本文目录一览：
XSS小问题
page= ;alert(document.cookie);
你没有闭合双引号，导致；alert(document.cookie); 成了变量的值了
右键网页源码中如下：var page=";alert(document.cookie);";
正确答案其实有很多种只要闭合两端的引号 中间的js代码可以有多种变化。
";\u0061lert(document.cookie);"
";alert(document.cookie);//
这是很基础的问题
慢慢学 多去wooyun知识库看看
XSS攻击的背景知识
1.1 什么是XSS攻击
XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞旁路掉访问控制——例如同源策略(same origin policy)。这种类型的漏洞由于被黑客用来编写危害性更大的网络钓鱼(Phishing)攻击而变得广为人知。对于跨站脚本攻击，黑客界共识是：跨站脚本攻击是新型的“缓冲区溢出攻击“，而JavaScript是新型的“ShellCode”。
数据来源：2007 OWASP Top 10的MITRE数据
注：OWASP是世界上最知名的Web安全与数据库安全研究组织
在2007年OWASP所统计的所有安全威胁中，跨站脚本攻击占到了22%，高居所有Web威胁之首。
XSS攻击的危害包括
1、盗取各类用户帐号，如机器登录帐号、用户网银帐号、各类管理员帐号
2、控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力
3、盗窃企业重要的具有商业价值的资料
4、非法转账
5、强制发送电子邮件
6、网站挂马
7、控制受害者机器向其它网站发起攻击
1.2 XSS漏洞的分类
XSS漏洞按照攻击利用手法的不同，有以下三种类型：
类型A，本地利用漏洞，这种漏洞存在于页面中客户端脚本自身。其攻击过程如下所示：
Alice给Bob发送一个恶意构造了Web的URL。
Bob点击并查看了这个URL。
恶意页面中的JavaScript打开一个具有漏洞的HTML页面并将其安装在Bob电脑上。
具有漏洞的HTML页面包含了在Bob电脑本地域执行的JavaScript。
Alice的恶意脚本可以在Bob的电脑上执行Bob所持有的权限下的命令。
类型B，反射式漏洞，这种漏洞和类型A有些类似，不同的是Web客户端使用Server端脚本生成页面为用户提供数据时，如果未经验证的用户数据被包含在页面中而未经HTML实体编码，客户端代码便能够注入到动态页面中。其攻击过程如下：
Alice经常浏览某个网站，此网站为Bob所拥有。Bob的站点运行Alice使用用户名/密码进行登录，并存储敏感信息(比如银行帐户信息)。
Charly发现Bob的站点包含反射性的XSS漏洞。
Charly编写一个利用漏洞的URL，并将其冒充为来自Bob的邮件发送给Alice。
Alice在登录到Bob的站点后，浏览Charly提供的URL。
嵌入到URL中的恶意脚本在Alice的浏览器中执行，就像它直接来自Bob的服务器一样。此脚本盗窃敏感信息(授权、信用卡、帐号信息等)然后在Alice完全不知情的情况下将这些信息发送到Charly的Web站点。
类型C，存储式漏洞，该类型是应用最为广泛而且有可能影响到Web服务器自身安全的漏洞，骇客将攻击脚本上传到Web服务器上，使得所有访问该页面的用户都面临信息泄漏的可能，其中也包括了Web服务器的管理员。其攻击过程如下：
Bob拥有一个Web站点，该站点允许用户发布信息/浏览已发布的信息。
Charly注意到Bob的站点具有类型C的XSS漏洞。
Charly发布一个热点信息，吸引其它用户纷纷阅读。
Bob或者是任何的其他人如Alice浏览该信息，其会话cookies或者其它信息将被Charly盗走。
类型A直接威胁用户个体，而类型B和类型C所威胁的对象都是企业级Web应用。
web前端开发需要学习什么知识？
最近不少小伙伴都会留言问，零基础学习前端需要了解哪些知识，小白学习Web前端开发容易吗？针对大家的疑问，下面，尚学堂前端学院给大家介绍一下。
