关键词：
一、CORS领域问题：
1、CORS的介绍请参考：跨域资源共享简介
2、HTML5中的XHR2级调用可以打开一个socket连接，发送HTTP请求，有趣的是，上传文件这里恰恰是multi-part/form-data恰恰符合要求，不需要preflight，所而且可以带cookie等认证信息。完美的绕过了所有的跨域共享防御机制。
1 <script language=javascript type=text/javascript> 2 functiongetMe() 3 { 4 varhttp; 5 http=newXMLHttpRequest(); 6 http.open(POST,http://192.168.100.12/json/jservice.ashx,true); 7 http.setRequestHeader(Content-Type,text/plain); 8 http.withCredentials=true; 9 http.onreadystatechange=function() 10 { 11 if(http.readyState==4){ 12 varresponse=http.responseText; 13 document.getElementById(result).innerHTML=response; 14 } 15 } 16 http.sent({\id\:2,\method\:\getProduct\,\params\:{\id\:2}}); 17 }getMe(); 18 </script>
二、新标签、新属性的XSS问题：
1、主要针对过滤情况，对新的标签和属性可能没有做到足够的过滤。
2、标签：media：【audio、video】；canvas：【getImageData】；menu；embed ；buttons ；commands Formcontrol：【keys】
3、其他类：form，submit，autofocus，sandbox，manifest，rel等等；新的富文本脚本语言等等；
三、WEB存储和DOM信息萃取：
1、locolStorage对象将在WEB数据持久化在本地，可以直接通过js读取。重要的敏感数据应该一律存储在session Storage之中。
1 <script> 2 if(localStorage.length){ 3 for(I in localStorage) { 4 console.log(i); 5 console.log(localStorage.getItem(i)); 6 } 7 } 8 </script>
四、webworker攻击：
1、主要僵尸网络，攻击者在可插入代码的地方写了一段代码不断开启webworker从事恶意活动，网页只要被访问就会执行恶意代码。会引发注入ddos、发送垃圾邮件等等，用户的browser变成肉鸡。
2、webworker可以童年过postmessageapi来和主线程通信，如果没有做过滤和验证，字可以对dom数据进行读写。
3、常见攻击攻击：ravan
五、websocket攻击：
1、成为后门、端口扫描、僵尸网络、嗅探等等
JS_recon是一款基于JS的网络探测工具，使用wensocket执行网络及端口扫描。
六：新的API仍需注意并仔细分析有没有存在安全风向。
iot安全系列博文第二篇:远程更新的危险
...有重要原因-在当今世界，您无法确保任何互联设备的安全，除非您可以对其进行更新。然而，今天的文章却从相反的方向来探讨，我们将看看为什么软件更新系统会非常 查看详情
[java并发编程实战]线程安全
...生待明日，万事成蹉跎。———《明日歌》本文介绍线程安全性相关的概念，包括原子性，竞态条件，复合操作，内置锁等，通过这些术语的介绍逐步铺开线程安全的相关知识，了解在哪些情况下应当用内置锁，哪些情况下用线... 查看详情
我的安全之路——web安全篇
...b跟二进制的）————致即将毕业的自己。这是我的安全之路系列第一篇，敬请期待第二篇：《我的安全之路——二进制与逆向篇》总览大一：基本都在学习学校的课程，C语言，C 查看详情
网络安全应急演练学习笔记第二篇之应急演练规划(代码片段)
文章目录0x05应急演练规划第一部分制定演练规划第二部分设计演练方案第三部分应急演练保障摘抄0x05应急演练规划第一部分制定演练规划演练计划由总指挥部策划小组组织各参演单位制定并报领导小组批准。主要包括以下内容&... 查看详情
servlet第二篇servlet实现线程安全及其他细节补充(代码片段)
...方法再根据请求方式分别调用doXXX方法。二、Servlet与线程安全?因为一个类型的Servlet只有一个实例对象，那么就有可能会出现一个Servlet同时处理多个请求，那么Servlet是否为线程安全的呢？答案：“不是线程安全的”。这说明Servl... 查看详情
