摘要：
来自 wooyun'drops >呆子不开口 0x00 背景 随着水瓶月的到来，在祖国繁荣昌盛的今天，web系统的浏览器端也越来越重，很多的功能逻辑都放在了js中，前端的漏洞也越来越多。 我今天就说说location.href跳转的一些问题。 前端跳转常见的代码形式是: 在前端js中有可能是这样: 阅读全文
摘要：
转自呆子不开口在wooyun知识库的文章 0x00 前言 这篇文章主要讲目前互联网上get方法被不规范使用带来的一些安全漏洞。其中重点会讲get请求在账号登陆体系中被滥用的场景和攻击方式。 0x01 Get方法的定义 在客户机和服务器之间进行请求-响应时，两种最常被用到的方法是：GET 和 POST 阅读全文
摘要：
预 览 阅读全文
摘要：
重要的4个规则： 文件解析模式 在任何HTML文档中，最开始的<!DOCTYPE>用来指示浏览器需要解析的方式，同样也可使用Content-Type头来告诉浏览器。 一般情况下，浏览器中的解析器会尝试恢复大多数类型的语法错误，包括开始和结束标记。 在XML中，是非常严格的，所有标签必须有对应的开始关 阅读全文
摘要：
同源策略 同源策略的文档模型 同源策略（Same Origin policy，SOP），也称为单源策略（Single Origin policy），它是一种用于Web浏览器编程语言（如JavaScript和Ajax）的安全措施，以保护信息的保密性和完整性。 同源策略能阻止网站脚本访问其他站点使用的脚 阅读全文
摘要：
层叠样式表（css） 调用方式有三种： 浏览器进行解析的时候会先HTML解析再做CSS解析，所以下面的代码会出错： 字符编码： 为了保证在css中可以使用可能产生问题的字符，css提供了一种方式由反斜杠()加六位十六进制数字。 字符e可以编码成\65 \065 \000065，当后面紧跟的字符也是十 阅读全文
摘要：
URL格式： 下面详细解释一下各个部分： scheme scheme是协议名不区分大小写，以冒号结尾，表示需要使用的协议来检索资源。 URL协议是由IANA（The Internet Assigned Numbers Authority，互联网数字分配机构）与个标准化组织一同管理的。 下面的网址列举 阅读全文