当前位置： 首页 > news >正文

上网冲浪发现多处XSS

news 2026/4/1 23:46:22

在这里插入图片描述

突然的发现

今天上网冲浪，突然想起来有一种神器，叫废话生成器，之前是在哪里下了个软件玩了一下，然后就给删除了，因为我觉得这个软件不过就是调用了一个web接口实现的，一个网页能解决的事还要我下一个软件。
在这里插入图片描述
于是乎，我搜索找到一个网站
在这里插入图片描述
在这里插入图片描述
点击生成后，一篇牛头不对马嘴的文章生成了，当时就挺好奇的，我多次点击生成，反应速度也快，而且内容相似
我ctrl + f进行搜索这个关键字。
在这里插入图片描述
看到结果的瞬间脑子里突然有个想法，有没有可能有XSS漏洞呢，因为结果直接反应在网页上
于是乎
在这里插入图片描述
果然，有XSS注入，我换成了图片
在这里插入图片描述
很哇塞有没有

漏洞的成因

通过进一步研究，发现是一个DOM型的XSS漏洞，因为根本就没有网络请求
看了下源代码，漏洞应该是从这里产生的
在这里插入图片描述
使用了InnerHtml，也是够省事了，而且变量命名和函数命名我也是第一次见，直接用中文了
在这里插入图片描述

其他

我去逛了很多其他相同功能的网站，居然无一幸免！全部都有DOM型的XSS，要不是看了源码，我真以为用的同一套源码呢

如何防范

对于用户的输入要回显在网页上，除了服务器要使用HTML编码外，在本身js尽量避免使用innerHTML，而是用innerText

相关文章：

上网冲浪发现多处XSS

突然的发现 今天上网冲浪，突然想起来有一种神器，叫废话生成器，之前是在哪里下了个软件玩了一下，然后就给删除了，因为我觉得这个软件不过就是调用了一个web接口实现的，一个网页能解决的事还要我下一个软件。…...

编程日记 2023/10/18 16:36:37

机器学习的打分方程汇总

机器学习的打分方程集合 受到机器学习（Machine Learning）和深度学习（Deep Learning）等算法模型的创新性冲击，其应用范围涵盖了自然语言处理（Natural Language Processing）、自动驾驶&#xff08…...

编程日记 2023/10/18 16:35:36

一文了解数据管理框架以及数据战略制定方法

这一节主要介绍数据管理这一章的另一重要部分，也就是我们在数据管理经常使用到的数据管理框架以及数据战略制定方法。 要制定数据管理框架，或者是组织需要制定数据治理规划或数据管理规划，需要首先制定与业务战略对齐的数据战略。 01、数据…...

编程日记 2023/10/18 16:34:35

智能管家“贾维斯”走进现实？AI Agent或成2023科技领域新风向标

漫威粉们想必都知道《钢铁侠》系列电影中，有一个不可或缺的角色——贾维斯。但就算是没有看过任何一部大电影的路人，只要通过一个词就可以了解“贾维斯”是一个什么样的角色——智能管家。 作为托尼斯塔克的助手，贾维斯的存在让主人的生活更…...

编程日记 2023/10/18 16:32:33

【广州华锐互动】VR高层小区安全疏散演练系统

在今天的高科技时代，虚拟现实（VR）技术已经被广泛应用到各个领域，包括教育和培训。由广州华锐互动定制开发的VR高层小区安全疏散演练系统，开始在房地产行业中崭露头角。这种系统通过模拟真实的紧急情况，帮助…...

编程日记 2023/10/18 16:31:32

用Python做一个文件夹整理工具

文章目录 简介文件夹对话框文件映射组件完整组件 简介 我们的目的是做一个像下面这样的工具，前面两个输入框，用于输入源路径和目标路径，下面的图片、视频、音乐表示在目标路径中创建的文件夹，后面的文件后缀，表示将这…...

编程日记 2023/10/18 16:30:31

Tortoise SVN 察看本地缓存密码

1、打开设置（Settings） 2、查看保存的数据 3、打开鉴权数据 4、查看密码 CTRLSHIFT双击表格，就会出现一列密码列 （我的是Mac PD虚拟Win11，CTRLSHIFTOPTION双击表格） 原文见这里： Recover SVN …...

编程日记 2023/10/18 16:29:30

MSP430F5529晶振配置

MSP430(F5529)相比MSP430(F149)来讲，功能更加强大。 UCS简介 MSP430F5XX/MSP430F6XX系列器件的UCS包含有五种时钟源，依次是：XT1CLK、VLOCLK、REFOCLK、DCOCLK和XT2CLK。这五种时钟的详细介绍请参考该系列芯片的指导手册，其中XT1C…...

