webgoat-Cross Site Scripting XSS 跨站脚本攻击

 01

概念


本节课讲述了什么是XSS,并使用XSS执行那些非开发者本意的任务。

目标

了解什么是XSS,XSS如何工作?
学习反射型XSS及注入,基于DOM的XSS注入

02

What is XSS?

Cross-Site Scripting也叫XSS是一种漏洞,允许将未经编码或者过滤的HTML或者script标签作为输入渲染至浏览器。

Cross-Site Scripting (XSS) is the most prevalent and pernicious web application security issue

XSS是最流行和有害的web应用安全问题,尽管对于这种攻击有简单而知名的防护,但是仍然有很多XSS攻击问题。

XSS has significant impact

Especially as 'Rich Internet Applications' are more and more commonplace, privileged function calls linked to via JavaScript may be compromised. And if not adequately protected, sensitive data (such as your authentication cookies) can be stolen and used for someone else’s purpose.

随着富internet应用越来越普遍,如果没有充足的保护,敏感数据如认证cookie可能被窃取,并被利用。

例子s:
  • 来自开发者工具的js控制台。

    alert("XSS Test");
    alert(document.cookie);
  • 任何返回给客户端的数据域都可能被注入

    <script>alert("XSS Test")</script>

Try It! Using Chrome or Firefox

  • Open a second tab and use the same URL as this page you are currently on (or any URL within this instance of WebGoat).

  • On the second tab, open the JavaScript console in the developer tools and type: alert(document.cookie);

  • The cookies should be the same on each tab.

在控制台输入alert语句,可以发现返回的cookie是一样的。

03

Most common locations XSS漏洞常出现的地方

  • Search fields that echo a search string back to the user 搜索框

  • Input fields that echo user data 打印用户数据的输入框

  • Error messages that return user-supplied text 返回用户输入的错误提示

  • Hidden fields that contain user-supplied data 包含用户输入数据的隐藏域

  • Any page that displays user-supplied data 任何显示用户输入数据的页面

    • Message boards 消息框

    • Free form comments 表单评论

  • HTTP Headers  HTTP头

04

Why should we care?

XSS attacks may result in

  • 窃取session coookie

  • 创建伪造请求

  • 创建假的域来收集credentials

  • 将你的页面重定向至 "non-friendly"网站

  •  以有效的用户身份伪造请求

  • 窃取confidential information

  • 在终端用户系统执行恶意代码 (active scripting)

  • 插入敌意的不合适的内容

    <img src="http://malicious.site.com/image.jpg/>
    ">GoodYear recommends buying BridgeStone tires...

XSS 攻击导致网络钓鱼

  • A valid domain is used in the URL

05

XSS类型

Reflected反射型

  • 用户请求的恶意内容被显示在用户浏览器

  • 收到服务端响应后,恶意内容被写入页面

  • Social engineering is required 需要广泛传播,否则只能攻击单个用户

  • 使用从浏览器中的用户继承的浏览器权限运行

DOM-based (also technically reflected)基于DOM的XSS

  • 客户端脚本使用用户请求中的恶意内容来编写html页面

  • 与反射型XSS相似

  • 使用从浏览器中的用户继承的浏览器权限运行

Stored or persistent 存储型XSS或者永久型

  • 恶意内容被存储在服务端( in a database, file system, or other objects) 然后被展示在浏览器用户中

  • Social engineering is not required 不需要广泛传播

06

Reflected XSS scenario

  •  攻击者向用户发送恶意URL

  • 用户点击链接加载恶意的web页面

  • URL中嵌入的恶意脚本咋用户浏览器中执行

    • 脚本窃取敏感信息如session id被暴露给攻击者

用户未意识到攻击已经发生

07

Try It! Reflected XSS

本作业的目标是识别哪个field存在XSS漏洞

在服务端验证所有的输入是一个好的实践,当未经验证的用户输入被HTTP响应返回时,XSS攻击就可能发生。在反射型XSS中,一个攻击者可以伪造一个包含攻击脚本的URL,发送至其他网站,或者通过邮件发送给用户,让用户可以点击。

一个简单的找出一个field是否有XSS漏洞的方法是使用alert()或者console.log()方法。

分别在每个输入框输入<script>alert(1)</script>,点击purchase,发现credit card number输入框可以显示alert,所以这个输入域有XSS漏洞。

08

Self XSS or reflected XSS?

自我XSS还是反射型XSS?

在上节执行的XSS脚本中,属于自我XSS,因为没有链接触发XSS,你可以尝试如下链接,看看发生什么。

/WebGoat/CrossSiteScripting/attack5a?QTY1=1&QTY2=1&QTY3=1&QTY4=1&field1=<script>alert('my%20javascript%20here')</script>4128+3214+0002+1999&field2=111

 09

Reflected and DOM-Based XSS

基于DOM的XSS是反射型XSS的另外一种形式,这两种XSS都由链接出发,并将输入显示在浏览器中。不同点是,基于DOM的XSS,payload不会被发送到服务器。仅客户端就可以进行处理。

  • 攻击者向用户发送恶意URL

  • 用户点击链接

  • That link may load a malicious web page or a web page they use (are logged into?) that has a vulnerable route/handler

  • If it’s a malicious web page, it may use its own JavaScript to attack another page/URL with a vulnerable route/handler如果是恶意页面,会使用自身的js来攻击另外一个页面或者url

  • The vulnerable page renders the payload and executes an attack in the user’s context on that page/site

  • Attacker’s malicious script may run commands with the privileges of local account

用户不会意识到攻击的发生,攻击者不会使用如下脚本 <script>alert('xss')</ script>

 10

识别基于 DOM 的 XSS

参考:Web中存在这么多种安全威胁,你都知道吗?// Web漏洞防护 - 知乎 (zhihu.com)

DOM型XSS 通常会出现在客户端代码的路由配置中,寻找那些将用户输入直接呈现到页面的路由,一般就是DOM型XSS的所在之处,代码中的测试路由是DOM 型XSS 的高发地。例如本例中,URL 的形式通常为:/WebGoat/start.mvc#lesson/CrossSiteScripting.lesson/10,通过改变URL 后面的参数(也可称为路由)可以切换到不同的课程或章节。上述URL 中的主路由为start.mvc#lesson,可以通过替换lesson的值切换到其他的主路由。

首先分析页面相关的JavaScript 代码,路由切换的相关代码位于GoatRouter.js 中,路由相关的信息如下所示:

routes: {'welcome': 'welcomeRoute','lesson/:name': 'lessonRoute','lesson/:name/:pageNum': 'lessonPageRoute','test/:param': 'testRoute','reportCard': 'reportCard'}

其中存在一个测试路由“test/:”,接收的参数为“:param”,然后调用testRoute()方法,该方法位于GoatRouter.js ,摘录如下:

testRoute: function (param) {this.lessonController.testHandler(param);// this.menuController.updateMenu(name);
}

该方法使用接收的参数调用LessonController.js 的testHandler()方法,它位于LessonController.js,摘录如下:

this.testHandler = function(param) {console.log('test handler');this.lessonContentView.showTestParam(param);
};

这个方法同样使用接收的参数调用LessonController.js 的showTestParam()方法,该方法位于LessonController.js ,摘录如下:

/* 测试 */
showTestParam: function (param) {this.$el.find('.lesson-content').html('test:' + param);
}

上面方法调用html()方法将传入的参数呈现到页面的.lesson-content 域(这个在页面上是一个class,可以直接显示在页面上)中,可以明显地看出呈现到页面之前,未对传入的参数进行任何处理,且数据未发送到服务端,一直在用户的浏览器内流转,因此这是一个典型的DOM型XSS 漏洞。为了验证该漏洞,构造如下超链接:

http://127.0.0.1:8080/WebGoat/start.mvc#test/param1=foobar&param2=DOMXSS%3Cscript%3Ealert(%22DOM%20XSS!!!%22);%3C%2Fscript%3E

访问,可以看到显示了alert

 

点击确定后,参数显示在页面上

 

 实际这个编码就是 http://127.0.0.1:8080/WebGoat/start.mvc#test/param1=foobar&param2=DOMXSS<script>alert("DOM XSS!!!");</script> 

但是直接访问这个未编码的url是无效的。

测试的路由为test/,所以输入start.mvc#test并提交。

总结:本题是通过查找源码的测试路由配置,找到一个未过滤输入参数的url,构造payload,实现了XSS攻击,其中payload在js源码中通过html方法被写入document。这是一个基于DOM的XSS漏洞。

 11

Try It! DOM-Based XSS

使用第10节发现的route,执行如下函数,从route中反射参数

webgoat.customjs.phoneHome()

通过url在新的标签页触发,然后控制台会显示一个响应,输入响应中的随机数完成这个题。

构造如下url,访问http://127.0.0.1:8080/WebGoat/start.mvc#test/param1=foobar&param2=DOMXSS%3Cscript%3Ewebgoat.customjs.phoneHome()%3C%2Fscript%3E

可以看到控制台已经输出了信息,提交  -503059157

 

12

学习Cross Site Scripting (XSS) | OWASP Foundation.并做题 

 Is JavaScript the only way to perform XSS attacks?

 No there are many other ways. Like HTML, Flash or any other type of code that the browser executes. 

Cross Site Scripting (stored)

Stored XSS

Stored Cross-Site Scripting is different in that the payload is persisted (stored) instead of passed/injected via a link.

存储XSS的不同点在于payload并存储在服务端,而不是通过link注入

Stored XSS Scenario

  • 攻击者向 message board 发送恶意脚本

  • Message 被存储在服务端数据库

  • 用户阅读message

  • The malicious script embedded in the message board post executes in the victim’s browser

    • The script steals sensitive information, like the session id, and releases it to the attacker

用户未意识到攻击已经发生

题目要求调用webgoat.customjs.phoneHome,在控制台会返回信息,在输入框输入phoneHome信息提交,需要注意每次调用该方法,返回的phoneHome会变化,需要输入最近一次调用的返回。

在comment输入<script>webgoat.customjs.phoneHome()</script> 并发送

 控制台的number输入页面提交通过。

本题中,用户输入被存储到数据库,每当用户访问当前页面,都会在控制台输出信息。只需要一次攻击,就可以多次获取到数据。

Cross Site Scripting (mitigation) XSS防御

XSS defense

Why?

为什么要做防护?因为我们不想让其他人的代码运行在用户的上下文和他们登录的session中

What to encode?

防御XSS的基本原则是对任何不受信任的输入进行输出编码

甚至是数据库中的数据也不可信任。

When/Where?

Encode as the data is sent to the browser (not in your persisted data). In the case of Single Page Apps (SPA’s), you will need to encode in the client. Consult your framework/library for details, but some resources will be provided on the next page.

当数据被发送至浏览器时,对数据进行编码。

How?

  • Encode as HTML Entities in HTML Body HTML body编码为html实体

  • Encode as HTML Entities in HTML Attribute html属性编码为html实体

  • Encode for JavaScript if outputting user input to JavaScript (but think about that …​ you are outputting user input into JavaScript on your page!!)为js进行编码,但需要注意那些用户会输入js的功能。(比如可以通过img标签在评论插入图片,有的网站是有这样的功能的,这时就要确保这些功能是可用的)

不要试图用黑名单来屏蔽如<script>等标签,因为可能被绕过。

What is encoding?

不要信任用户输入意味着验证数据的类型,长度,格式,范围,在动态页面展示之前进行编码。

review every point on your site where user-supplied data is handled and processed and ensure that, before being passed back to the user

any values accepted from the client side are checked, filtered, and encoded.

Client-side validation cannot be relied upon, but user input can be forced down to a minimal alphanumeric set with server-side processing before being used by a web application in any way.

Escaping

转义意味着将数据的关键字符转换(或标记)以防止其在危险环境中被解释。在HTML输出的情况下,需要转换<和>字符(以及其他字符)以防止任何恶意代码呈现。转义这些字符需要将它们转换为等效的实体&lt;和&gt;,浏览器不会将实体解释为HTML标签。

Special characters

如果从用户输入中收到特殊字符,则需要在重新显示之前对其进行编码,例如,“<”和“>”。例如,对“<”和“>”进行编码可确保浏览器显示<script>,但不会执行它。与编码相结合,您的网页必须始终定义其字符集,以便浏览器不会解释其他字符集中的特殊字符编码。

跨站点脚本攻击通常发生在您设法将脚本(通常是javascript)偷偷注入其他人的网站时,在那里它可以恶意运行。

Relevant XML/HTML special characters

Char

Escape string

<

&lt;

>

&gt;

"

&quot;

'

&#x27;

&

&amp;

/

&#x2F;

XSS defense资源

Java OWASP Encoder

Java web apps and defending against XSS. Use this link: OWASP Java Encoder | OWASP Foundation

General XSS prevention Cheat Sheet

link: Cross Site Scripting Prevention - OWASP Cheat Sheet Series

DOM XSS Prevention Cheat Sheet

link: DOM based XSS Prevention - OWASP Cheat Sheet Series

XSS Filter Evasion

Good to know your enemy …​link Redirecting…

Javascript Framework Specifics

Encoding in the client can be tricky. Here are some resources to help with that. If you do not see your framework below (e.g., Ember, React, ???) and would like to contribute or suggest something stop by GitHub - WebGoat/WebGoat: WebGoat is a deliberately insecure application and file an issue (preferably with some recommendations/links) or fork and submit a pull request.

jQuery

be aware if you are using something like:

$selector.html(userInputHere),

you are in danger. If you want to use that, ensure you are doing something more like:

$selector.html(someEncodeHtmlMethod(userInputHere))

OR

$selector.text(someEncodeHtmlMethod(userInputHere))

If you only want the text of what is output by the user (javascript - Is jQuery .text() method XSS safe? - Stack Overflow)

Backbone.js

(One character can make such a difference)

Underscore.js

https://nvisium.com/blog/2015/05/21/dont-break-your-backbone-xss-mitigation.html

Angular

Angular has sought to escape by default, but the expression language has proven to have 'sandbox' escapes. Best to check details of the version you are using and consult starting here: AngularJS

Reflective XSS

See the HTML file below, which passes data to a JSP file.

<html><body><form action = "main.jsp" method = "POST">First Name: <input type = "text" name = "first_name"><br />Last Name: <input type = "text" name = "last_name" /><input type = "submit" value = "Submit" /></form></body>
</html>

Here is the JSP file:

<html><head><title>Using GET and POST Method to Read Form Data</title>
</head><body><h1>Using POST Method to Read Form Data</h1><table><tbody><tr><td><b>First Name:</b></td><td><%= request.getParameter("first_name")%></td></tr><tr><td><b>Last Name:</b></td><td><%= request.getParameter("last_name")%></td></tr></tbody></table>
</body></html>

As you can see the JSP file prints unfiltered user input which is never a good idea. You want people to access the page like this:

http://hostname.com/mywebapp/main.jsp?first_name=John&last_name=Smith

But what happens if someone uses this link:

http://hostname.com/mywebapp/main.jsp?first_name=<script>alert("XSS Test")</script>

 参考 OWASP Java Encoder | OWASP Foundation

 题目要求对给出的JSP file文件代码进行url参数escape

参考OWASP Java Encoder | OWASP Foundation

参考 OWASP Java Encoder | OWASP Foundation

 

有两种写法,这里直接看了源码,可以看到include要正确,first_name,last_name处要正确。

输入


<%@taglib prefix="e" uri="https://www.owasp.org/index.php/OWASP_Java_Encoder_Project" %>
<html>
<head><title>Using GET and POST Method to Read Form Data</title>
</head>
<body><h1>Using POST Method to Read Form Data</h1><table><tbody><tr><td><b>First Name:</b></td><td>${e:forHtml(param.first_name)}</td></tr><tr><td><b>Last Name:</b></td><td>${e:forHtml(param.last_name)}</td></tr></tbody></table>
</body>
</html>

 提交通过

<%@taglib prefix="e" uri="https://www.owasp.org/index.php/OWASP_Java_Encoder_Project" %>:这一行引入了一个JSP标签库,其前缀为"e",URI为"https://www.owasp.org/index.php/OWASP_Java_Encoder_Project"。这个标签库用于对输入进行编码,以防止XSS(跨站脚本)攻击。 

${e:forHtml(param.first_name)} 和 ${e:forHtml(param.last_name)}:这些是JSTL(JSP Standard Tag Library)中的表达式,用于从请求参数中获取"first_name"和"last_name"的值,并使用前面引入的OWASP Java Encoder标签库对它们进行编码,以防止XSS攻击。然后,这些编码后的值将被插入到HTML表格中。 

Stored XSS

One way to prevent stored XSS is the usage of OWASP AntiSamy. AntiSamy can produce a "clean" string based on an adjustable policy file.

如下java类,将评论插入至数据库。

public class MyCommentDAO {public static void addComment(int threadID, int userID, String newComment) {String sql = "INSERT INTO COMMENTS(THREADID, USERID, COMMENT) VALUES(?,?,?);";try {PreparedStatement stmt = connection.prepareStatement(sql);stmt.setInt(1, threadID);stmt.setInt(2, userID);stmt.setString(3, newComment);stmt.executeUpdate();} catch (SQLException e) {e.printStackTrace();}}
}

And here is a Java class that uses the addComment function

import org.owasp.validator.html.*;
import MyCommentDAO;public class AntiSamyController {...public void saveNewComment(int threadID, int userID, String newComment){MyCommentDAO.addComment(threadID, userID, newComment);}...
}

java文件将未过滤的用户输入存储到数据库中。现在数据库中已经存储了恶意的代码

题目要求完善java方法来防御XSS攻击,并使用antisamy-slashdot.xml作为策略文件,提示可以看AntiSamy的文档。

 

参考 Category:OWASP AntiSamy Project - OWASP 

 1、需要导包

2、因为用户只会输入comment,所以只需要对newComment进行过滤

3、注意需要调用策略文件

4、通过方法cr.getCleanHTML()得到输出。

import org.owasp.validator.html.*;
import MyCommentDAO;public class AntiSamyController {public void saveNewComment(int threadID, int userID, String newComment){Policy policy = Policy.getInstance("antisamy-slashdot.xml");AntiSamy as = new AntiSamy();CleanResults cr = as.scan(newComment, policy);MyCommentDAO.addComment(threadID, userID, cr.getCleanHTML());}
}

提交完成。

该题源码

总结:防御存储XSS,需要在插入数据库之前,对用户输入进行过滤。 

总结

XSS本质是通过给用户发送一个链接,用户点击后,执行链接携带的恶意的js脚本,窃取用户的信息,如cookie
XSS有不同分类:
反射型XSS也叫非持久性XSS    未对用户输入进行过滤而直接将输入显示在页面上 防御:输出前对用户输入进行过滤编码如将html标签编码为html实体
基于DOM型XSS   恶意代码被插入到DOM,通常是通过url配置进行注入
存储型XSS也叫持久性XSS   恶意代码被存储到数据库,每个访问应用的用户都可能被攻击 防御:在插入数据库之前过滤。

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/news/180384.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

android frameworks 开发总结之十二

1.android电池充满电剩余时间 android电量还需多长时间充满时间计算参考下面链接: [Android Framework] 8.1 Battery系列(四) 电量还需多长时间充满时间计算_batteryinfo.java-CSDN博客 从这个链接中可以看出android默认的计算方式为平均计算每1%所需要的时间,在乘以剩余的电…

c语言使用modbus库

Modbus是一种串行通信协议&#xff0c;被广泛用于连接工业电子设备。Modbus库可以提供用于实现Modbus通信的功能。 以下是一个简单的示例&#xff0c;展示了如何在C语言中使用Modbus库来读取一个Modbus设备中的保持寄存器。 #include <stdio.h> #include <modbus.…

34 - 记一次线上SQL死锁事故:如何避免死锁?

