Muhe's Blog

本文目的主要介绍hexo-lazyload-image（图片懒加载）插件引发的bug以及相关API 问题描述网站开启图片懒加载后，首次加载页面图片不显示，但是刷新一次后会显示。 定位原因为了提升网页的浏览体验，开启了pjax优化，其原理在于pjax封装了ajax实现局部刷新，将网站变成了单页面应用。 懒加载插件如果配置不当，将与pjax插件发生冲突，导致以上bug。 解决办法找到hexo项目的根目录下的站点配置文件_config.yml，具体路径：blog/_config.yml，其中blog是你的项目文件夹。 找到lazyload配置，添上isSPA: true字段即可。 lazyload: enable: true onlypost: false # optional loadingImg: # optional eg ./images/loading.gif isSPA: true # optional 扩展来仔细看一下hexo-lazyload-image 插件的API，它共有5个配置项： lazyload: enable: true onlyp ...

0x00 前言网站禁用调试模式是一种常见的网站安全措施，旨在防止攻击者利用浏览器开发工具（如Chrome DevTools）对网站进行恶意攻击或窃取敏感信息。禁用调试模式通过限制或禁止开发工具的使用，增强网站的安全防护。 实现网站禁用调试模式的技术方法有多种。一种常见的方法是在网页代码中插入JavaScript代码来检测是否打开了开发工具。如果检测到开发工具被打开，则会禁用页面的一些功能，或将页面重定向到其他页面。这种方法的实现相对简单，但也存在一定的被绕过风险。 另一种更为安全的方法是使用服务器端的技术来检测是否打开了开发工具。服务器端可以检测客户端请求头中的User-Agent字段，以识别浏览器和开发工具的类型。如果检测到请求头中包含开发工具的信息，服务器端可以采取相应的措施来禁止对网站进行攻击。 本文主要介绍通过网站中引入JavaScript代码，禁止攻击者打开DEvtools实现。 0x01 实现步骤新建bandev.js文件在theme对应主题下的新建 source/js/bandev.js（自行修改提示文字） //禁止右键document.onco ...

0x00 前言在使用Clash节点的时候，有时候觉得自己的节点网速跑不满，速度不够快。这时候，我们可以尝试着使用负载均衡，来让节点的网速拉满。在渗透测试的时候，目标站点那边有WAF，操作没几分钟就被客户把IP ban掉了，如果使用clash挂上游代理，可以切换IP，但每次被封一个就切换一次，太麻烦，这块就可以使用负载均衡的方式，一个IP被ban后，直接自动切换下一个IP。。。 0x01 准备材料 Clash 节点配置 基于原版 Clash、Clash Premium 或 Clash Meta 的客户端 0x02 配置步骤CFW Parsers 打开 Clash For Windows，转到“设置”→“配置”。点击“预处理配置”右边的“Edit”按钮： 在内置编辑器中，粘贴以下内容并保存 parsers: - reg: 'slbable$' yaml: append-proxy-groups: - name: ⚖️ 负载均衡-散列 type: load-balance url: &# ...

0x00 背景目标站点：针对国密站点，此处举例某金融国密站点 使用工具：GMproxy、burp 说明：使用GMproxy和burp联动，抓取国密站点的数据包 0x01 GMproxy说明与使用1. 说明为保障重要系统的安全，国家密码管理局要求相应业务系统要做广泛的改造，改用中国标准的公钥密码算法。国密算法的支持已成为业务系统的重要安全保障。 但随着国密网站的增多，包括很多单位的办公SSL VPN也逐步改造为国密SSL VPN。很多常用浏览器不支持国密SSL网站访问的问题日益突出，如Chrome 、Edge、IE、FireFox火狐 等浏览器均不能访问国密SSL网站。 “GMProxy”正是来让任意浏览器支持国密网站的工具。GMProxy 为绿色软件，下载后解压即可使用。 2. 软件下载最新版的GMProxy：https://www.gmproxy.cn/GMProxy.msi 软件签名信息为: 北京水熊虫网络科技有限公司。 GMProxy.msi SHA1:0b163a967b96a212a16b74083faf78963b35f375 3. 安装证书帮助–>安装跟证书， ...

0x00 背景目标站点：某期货公司web站点 工具：charles、burp 说明：web站点开启burp后不能访问，但使用Charle抓包正常。 0x01 分析1、访问目标地址：可以正常访问 2、开启burp抓包，发现不能成功访问了 3、但是使用charles进行抓包，可以成功抓包并访问 4、所以，猜测当前站点有对burp证书进行检测。 0x02 解决办法双层代理屏蔽掉burp证书，让流量从 浏览器 –> burp –>Charles： 1、首先，在burp上配置上游代理，让burp的流量转发到Charles： 2、浏览器上正常开启burp代理 3、打开Charles，Charles默认监听8888端口： 4、重新访问地址，可以成功访问并抓包：

0x00 背景站点：内网 web 环境 访问方式：本地下载VPN连接，访问web站点 问题：使用burp正常抓包，发现没有响应 0x01 抓包分析1、首先，访问站点，使用burp抓包，发现可以抓到请求包，但没有响应 2、同时，开启burp代理抓包后，web站点不能访问；关闭代理，又可以正常访问： 关闭代理 开启代理 3、通过wireshark抓包分析，可以看到，当burp抓包重放后，流量不再经过我们的VPN，而是在发送到了当前WIFI所在内网中： 这块的 10.xx.xx.48为目标测试地址；10.101.22.62为当前wifi地址。 4、初步猜测，是easyconnect VPN不是全局代理，只是针对部分exe类应用，如浏览器(chrome.exe)、cmd.exe等做了代理。 0x02 解决办法使用端口转发工具做端口转发。让流量的一个走向为：浏览器->burp->端口转发->VPN->服务端 端口转发工具：ew（其它类似工具也可以） 转发代理：走socks5代理 1、使用ew设置全局端口转发 ...

针对与微信小程序，网上的工具比较多，但个人感觉比较好用的是 unveilr.exe。下面针对这个工具主要介绍一下使用方法。 定位小程序中加载的.wxapkg文件1、微信设置中找到文件夹所在位置。 2、定位过去，找到APPlet文件夹，该文件夹下面存放的是小程序加载后的缓存文件。 3、由于可能之前加载过其他的小程序，在定位目标程序之前，可以将APPlet文件夹下内容清空 4、加载目标程序，这块以【xxx就业】小程序为例 5、获取到加载的小程序.wxakg文件 unveilr反编译.wxakg文件1、使用如下命令，对目标小程序进行反编译 unveilr.exe "xxxx\Applet\wxff689bf2602ab223\12" //这块直接写文件夹名称就行，会自动读取加载的 微信开发者助手加载进行调试1、成功加载了小程序，但是有个报错：”不在以下 request 合法域名列表中” 解决办法：详情->本地设置，勾选上不校验合法域名： 重新加载小程序，发现没有报错了！ 2、点击【职位】模块， ...

新建文章命令： hexo new [layout] title 或 hexo n [layout] title 创建文章前要先选定模板，在hexo中也叫做布局。hexo支持三种布局（layout）：post(默认)、draft、page。 这块先介绍如何使用已有布局，后面还将会介绍如何自定义布局。 在博客目录下输入以下命令时，会默认使用post布局，然后自动在source_posts目录生成一个text.md文件： hexo n text 当然，也可以执行布局 hexo n [layout_name] draft1 该命令创建了一个使用特定布局的名为draft1的文章。 打开之前创建的test.md文件，可以看到文章开头包含如下内容： ---title: text1author: luyaodate: 2020-04-10 04:13:36tags: hexocategories: blog--- 如何自定义布局呢？实际上，布局是一个markdown文件，它们保存在scaffolds/目录下，可以看到hexo自带的三种布局其实就是三个.md文件： 每一个 ...

安装butterfly主题首先，在hexo的根目录下使用如下命令下载主题 git clone -b master https://github.com/jerryc127/hexo-theme-butterfly.git themes/butterfly npm安装pug 和 stylus 渲染器。不然会报错 npm install hexo-renderer-pug hexo-renderer-stylus --save 修改项目根目录下的_config.yml文件（称为站点配置文件），开启主题。 # Extensions## Plugins: https://hexo.io/plugins/## Themes: https://hexo.io/themes/theme: butterfly 【建议】 为了减少升级/修改主题带来的不便，可以将主题目录下（/blog/theme）的配置文件 _config.yml 重命名为 _config.butterfly.yml，复制到 Hexo 根目录下与_config.yml同级。 Hexo会自动合并主题 ...

前言使用Hexo和GitHub搭建博客的原理主要涉及静态网站生成与托管两个核心环节： 首先，Hexo是一个基于Node.js的静态博客框架。它的工作原理是解析使用Markdown（或其他渲染引擎）编写的文章，并利用主题模板生成静态网页。这意味着，当使用Hexo创建博客时，其实是在本地编写和预览博客的内容。Hexo的优势在于其快速、简洁且高效，使创作者无需关注太多技术细节。 然后，生成的静态网页需要托管到网络上以供他人访问。GitHub Pages是一个很好的选择，它是一个允许用户在其GitHub仓库上托管静态网页的服务。通过将Hexo生成的静态网页推送到GitHub仓库，并利用GitHub Pages的设置功能，就可以将博客发布到互联网上。 因此，使用Hexo+GitHub搭建博客的原理就是：利用Hexo生成静态网页，然后将这些网页托管到GitHub Pages上，从而实现博客的在线发布和访问。 具体来说，搭建过程主要包括以下几个步骤： 安装Git和Node.js，这是使用Hexo和GitHub的前提。 安装Hexo，并初始化博客项目。 在GitHub上创建个人仓库，用于存放博客 ...