首先，先给大家介绍一下前端工程师到底是做什么的。
他们主要的工作是把UI的设计图按照w3c标准做成html页面，并且用javascript脚本语言实现页面上的前端互动。互动效果包括，弹出层，页签切换，图片滚动，ajax异步互动。
高级前端工程师还要承担前端优化的工作，优化的知识就会更多一些，比如文件过期Expires，缓存，异步缓存，js和css以及图片的压缩等。
前端开发是一项很特殊的工作，前端工程师的工作说的轻送，看似轻巧，但做起来绝对不是那么的简单。在开发过程中涵盖的东西非常宽广，既要从技术的角度来思考页面的实现，规避技术的死角，又要从用户的角度来思考，怎样才能更好地接受技术呈现的枯燥的数据，更好地呈现信息。简单地说，它的主要职能就将网站的数据和用户的接受更好地结合在一起，为用户呈现一个友好的数据界面。
前端工程师是一个很新的职业，在国内乃至国际上真正开始受到重视的时间不超过5年。互联网的发展速度迅猛，网页WEB1.0到WEB2.0，再到新生的HTML5、CSS3，到现在手机、3G网络等新科技的兴起，网页也由最原先的图文为主，到现在各种各样的基于衰前端技术实现的应用、交互和富媒体的呈现，更多的信息，更丰富的内容、更友好的体验，已经成为网站前端开发的要求，网站的前端开发发生了翻天覆地的变化。网站的开发对前端的需要越来越重要，但目前前端工程师的需要越来越重要，但目前前端工程师需求大于供给，前端人才非常紧缺。所以高质量的前端开发工程师将会是后五年内一个非常热门的职业，发展的前景非常可观。
那么，零基础小白学Web前端需要了解哪些知识呢？
如果你是一个刚入门的零基础小白，那你首先肯定要掌握的是前端开发的基础知识，相关的程序语言；HTML、CSS、JauaScript，在页面的布局时，HTML将元素进行定义，CSS对展示的元素进行定位，再通过JavaScript实现相应的效果和交互。这些知识都是基础，必须熟练掌握，才能进行流畅的编写。
学程序语言，当然是与工具相辅相成的，学语言的同时，需要掌握的就是开发工具的使用，对于新手来说，初学用到的是几个比较常见的工具：
1，Dreamweaver：，集网页制作和管理网站于一身的所见即所得网页代码编辑器。
2，Sublime，全称Sublime Text ，是一个主要功能包括拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口的代码编辑器
3，HBuilder：是DCloud,推出的一款支持HTML5的Web开发IDE。
熟悉这些工具之后，你一定对基础的开发工作有一定的了解了，这时候要提升自己的能力，就可以学习更多工具的使用，比如Bootstrap能给你的Web开发提供了更时尚的版式，表单，buttons，表格，网络系统等。Secureheaders能够自动实施安全相关的header规则，防止XSS、HSTS等攻击
前端开发之路不是一成不变的，可能会根据时代的发展，软件的更新，学的内容也有所变化，不过，打好基础，无论学习哪方面的知识，都得心应手。
简单的了解之后呢，就是重头戏了!
前端小白如何学习web前端呢？
前端自学者存在的学习误区：
所学东西可能已过时
奉为经典的的东西已经过时，或者已经有了更好的替代者，而你获取信息的渠道有限，消息滞后，导致学习内容也相对滞后。
2.学习方法盲目
看书看不懂就找视频类教程学习，觉得教程跟自己的口味不符就另寻他法，因为自己缺少对资源的辨识能力，总是在没有清晰规划学习路线的的情况下就盲目学习，导致无效学习时间过长而收获寥寥。
3、只有理论，缺乏真实项目锻炼
对技术的理解停留在理论层次，而缺乏真实企业项目的历练，如果没有相关实习或工作经历，对前端岗位具体的责任划分和工作流程了解不充分。
如何自学前端知识：
自学方法：
作为一个初学者，你必须明确系统的学习方案，我建议一定有一个指导的人，全靠自己学，放弃的几率非常大，在你对于web前端还没有任何概念的时候，需要一个人领进门，之后就都靠自己钻研，第一步就是确定web前端都需要哪些内容，并且在多少时间内学完，建议时间6个月保底。