之前我参与过一个项目&#xff0c;在项目初期&#xff0c;我们是没有将读写表分离的&#xff0c;而是基于一个主库完成读写操作。在业务量逐渐增大的时候&#xff0c;我们偶尔会收到系统的异常报警信息&#xff0c;DBA 通知我们数据库出现了死锁异常。 按理说业务开始是比较简…

为什么说橘子酒是像红葡萄酒的白葡萄酒?

酿酒师通常会使用不同的葡萄品种来酿橘子酒&#xff0c;这样的葡萄酒味道就会有很大的不同&#xff0c;因此很难为橘子酒定义一个通用的风味特征。其中一些有干花或香草的香味&#xff0c;又或者是核果风味&#xff0c;如杏、油桃或桃子&#xff0c;再或者你可能感觉到坚果和蜂…

基于LNMP快速搭建WordPress平台

目录 1 LNMP简介 2 WordPress简介 3 安装MySQL环境 3.1 安装MySQL 3.1.1 下载wget工具 3.1.2 下载MySQL官方yum源安装包 3.1.3 安装MySQL官方yum源 3.1.4 mysql安装 3.2 启动MySQL 3.3 获取默认密码 3.4 登录MySQL ​ 3.5 修改密码 3.6 创建WordPress数据库并授权 3.6.1 创…

c语言-希尔排序

目录 一、插入排序 1、插入排序的概念 2、插入排序的逻辑实现 3、插入排序的实现 二、希尔排序 1、希尔排序概念 2、希尔排序逻辑实现 3、间隔值&#xff08;gap&#xff09;对排序的影响 4、希尔排序的实现 三、插入排序与希尔排序性能对比测试 结语&#xff1a; 前言…

Linux dd命令详解:如何从标准输入或文件中读取、转换并输出数据(附实例教程和注意事项)

Linux dd命令介绍 Linux dd命令用于读取、转换并输出数据。dd可以从标准输入或文件中读取数据&#xff0c;根据指定的格式来转换数据&#xff0c;再输出到文件、设备或标准输出。这个命令在备份硬盘、创建启动盘、数据恢复等场景中非常有用。 Linux dd命令适用的Linux版本 d…

HAL库常用函数汇总【不间断更新】

1&#xff0c;系统函数 HAL_Delay 原型&#xff1a;void HAL_Delay(uint32_t Delay); 作用&#xff1a;利用滴答定时器生成的系统延迟函数 参数&#xff1a; Delay&#xff1a;延迟时间&#xff0c;单位是ms 返回值&#xff1a;无 示例代码&#xff1a; HAL_Delay(50);//延迟50…

Mysql索引总结

总结一下Mysql Innodb索引相关的知识&#xff0c;索引是以空间换时间的方式来加快查询速度。本质是将查询涉及的字段单独拎出来减少查询的基数和减少磁盘io次数&#xff0c;先做了排序可以用更高效的查询算法。 同时索引也有一些弊端&#xff0c;需要占用额外的空间&#xff0…

DelayQueue介绍

5.1 DelayQueue介绍&应用 DelayQueue就是一个延迟队列&#xff0c;生产者写入一个消息&#xff0c;这个消息还有直接被消费的延迟时间。 需要让消息具有延迟的特性。 DelayQueue也是基于二叉堆结构实现的&#xff0c;甚至本事就是基于PriorityQueue实现的功能。二叉堆结构…

