚本代码。 一、模板元素 JSP页面中的静态HTML内容被称之为JSP模板元素。 二、脚本元素 1、JSP表达式 将一个Java变量或表达式的计算结果输出到客户端的简化方式，代码位于<%= %>之中。 2、JSP脚本片断 嵌套在<% %>之中的一条或多条Java程序代码，在这之中可以直接使用JSP提供的隐式对象来完成Web应
相比起 Json，XML 是一种相对古老和复杂、但功能更加强大的数据存储/传输格式。也因为其复杂，有一些语法需要记录一下，在使用多种语言进行 XML 操作的时候备查。
XML 指可扩展标记语言（eXtensibleMarkupLanguage）。可扩展标记语言（英语：Extensible Markup Language，简称：XML）是一种标记语言，是从标准通用标记语言（SGML）中简化修改出来的。它主要用到的有可扩展标记语言、可扩展样式语言（XSL）、XBRL和XPath等。
一. org.apache.commons.io.IOUtils closeQuietly：关闭一个IO流、socket、或者selector且不抛出异常，通常放在finally块 toString：转换IO流、 Uri、 byte[]为String copy：IO流数据复制，从输入流写到输出流中，最大支持2GB toByteArray：从输入流、URI获取byte[] write：把字节. 字符等写入输出流 toInputStream：把字符转换为输入流 readLines：从输入流中读取多行数据，返回L
跨网站脚本（Cross-site scripting，简称XSS） 又称为跨站脚本攻击，它是一种针对网站应用程序的安全漏洞攻击技术，是代码注入的一种。XSS允许恶意用户将代码注入网页，其他用户在浏览网页时就会执行其中的恶意代码。恶意用户利用XSS代码攻击成功后，可能得到很高的权限（执行操作）、私密网页内容、会话和Cookie等各种内容。与XSS相关的攻击类型包括Cookie窃取、会话劫持、钓鱼欺骗等，这类攻击通常包含了HTML以及用户端脚本语言。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM
