上网冲浪发现多处XSS
突然的发现
今天上网冲浪，突然想起来有一种神器，叫废话生成器，之前是在哪里下了个软件玩了一下，然后就给删除了，因为我觉得这个软件不过就是调用了一个web接口实现的，一个网页能解决的事还要我下一个软件。
于是乎，我搜索找到一个网站
点击生成后，一篇牛头不对马嘴的文章生成了，当时就挺好奇的，我多次点击生成，反应速度也快，而且内容相似
我ctrl + f进行搜索这个关键字。
看到结果的瞬间脑子里突然有个想法，有没有可能有XSS漏洞呢，因为结果直接反应在网页上
于是乎
果然，有XSS注入，我换成了图片
很哇塞有没有
漏洞的成因
通过进一步研究，发现是一个DOM型的XSS漏洞，因为根本就没有网络请求
看了下源代码，漏洞应该是从这里产生的
使用了InnerHtml，也是够省事了，而且变量命名和函数命名我也是第一次见，直接用中文了
其他
我去逛了很多其他相同功能的网站，居然无一幸免！全部都有DOM型的XSS，要不是看了源码，我真以为用的同一套源码呢
如何防范
对于用户的输入要回显在网页上，除了服务器要使用HTML编码外，在本身js尽量避免使用innerHTML，而是用innerText
相关文章：
上网冲浪发现多处XSS
突然的发现 今天上网冲浪，突然想起来有一种神器，叫废话生成器，之前是在哪里下了个软件玩了一下，然后就给删除了，因为我觉得这个软件不过就是调用了一个web接口实现的，一个网页能解决的事还要我下一个软件。…...
机器学习的打分方程汇总
机器学习的打分方程集合 受到机器学习（Machine Learning）和深度学习（Deep Learning）等算法模型的创新性冲击，其应用范围涵盖了自然语言处理（Natural Language Processing）、自动驾驶（…...
一文了解数据管理框架以及数据战略制定方法
这一节主要介绍数据管理这一章的另一重要部分，也就是我们在数据管理经常使用到的数据管理框架以及数据战略制定方法。 要制定数据管理框架，或者是组织需要制定数据治理规划或数据管理规划，需要首先制定与业务战略对齐的数据战略。 01、数据…...
智能管家“贾维斯”走进现实？AI Agent或成2023科技领域新风向标
漫威粉们想必都知道《钢铁侠》系列电影中，有一个不可或缺的角色——贾维斯。但就算是没有看过任何一部大电影的路人，只要通过一个词就可以了解“贾维斯”是一个什么样的角色——智能管家。 作为托尼斯塔克的助手，贾维斯的存在让主人的生活更…...
【广州华锐互动】VR高层小区安全疏散演练系统
在今天的高科技时代，虚拟现实（VR）技术已经被广泛应用到各个领域，包括教育和培训。由广州华锐互动定制开发的VR高层小区安全疏散演练系统，开始在房地产行业中崭露头角。这种系统通过模拟真实的紧急情况，帮助…...
用Python做一个文件夹整理工具
文章目录 简介文件夹对话框文件映射组件完整组件 简介 我们的目的是做一个像下面这样的工具，前面两个输入框，用于输入源路径和目标路径，下面的图片、视频、音乐表示在目标路径中创建的文件夹，后面的文件后缀，表示将这…...
Tortoise SVN 察看本地缓存密码
1、打开设置（Settings） 2、查看保存的数据 3、打开鉴权数据 4、查看密码 CTRLSHIFT双击表格，就会出现一列密码列 （我的是Mac PD虚拟Win11，CTRLSHIFTOPTION双击表格） 原文见这里： Recover SVN …...
MSP430F5529晶振配置
MSP430(F5529)相比MSP430(F149)来讲，功能更加强大。 UCS简介 MSP430F5XX/MSP430F6XX系列器件的UCS包含有五种时钟源，依次是：XT1CLK、VLOCLK、REFOCLK、DCOCLK和XT2CLK。这五种时钟的详细介绍请参考该系列芯片的指导手册，其中XT1C…...