内置函数【MySQL】

文章目录 MySQL 内置函数日期和时间函数字符串函数数学函数信息函数参考资料 MySQL 内置函数 MySQL 的内置函数主要分为以下几种&#xff1a; 字符串函数&#xff1a;用于对字符串进行操作&#xff0c;如连接、截取、替换、反转、格式化等。数值函数&#xff1a;用于对数值进…

Go语言使用AES加密解密

Go语言提供了标准库中的crypto/aes包来支持AES加密和解密。下面是使用AES-128-CBC模式加密和解密的示例代码&#xff1a; package mainimport ("crypto/aes""crypto/cipher""encoding/base64""fmt" )func main() {key : []byte("…

使用 Mybatis 的 TypeHandler 存取 Postgresql jsonb 类型

文章目录 使用 TypeHandler 存取 Postgresql jsonb 类型常见错误column "" is of type jsonb but expression is of type character varying 使用 TypeHandler 存取 Postgresql jsonb 类型 首先在数据库表中定义 jsonb 类型&#xff1a; create table tb_user_info…

Android Studio导入项目一直显示正在下载Gradle项目

如题&#xff0c;问题图类似如下&#xff1a; &#xff08;此图是解决以后截的&#xff0c;之前遇到问题没截图&#xff09; 解决方法 先找到你正在下载的gradle的版本是哪个 然后在链接中 ​​​​​​Gradle Distributions 找到你所对于gradle的版本&#xff0c;下载对应…

React 和 Vue 在技术层面有哪些区别?

React 和 Vue 是两个非常流行的前端框架&#xff0c;它们在技术层面有以下几点区别&#xff1a; 数据驱动方式不同&#xff1a;React 的数据驱动是单向的&#xff0c;即从父组件向子组件传递数据&#xff0c;子组件不能直接修改父组件的数据。Vue 的数据驱动则是双向的&#xf…

【攻防世界-misc】János-the-Ripper

1.下载并解压桌面 2.用记事本打开misc100&#xff0c;可以看见文件里面是有flag.txt文件的&#xff0c; 3.将文件复制到虚拟机kali中&#xff0c;使用命令&#xff1a;binwalk -e 桌面/misc100 4.解压完以后打开桌面&#xff0c;会出现一个分离后的文件夹&#xff0c;打开文件…

windows10 Arcgis pro3.0-3.1

我先安装的arcgis pro3.0&#xff0c;然后下载的3.1。 3.0里面有pro、help、sdk、还有一些补丁包根据个人情况安装。 3.1里面也是这些。 下载 正版试用最新的 ArcGIS Pro 21 天教程&#xff0c;仅需五步&#xff01;-地理信息云 (giscloud.com.cn) 1、安装windowsdesktop-…

Git删除临时分支

愿所有美好如期而遇 软件开发过程中&#xff0c;总有功能要添加进来&#xff0c;当我们有一个功能开发了一半的时候&#xff0c;产品经理说这个功能不需要了&#xff0c;尽管很无奈&#xff0c;但还是要删除&#xff0c;我开发到一半的分支如何删除呢&#xff1f; 所以需要使用…

第14关 快速定位业务服务慢的问题:利用 Ingress-Nginx 和日志查询实现高效故障排查

大家好&#xff0c;我是博哥爱运维。 有这样的一个生产场景&#xff0c;客户访问我们的服务请求超时或感觉很慢的时候&#xff0c;会向我们的客服反馈问题&#xff0c;这个时候&#xff0c;客服就会来找到我们运维让帮助排查下原因。 这里我们运维人员首先要对自己业务的整个…

记录Windows下安装redis的过程

开源博客项目Blog支持使用EasyCaching组件操作redis等缓存数据库&#xff0c;在继续学习开源博客项目Blog之前&#xff0c;准备先学习redis和EasyCaching组件的基本用法&#xff0c;本文记录在Windows下安装redis的过程。   虽然redis官网文档写着支持Linux、macOS、Windows等…