编程日记 2023/10/18 16:28:29

[架构之路-237]：目标系统 - 纵向分层 - 网络通信 - DNS的递归查询和迭代查询

目录 一、DNS协议与DNS系统架构 1.1 什么是DNS协议 1.2 为什么需要DNS协议 1.3 DNS系统架构 二、DNS系统的查询方式 2.1 递归与迭代的比较 2.2 DNS递归查询 2.3 DNS迭代查询 一、DNS协议与DNS系统架构 1.1 什么是DNS协议 DNS（Domain Name System&#xff…...

编程日记 2023/10/18 16:27:28

vue2 集成 Onlyoffice

缘起于进行了一次在线 Office 解决方案的调研，对比了 Office365、可道云、WPS Office、PageOffice 等厂商，最终敲定了使用 Onlyoffice，故整理了一份 Onlyoffice 从零开始系列教程，这是第一篇。 一、Onlyoffice 是什么&#xff1f…...

编程日记 2023/10/18 16:26:27

天锐绿盾透明加密、半透明加密、智能加密这三种不同加密模式的区别和适用场景——@德人合科技-公司内部核心文件数据、资料防止外泄系统

由于企事业单位海量的内部数据存储情况复杂，且不同公司、不同部门对于文件加密的需求各不相同，单一的加密系统无法满足多样化的加密需求。天锐绿盾企业加密系统提供多种不同的加密模式，包括透明加密、半透明加密和智能加密，用户可…...

编程日记 2023/10/18 16:25:26

六、DHCP实验

拓扑图： DHCP协议，给定一个ip范围使其自动给终端分配IP，提高了IP分配的效率 首先对PC设备选择DHCP分配ip 首先先对路由器的下端配置网关的ip 创建地址池，通过globle的方式实现DHCP ip pool 地址池名称 之后设置地址池的网关地址…...

编程日记 2023/10/18 16:24:25

N沟道场效应管 FDA69N25深度图解 工作原理应用

深力科推荐一款 FDA69N25是高压 MOSFET产品，基于平面条形和 DMOS 技术。 该 MOSFET 产品专用于降低通态电阻，并提供更好的开关性能和更高的雪崩能量强度。 该器件系列适用于开关电源转换器应用，如功率因数校正（PFC）、…...

编程日记 2023/10/18 16:23:24

Python爬虫入门教程

文章目录： 一：Python基础 二：爬虫须知 1.流程 2.遵守规则 三：HTTP请求和响应 1.相关定义 2.HTTP请求响应 2.1 完整的HTTP请求 2.2 完整的HTTP响应 3.Requests库 四：HTML 1.HTML网页结构 2.常用标 参考&…...

编程日记 2023/10/18 16:22:23

使用正则前瞻检查密码强度

使用正则前瞻检查密码强度 题目要求 要求密码必须包含大小写字母，并且至少包含 $,_. 中的一个特殊字符。 在这道题中，我们可以使用正则表达式的前瞻运算来实现。 const reg /^(?.*\d)(?.*[a-z])(?.*[A-Z])(?.*[$,_.])[\da-zA-Z$,_.]{6,12}/;con…...

编程日记 2023/10/18 16:21:22

react+ts手写cron表达式转换组件

前言 最近在写的一个分布式调度系统，后端同学需要让我传入cron表达式，给调度接口传参。我去了学习了解了cron表达式的用法，发现有3个通用的表达式刚好符合我们的需求： 需求 每天 xx 的时间： 0 11 20 * * ? 上面是…...

编程日记 2023/10/18 16:20:21

民安智库（第三方市民健康素养调研）居民健康素养调查的重要性及实施步骤

一、背景和意义 健康素养是衡量一个社区或国家居民对健康知识的理解，以及他们如何将这些知识应用于日常生活中的能力的重要指标。它不仅包括了基本的医学知识，如疾病预防和治疗，也包括了生活方式的改善，如合理饮食和适当运动。因…...

编程日记 2023/10/18 16:19:20

Linux | vim的入门手册

目录 前言 一、什么是vim 二、vim编辑器的模式 1、插入模式 （1）用vim打开文件 （2）进入插入模式 2、默认模式 （1）光标移动 （2）复制、粘贴与剪切操作 （3&#x…...

编程日记 2023/10/18 16:18:19

B053 项目部署

目录 Linux简介虚拟机软件安装安装centos步骤备份系统网络设置 远程访问Linux步骤永久关闭CentOS防火墙 linux命令linux文件系统linux常用命令目录相关命令文件相关命令 安装JDK先卸载自带的JDK安装JDK复制压缩包到linux解压配置环境变量 安装MySql清理旧文件安装mysqlMysql编码…...

编程日记 2023/10/18 16:17:19

视觉Slam面试题（不定时更新）

文章目录 0 引言1 单目、双目、深度相机和RGBD相机的区别2 特征点法与直接法的优缺点3 等距变换、相似变换、仿射变换、射影变换的区别4 单应矩阵、本质矩阵和基础矩阵的区别5 Slam中为什么用李群李代数6 解释Slam中的绑架问题7 ORB、SIFT和SURF特征点检测算法的区别8 什么是对…...

编程日记 2023/10/18 16:16:17

ai辅助cad开发：让快马平台的kimi模型帮你思考和编写参数化设计代码

AI辅助CAD开发：让快马平台的Kimi模型帮你思考和编写参数化设计代码 最近在做一个参数化齿轮生成器的项目，发现用传统方式开发效率很低。后来尝试用InsCode(快马)平台的AI辅助功能，整个过程变得轻松多了。这里分享下我的开发经验，…...

编程新知 2026/4/1 23:36:22

基于MATLAB/Simulink的双馈异步感应发电机直接功率控制仿真探索

Direct_Power_Control_of_DFIG：基于MATLAB/Simulink的双馈异步感应发电机的直接功率控制仿真模型 仿真条件：MATLAB/Simulink R2015b在电力系统研究领域，双馈异步感应发电机（DFIG）因其独特的性能优势而备受关注。直接功…...

编程新知 2026/4/1 23:16:05

效率飙升，跳过proteus安装配置，用快马ai秒建仿真项目

最近在做一个温度监测系统的项目，需要验证电路设计的可行性。按照传统方式，我得先下载安装Proteus软件，配置各种库文件，光是环境准备就得折腾半天。不过这次尝试了用InsCode(快马)平台的AI功能，整个过程变得异常高效。…...

编程新知 2026/4/1 22:39:31

前端开发者的福音：5分钟用Mergely.js给你的网页加个在线文本对比器

零成本打造专业级文本对比工具：Mergely.js全攻略 在代码审查、合同修订或是配置管理场景中，文本差异对比是个高频刚需。传统方案要么需要后端支持，要么功能简陋。现在，只需5分钟和几行JavaScript代码，你就能为Web项目嵌…...

编程新知 2026/4/1 22:23:19

llama-index 数据清洗示例、数据清洗等

文章目录示例数据清洗常见的需要清洗的数据数据清洗知识llama的一小块功能，主文章内容太多了，拆出来单独说下。示例 环境还基于之前的环境。 1、新建python文件clean_demo.py，代码： import os from llama_index.core import Do…...

编程新知 2026/4/1 21:52:49

3个实战场景×5个核心技巧：Umi-OCR本地化部署与效率提升完全指南

3个实战场景5个核心技巧：Umi-OCR本地化部署与效率提升完全指南 【免费下载链接】Umi-OCR OCR software, free and offline. 开源、免费的离线OCR软件。支持截屏/批量导入图片，PDF文档识别，排除水印/页眉页脚，扫描/生成二维码。内置…...

编程新知 2026/4/1 21:12:15

目录中不显示标题中间的软换行符Shift+Enter

文档中的标题过长时，通常使用ShiftEnter软换行符来给标题在合适的位置换行，以实现美观的排版效果。然而，插入软换行符会造成自动产生的目录中标题文本中间出现空格，如图所示：那么，如何让目录中不显示这个软…...

编程新知 2026/4/1 21:06:10

3大核心功能解放明日方舟玩家双手：MAA自动化助手全攻略

3大核心功能解放明日方舟玩家双手：MAA自动化助手全攻略 【免费下载链接】MaaAssistantArknights 《明日方舟》小助手，全日常一键长草！| A one-click tool for the daily tasks of Arknights, supporting all clients. 项目地址: https://gi…...

编程新知 2026/4/1 21:04:08

ftools架构深度解析：Stata大数据处理的技术革命

ftools架构深度解析：Stata大数据处理的技术革命 【免费下载链接】ftools Fast Stata commands for large datasets 项目地址: https://gitcode.com/gh_mirrors/ft/ftools 在数据科学和经济学研究的实践中，Stata用户经常面临一个共同的挑战&#x…...

编程新知 2026/4/1 20:13:43

VCS编译SystemVerilog时，那个‘-P’选项你加对了吗？详解Verdi PLI配置

VCS编译SystemVerilog时，那个‘-P’选项你加对了吗？详解Verdi PLI配置 在芯片验证的日常工作中，VCSVerdi的组合堪称黄金搭档。但当你满怀信心地敲下编译命令，却发现怎么也生成不了关键的fsdb波形文件时，那种挫败感简直…...

编程新知 2026/4/1 19:49:16