[架构之路-237]：目标系统 - 纵向分层 - 网络通信 - DNS的递归查询和迭代查询
目录 一、DNS协议与DNS系统架构 1.1 什么是DNS协议 1.2 为什么需要DNS协议 1.3 DNS系统架构 二、DNS系统的查询方式 2.1 递归与迭代的比较 2.2 DNS递归查询 2.3 DNS迭代查询 一、DNS协议与DNS系统架构 1.1 什么是DNS协议 DNS（Domain Name Systemÿ…...
vue2 集成 Onlyoffice
缘起于进行了一次在线 Office 解决方案的调研，对比了 Office365、可道云、WPS Office、PageOffice 等厂商，最终敲定了使用 Onlyoffice，故整理了一份 Onlyoffice 从零开始系列教程，这是第一篇。 一、Onlyoffice 是什么？…...
天锐绿盾透明加密、半透明加密、智能加密这三种不同加密模式的区别和适用场景——@德人合科技-公司内部核心文件数据、资料防止外泄系统
由于企事业单位海量的内部数据存储情况复杂，且不同公司、不同部门对于文件加密的需求各不相同，单一的加密系统无法满足多样化的加密需求。天锐绿盾企业加密系统提供多种不同的加密模式，包括透明加密、半透明加密和智能加密，用户可…...
六、DHCP实验
拓扑图： DHCP协议，给定一个ip范围使其自动给终端分配IP，提高了IP分配的效率 首先对PC设备选择DHCP分配ip 首先先对路由器的下端配置网关的ip 创建地址池，通过globle的方式实现DHCP ip pool 地址池名称 之后设置地址池的网关地址…...
N沟道场效应管 FDA69N25深度图解 工作原理应用
深力科推荐一款 FDA69N25是高压 MOSFET产品，基于平面条形和 DMOS 技术。 该 MOSFET 产品专用于降低通态电阻，并提供更好的开关性能和更高的雪崩能量强度。 该器件系列适用于开关电源转换器应用，如功率因数校正（PFC）、…...
Python爬虫入门教程
文章目录： 一：Python基础 二：爬虫须知 1.流程 2.遵守规则 三：HTTP请求和响应 1.相关定义 2.HTTP请求响应 2.1 完整的HTTP请求 2.2 完整的HTTP响应 3.Requests库 四：HTML 1.HTML网页结构 2.常用标 参考&…...
使用正则前瞻检查密码强度
使用正则前瞻检查密码强度 题目要求 要求密码必须包含大小写字母，并且至少包含 $,_. 中的一个特殊字符。 在这道题中，我们可以使用正则表达式的前瞻运算来实现。 const reg /^(?.*\d)(?.*[a-z])(?.*[A-Z])(?.*[$,_.])[\da-zA-Z$,_.]{6,12}/;con…...
react+ts手写cron表达式转换组件
前言 最近在写的一个分布式调度系统，后端同学需要让我传入cron表达式，给调度接口传参。我去了学习了解了cron表达式的用法，发现有3个通用的表达式刚好符合我们的需求： 需求 每天 xx 的时间： 0 11 20 * * ? 上面是…...
民安智库（第三方市民健康素养调研）居民健康素养调查的重要性及实施步骤
一、背景和意义 健康素养是衡量一个社区或国家居民对健康知识的理解，以及他们如何将这些知识应用于日常生活中的能力的重要指标。它不仅包括了基本的医学知识，如疾病预防和治疗，也包括了生活方式的改善，如合理饮食和适当运动。因…...
Linux | vim的入门手册
目录 前言 一、什么是vim 二、vim编辑器的模式 1、插入模式 （1）用vim打开文件 （2）进入插入模式 2、默认模式 （1）光标移动 （2）复制、粘贴与剪切操作 （3&#x…...
B053 项目部署
目录 Linux简介虚拟机软件安装安装centos步骤备份系统网络设置 远程访问Linux步骤永久关闭CentOS防火墙 linux命令linux文件系统linux常用命令目录相关命令文件相关命令 安装JDK先卸载自带的JDK安装JDK复制压缩包到linux解压配置环境变量 安装MySql清理旧文件安装mysqlMysql编码…...