iot安全系列博文第二篇:远程更新的危险
...有重要原因-在当今世界，您无法确保任何互联设备的安全，除非您可以对其进行更新。然而，今天的文章却从相反的方向来探讨，我们将看看为什么软件更新系统会非常危险，以及为什么你应该对它们持怀疑... 查看详情
攻防技术第二篇之-知己（防御手段）
...牌代码混淆隐蔽信道检测CWPP/HIDS/HIPS/EDR拟态防护污点追踪安全加固数据流特征检测法RBAC权限管控模式安全基线核查微隔离堡垒机NDR加密流量检测网络杀伤链SIEM/SOC/态势感知SOAR组件 查看详情
攻防技术第二篇之-知己（防御手段）
...牌代码混淆隐蔽信道检测CWPP/HIDS/HIPS/EDR拟态防护污点追踪安全加固数据流特征检测法RBAC权限管控模式安全基线核查微隔离堡垒机NDR加密流量检测网络杀伤链SIEM/SOC/态势感知SOAR组件 查看详情
白帽子讲web安全第六章html5安全
1、新标签的XSS H5中定义类很多新标签、新事件可能带来XSS(为研究XSS攻击H5的变化成立项目----HTML5SecurityCheatsheet) eg: 1) <videosrc="" onloadedmetadate="alter(XSS)"&g 查看详情
并发编程之j.u.c的第二篇
...tampedLock4.SemaphoreSemaphore原理5.CountdownLatch6.CyclicBarrier7.线程安全集合类概述8.ConcurrentHashMap3.JDK7ConcurrentHashMap3.性能比较10.ConcurrentLinkedQueue11.CopyOnWriteArrayList 3.2StampedLock该类自JDK8加入，是为了进一步优化读性能，它的特点是使用... 查看详情
web3.0流量入口deepernetwork公链主网明日上线
...erNetwork致力于用区块链技术为普通互联网用户打造企业级安全网关，提供去中心化的安全网络。Deeper主网上线的最大意义在于开启了独创的PoCr（信用证明）共识机制，确保对网络做出贡献的节点可以获得适当的激... 查看详情
冲击红队第一天-web安全介绍与基础入门
...严禁违法操作！！！今天更新的是：冲击红队第一天-Web安全介绍与基础入门微信公众号回复：【学习笔记】，即可获取本文全部涉及到的工具。创建时间：2021年7月31日软件：MindMasterPro、语雀冲击红队第一天-Web安全介绍与基础... 查看详情
从0开始入门chromeext安全（番外篇）--zoomeyetools(代码片段)
...https://paper.seebug.org/1116/系列文章：1.《从0开始入门ChromeExt安全（一）--了解一个ChromeExt》2.《从0开始入门ChromeExt安全（二）--安全的ChromeExt》在经历了两次对ChromeExt安全的深入研究之后，这期我们先把Chrome插件安全的问题放下来... 查看详情
攻防演习防御体系构建之第二篇之应对攻击的常用策略
...网端防护三、访问策略梳理四、主机加固防护五、供应链安全0x03守护核心：找到关键点一、靶标系统二、集权系统三、重要业务系统0x04协同作战：体系化支撑一、产品应急支撑二、安全事件应急支撑三、情报支撑 查看详情
第二篇html5新增标签
<html><head><metacharset="UTF-8"><title>html5新增的标签</title></head><body><!--结构性标签常用于新闻、文章等--><article><header></header><sectio 查看详情
初探前端web安全#1
...交互效果后，也应该仔细斟酌前端隐藏在灰色地带的安全问题，这次小编也通过大量网上的资料和自己的实践，希望能够向大家介绍几种常见的WEB前端的恶意攻击行为。以下也是这几年互联网web安全领域中比较严重的... 查看详情
dapper第二篇execute方法介绍
参考技术AExecute是一种扩展方法，可以从IDbConnection类型的任何对象调用。它可以执行一次或多次命令并返回受影响的行数。此方法通常用于执行。多次执行INSERT语句。一次为数组列表中的每个对象。执行多条信息更新,一次为数... 查看详情
html5技术分享浅谈前端安全以及如何防范
...，满足了用户的各种需求，但是随之而来的就是各种网络安全的问题。作为前端开发行业的我们也逃不开这个问题。所以今天我就简单聊一聊WEB前端安全以及如何防范。首先前端攻击都有哪些形式，我们该如何防范?一、XSS攻击XS... 查看详情