2.视频为主，书为辅。很多初学者在学习前端的时候非常喜欢去买书，但是最后的结果是什么？看来看去什么都不会写，所以在这里给大家提醒，书可以看，但是是建立与你已经对某个知识点有了具体操作的执行后，在用书去巩固概念，这样更加有利于你对知识的理解。
3.对于学习技术来讲，掌握一个学习方法是非常重要的，其实对于web前端来讲，学习方法确实很多都是相通的，一旦学习方法不对，可能就会造成“方法不对，努力白费”。其实关于这方面还是很多的，我就简单说个例子，有的人边听课边跟着敲代码，这样就不对，听课的时候就专心听，做题的时候就专心做题，这都是过来人的经验，一定要听。根据每个人的不同，可能学习方法也会有所出路，找到适合你自己的学习方法是学习的前提。
4.不建议自己一个人瞎学，在我了解学习编程的这些人来看，从零基础开始学并且最后成功做这份工作的其实并没有几个，我觉得大部分原因就是因为他们都不了解web前端是干什么的，学什么的，就盲目地买书看，到处找视频看，最后看着看着就放弃了，所以我建议初学者在没有具体概念之前，还是找有经验的人请教一下，聊过之后你就会知道web前端具体是干什么的，该怎么学，这是我个人的小建议，可以不采纳。
必读的前端书籍资料：
1、《JavaScript DOM 编程艺术》
超级前端畅销书，作为前端程序员必读两遍以上的书籍，这本书籍特别适合初学前端的新人，前端的核心技术就是JavaScript，同时也是前端的难点。而这本书非常适合入门，通俗易懂，生动的案例可以让初学者更好的进行理解。所提及的很多编程思想却适合低中级层次的前端开发者学习。
2、《JavaScript权威指南》
同样是前端程序员必读的一本书籍，不仅适合初学者，还适合那些已经在做前端工作的程序员进行随时翻阅。里面涵盖了JavaScript的所有内容，以及web浏览器所实现的JavaScript API。对于了解js的基础知识，比如对象，数组，语法，作用域，闭包等等都很有帮助。
3、《JavaScript 高级程序设计》
如果你想把JavaScript非常完全的系统学习一遍，我强烈推荐这本书，这本书可以一直保留，在用这本书的过程中还可以画下重点，以后可以作为参考，是工作中非常强力的帮手。面试的时候也可以很好的应用上，我们俗称的“红宝书”。
4、《你不知道的JavaScript》
这本书不适合前端的初学者，想要深入的了解JavaScript原理，这是每一个前端程序员必须要研究的一本书籍。要让不求甚解的JavaScript开发者迎难而上，深入语言内部，弄清楚JavaScript每一个零部件的用途。如果可以把这本书吃透，那么以后理解任何东西都可以很快的理解和掌握。
5、《Vue.js权威指南》
Vue作为现在前端的主流框架，在国内应用最为广泛，所以了解Vue原理必须要啃一本Vue的书籍。我之所以推荐这本，是因为这本书对于引导初用Vue的开发者有着质的提升。从基础知识到主流打包以及源码解析，还有很多实践的案例，都是一本不错的实用性书籍。主要内容包括数据绑定、指令、表单控件绑定、过滤器、组件、表单验证、服务通信、路由和视图、vue-cli、测试开发和调试、源码解析及主流打包构建工具等。该书内容全面，讲解细致，示例丰富，适用于各层次的开发者。
6、《编程之美》
无论是什么岗位的程序员，必读的一本书籍，没有读过这本书的程序员几乎都是假程序员。这本书有60道算法和程序设计题目，这些题目大部分在近年的笔试，面试中出现过，或者是被微软员工热烈讨论过。作者试图从书中各种有趣的问题出发，引导读者发现问题，分析问题，解决问题，寻找更优的解法。可以大幅度提高自己的编程思维和对于这个行业的深入思考，最终变成技术大牛。
学习路线：
第1阶段：前端页面重构(4周)
内容包含了：(PC端网站布局项目、HTML5+CSS3基础项目、WebApp页面布局项目)
第2阶段：JavaScript高级程序设计(5周)
内容包含：(原生JavaScript交互功能开发项目、面向对象进阶与ES5/ES6应用项目、JavaScript工具库自主研发项目)
第3阶段：PC端全栈项目开发(3周)