视觉Slam面试题（不定时更新）
文章目录 0 引言1 单目、双目、深度相机和RGBD相机的区别2 特征点法与直接法的优缺点3 等距变换、相似变换、仿射变换、射影变换的区别4 单应矩阵、本质矩阵和基础矩阵的区别5 Slam中为什么用李群李代数6 解释Slam中的绑架问题7 ORB、SIFT和SURF特征点检测算法的区别8 什么是对…...
别再只盯着原理图了！FPGA/SoC硬件工程师必看的RGMII接口PCB布线实战指南（含时序约束与等长规则）
RGMII接口PCB设计实战：从时序规范到千兆以太网稳定通信 在FPGA和SoC硬件开发中，RGMII接口设计一直是工程师们又爱又恨的挑战。爱它的简洁高效——相比GMII接口减少了近一半的引脚数量；恨它的时序敏感——一个看似微小的PCB布线失误就可能导致…...
车道线检测入门：从CULane数据集结构到模型训练（PyTorch实战）
车道线检测实战：从CULane数据集解析到PyTorch模型训练全流程 1. 理解CULane数据集的核心价值 车道线检测作为自动驾驶感知层的关键技术，其性能高度依赖高质量的数据集。CULane凭借其复杂城市道路场景和精细标注，已成为该领域的基准测试集之一…...
基于Arduino与V-USB的红外转USB键盘接收器设计与实现
1. 项目概述：从游戏抢答器到通用输入设备的蜕变几年前，我在一个教育科技展会上看到了那种用于课堂抢答的无线按钮系统，一套动辄上千元的价格让我这个喜欢折腾硬件的玩家直摇头。当时我就在想，这玩意儿的核心不就是个红外发射接收加…...
GitLab团队协作实战：从分支策略到CI/CD流水线优化指南
1. 项目概述：为什么需要一个专属的GitLab使用指导？在团队协作开发中，版本控制系统是基石，而GitLab作为集代码托管、CI/CD、项目管理于一体的DevOps平台，其重要性不言而喻。然而，对于许多新加入团队的开发者…...
py每日spider案例之某website壁纸接口（无加密）
import requestsheaders = {"accept": "*/*","accept-language": "zh-CN,zh;q=0.9","cache-control": "no-cache","pragma"...
深度解读｜当增强现实遇上美妆教学：帕克西的AR美妆实训解决方案
在职业院校的形象设计、美容化妆等专业中，实训教学长期面临耗材成本高、练习机会有限、考核标准难量化等难题。学生每练习一次就消耗一次化妆品；教师逐个检查妆容步骤，费时费力。 增强现实（AR）技术的介入，正…...
AIGC 检测‘句长标准差‘到底是什么？嘎嘎降 AI 帮你 AI 率从 70% 降到 7%
AIGC 检测"句长标准差"到底是什么？嘎嘎降 AI 帮你 AI 率从 70% 降到 7% AIGC 检测算法 4.0 版本看的 5 项底层指标里——句长标准差权重最高（约 35%）。理解了这一项你就知道为什么手改一周降不下 AI 率。这篇文章把"句长标准差…...
终极网盘直链下载助手完整使用指南：如何高效获取八大网盘文件直链
终极网盘直链下载助手完整使用指南：如何高效获取八大网盘文件直链 【免费下载链接】Online-disk-direct-link-download-assistant 一个基于 JavaScript 的网盘文件下载地址获取工具。基于【网盘直链下载助手】修改 ，支持 百度网盘 / 阿里云盘 / 中国移动…...
详解：XSS 攻击和 CSRF 攻击
一、先看看核心区别 XSS：偷你的身份-》在你的浏览器里面跑恶意JS ，主动拿你的Cookie，冒充你。CSRF：借你的身份-》不偷你的Cookie，而是利用浏览器自带Cookie 的属性，骗网站替你做事。 二、XSS 讲解 1、核心本…...
网易云QQ音乐歌词获取终极指南：163MusicLyrics让你轻松拥有完美歌词
网易云QQ音乐歌词获取终极指南：163MusicLyrics让你轻松拥有完美歌词 【免费下载链接】163MusicLyrics 云音乐歌词获取处理工具【网易云、QQ音乐】 项目地址: https://gitcode.com/GitHub_Trending/16/163MusicLyrics 还在为音乐播放器缺少歌词而烦恼…...