之前在论坛上就看到过国外安全研究者利用postMessage引发的dom xss从而达到劫持facebook账户的目的，既然最近一直在研究前端安全问题，便也把这个问题学习研究一下
由一道ctf题目了解service worker
最早其实是在画船听雨师傅的博客中看到这个名词，博客中写的是利用service worker劫持百度的passport域，刚好一位朋友拿着这道ctf问到了我，便趁着这个机会写下这篇文章作为学习。
一篇渗透文章的“读后感”
翻翻圈子，看到某位师傅转载了一篇渗透文章，从前台到最后获取服务器root，作者的思路极为的清晰，当然渗透中利用到的技巧也有我所不了解的，所以文章不仅学习技巧也同样学习这位师傅的思路（文章写的也是非常的好，读起来非常舒服）
定位前端加密的几种方法
对一个网站进行测试的时候，会经常碰到可能没有设置验证码，但是对登录的数据包进行了加密，导致我们无法对登录处进行暴力破解，c0ny1师傅编写了一个插件jsEncrypter，如果定位不到加密的地方，这个插件也无法使用，看了网上一些文章加自己亲手测试，总结几个比较好用的方法。
写给自己
12月的第一天，发现自己也这么长时间没更新博客了，躺在床上写了这篇一直想写却因其他事情没写的小总结，对目前进行了一个小阶段的挖洞过程进行总结，也对后面的学习进行一些小小的规划。
护网几个漏洞的简单复现
护网过去了两天，爆出了几个漏洞。既然poc已经出了就简单复现一下。
《一起来玩一些BAT的XSS实例》做题笔记
一篇很早在先知发的一篇xss挑战，之前只做了前几题，最近js的书刚看完了，便把以前收藏的一些xss的题目拿来做做。
waf绕过方式小结
waf不单单局限于绕过waf过滤的字符以突破waf，也可以通过waf缺陷，解析机制等方式突破waf。文章参考2019 Kcon大会上pyn3rd的议题《云时代的waf突破》
我的漏洞测试项
最近在挖src，总结一下自己的测试项，当然根据不同的业务有着不同的测试点。此篇文章对通用的测试点进行总结，当然以后碰到没遇到的测试点会更新。
继续阅读“我的漏洞测试项”业务安全实战指南阅读笔记
最近在看《Web攻防之业务安全实战指南》，里面有些业务逻辑漏洞自己不曾遇到过，遂记录一下方便以后查看
继续阅读“业务安全实战指南阅读笔记”