内容包含：(jQuery经典交互特效开发、HTTP协议、Ajax进阶与PHP/JAVA开发项目、前端工程化与模块化应用项目、PC端网站开发项目、PC端管理信息系统前端开发项目)
第4阶段：移动端项目开发(6周)
内容包含：(Touch端项目、微信场景项目、应用Angular+Ionic开发WebApp项目、应用Vue.js开发WebApp项目、应用React.js开发WebApp项目)
第5阶段：混合(Hybrid,ReactNative)开发(1周)
内容包含：(微信小程序开发、ReactNative、各类混合应用开发)
第6阶段：NodeJS全栈开发(1周)
内容包括：(WebApp后端系统开发、一、NodeJS基础与NodeJS核心模块二、Express三、noSQL数据库)
视频教程：
以上就是尚学堂前端学院为您简单介绍的关于web前端小白的学习路程。
总的来说，零基础小白学习Web前端除了要了解整个前端行业的动态及发展外，还应该学习HTML、CSS、JavaScript等知识，是一个庞大而复杂的技术体系。
如果你对于学习前端技术感兴趣，想学一门新技术，我给你提供一个非常不错的前端学习交流qun：一一四一八八四九三一。有问题就在里面问我，这样你可以少走很多弯路，做起来有效率，记得多跟有经验的人交流，别闭门造车。如果没有比较好的教程，也可以管我要。
本文由尚学堂前端学院原创，欢迎关注，带你一起学习Web前端知识！
学习网络安全需要哪些基础知识？
一些典型的网络安全问题，可以来梳理一下：
IP安全：主要的攻击方式有被动攻击的网络窃听，主动攻击的IP欺骗（报文伪造、篡改）和路由攻击（中间人攻击）；
2. DNS安全：这个大家应该比较熟悉，修改DNS的映射表，误导用户的访问流量；
3. DoS攻击：单一攻击源发起的拒绝服务攻击，主要是占用网络资源，强迫目标崩溃，现在更为流行的其实是DDoS，多个攻击源发起的分布式拒绝攻击；
《计算机基础》、《计算机组成原理》、《计算机网络》 是三本关于计算机基础的书籍，强烈推荐给你，看完之后可以对计算机的东西有个初步的了解。
拓展资料：
1、上网前可以做那些事情来确保上网安全？
首先，你需要安装个人防火墙，利用隐私控制特性，你可以选择哪些信息需要保密，而不会不慎把这些信息发送到不安全的网站。这样，还可以防止网站服务器在你不察觉的情况下跟踪你的电子邮件地址和其他个人信息。其次,请及时安装系统和其它软件的补丁和更新。基本上越早更新,风险越小。防火墙的数据也要记得及时更新。
2、如何防止黑客攻击？
首先，使用个人防火墙防病毒程序以防黑客攻击和检查黑客程序（一个连接外部服务器并将你的信息传递出去的软件）。个人防火墙能够保护你的计算机和个人数据免受黑客入侵，防止应用程序自动连接到网站并向网站发送信息。
其次，在不需要文件和打印共享时，关闭这些功能。文件和打印共享有时是非常有用的功能，但是这个特性也会将你的计算机暴露给寻找安全漏洞的黑客。一旦进入你的计算机，黑客就能够窃取你的个人信息。
3、如何防止电脑中毒？
首先，不要打开来自陌生人的电子邮件附件或打开及时通讯软件传来的文件。这些文件可能包含一个特洛伊木马程序，该程序使得黑客能够访问你的文档，甚至控制你的外设，你还应当安装一个防病毒程序保护你免受病毒、特洛伊木马程序和蠕虫侵害。
4、浏览网页时时如何确保信息安全？
采用匿名方式浏览，你在登录网站时会产生一种叫cookie（即临时文件，可以保存你浏览网页的痕迹）的信息存储器，许多网站会利用cookie跟踪你在互联网上的活动。
你可以在使用浏览器的时候在参数选项中选择关闭计算机接收cookie的选项。（打开 IE浏览器，点击 “工具”—“Internet选项”， 在打开的选项中，选择“隐私”，保持“Cookies”该复选框为未选中状态，点击按钮"确定"）
5、网上购物时如何确保你的信息安全？
网上购物时，确定你采用的是安全的连接方式。你可以通过查看浏览器窗口角上的闭锁图标是否关闭来确定一个连接是否安全。在进行任何的交易或发送信息之前阅读网站的隐私保护政策。因为有些网站会将你的个人信息出售给第三方。在线时不要向任何人透露个人信息和密码。