JavaScript伪造,javascript冒号

js弹出的遮罩层，如何能遮住全屏？

工具：电脑；浏览器；ultraedit软件；

操作步骤如下：

1、打开UE编辑器，新建一个空白的html文件和css文件；

2、在html文件中输入以下html代码；

3、在css文件中输入以下css代码；

4、编辑完成之后，选择格式为UTF8-无 BOM模式，保存文件；

5、在浏览器中打开此html文件，可以看到最终想要实现的遮住全屏效果。

相关问答

Q1: csrf的具体含义

Cross-site request forgery:跨站请求伪造，也被称成为“one click attack”或者session riding，通常缩写为CSRF或者XSRF，是一种对网站的恶意利用。尽管听起来像跨站脚本（XSS），但它与XSS非常不同，并且攻击方式几乎相左。XSS利用站点内的信任用户，而CSRF则通过伪装来自受信任用户的请求来利用受信任的网站。与XSS攻击相比，CSRF攻击往往不大流行（因此对其进行防范的资源也相当稀少）和难以防范，所以被认为比XSS更具危险性。

示例和特性

« ‹ › »

CSRF攻击通过在授权用户访问的页面中包含链接或者脚本的方式工作。例如：一个网站用户Bob可能正在浏览聊天论坛，而同时另一个用户Alice 也在此论坛中，并且后刚刚发布了一个具有Bob银行链接的图片消息。设想一下，Alice编写了一个在Bob的银行站点上进行取款的form提交的链接，并将此链接作为图片tag。如果Bob的银行在cookie中保存他的授权信息，并且此cookie没有过期，那么当Bob的浏览器尝试装载图片时将提交这个取款form和他的cookie，这样在没经Bob同意的情况下便授权了这次事务。

CSRF是一种依赖web浏览器的、被混淆过的代理人攻击（deputy attack）。在上面银行示例中的代理人是Bob的web浏览器，它被混淆后误将Bob的授权直接交给了Alice使用。

下面是CSRF的常见特性：

依靠用户标识危害网站

利用网站对用户标识的信任

欺骗用户的浏览器发送HTTP请求给目标站点

风险在于那些通过基于受信任的输入form和对特定行为无需授权的已认证的用户来执行某些行为的web应用。已经通过被保存在用户浏览器中的cookie进行认证的用户将在完全无知的情况下发送HTTP请求到那个信任他的站点，进而进行用户不愿做的行为。

使用图片的CSRF攻击常常出现在网络论坛中，因为那里允许用户发布图片而不能使用JavaScript。

防范措施

« ‹ › »

对于web站点，将持久化的授权方法（例如cookie或者HTTP授权）切换为瞬时的授权方法（在每个form中提供隐藏field），这将帮助网站防止这些攻击。一种类似的方式是在form中包含秘密信息、用户指定的代号作为cookie之外的验证。

另一个可选的方法是“双提交”cookie。此方法只工作于Ajax请求，但它能够作为无需改变大量form的全局修正方法。如果某个授权的 cookie在form post之前正被JavaScript代码读取，那么限制跨域规则将被应用。如果服务器需要在Post请求体或者URL中包含授权cookie的请求，那么这个请求必须来自于受信任的域，因为其它域是不能从信任域读取cookie的。

与通常的信任想法相反，使用Post代替Get方法并不能提供卓有成效的保护。因为JavaScript能使用伪造的POST请求。尽管如此，那些导致对安全产生“副作用”的请求应该总使用Post方式发送。Post方式不会在web服务器和代理服务器日志中留下数据尾巴，然而Get方式却会留下数据尾巴。

尽管CSRF是web应用的基本问题，而不是用户的问题，但用户能够在缺乏安全设计的网站上保护他们的帐户：通过在浏览其它站点前登出站点或者在浏览器会话结束后清理浏览器的cookie。

影响CSRF的因素

«‹ › »

CSRF攻击依赖下面的假定：

攻击者了解受害者所在的站点

攻击者的目标站点具有持久化授权cookie或者受害者具有当前会话cookie

目标站点没有对用户在网站行为的第二授权

外部链接

Q2: js写死是什么意思？

写死就是固定了数据，不是通过后台接口传输的数据，

例如：box.innerHTML = '欢迎来到javascript',

内容是由自己规定的。又例如：你要随机输出一个数组元素：

var arrays = [12, 13, 15, 17, 0, 9];

var n = Math.floor(Math.random() * arrays .length + 1)-1;

数组的内容是你自己定义的，输出的都是arrays数组定义的元素，这样就叫做写死，

如果不是写死的，就是例如这样的：

var arrays = []; //数组一开始是空的，这里的内容是通过后端的接口返回的数据push进来的。

var n = Math.floor(Math.random() * arrays .length + 1)-1;

这样的话你输出的内容就是动态的，只有后端的数据发生了改变，你输出的内容也会跟着改变。

Q3: 怎么用javascript xmlhttp 伪造Referer 来绕过来源检测

以前对Http中Referer的认识不够透彻。最近理了理，记录一下。 1 Referer可以记录访问的来源，统计访问量，可以用来防盗链。 2 客户端用js不能篡改Referer，用一些插件什么的可以达到伪造的目的。 3 可以使用Fiddler修改Referer。

Q4: 客户端（javascript）Cookie的引用，安全漏洞如何解决？

你好，cookies本来就是个不安全的东西，原本设计只是为了更好地和用户交互，但是使用不当就会总成账户信息泄露，甚至账户被伪造。cookies可在客户端被修改，所以不要在cookies里存储重要的信息，如账户信息(用户密码、用户验证密钥、用户隐私资料等)、登陆控制信息（用户登陆签证等）、会话信息等。建议将重要的信息保存在服务端，若是全部页面需要的参数、常数可使用session存储。

总的来说，应遵循以下原则：

和用户账户相关的信息特别是涉及到安全验证和安全授权的信息都应保存在服务端，需要有记录的保存到数据库，不需要记录的保存到session。

所有及到安全验证和安全授权的信息都应保存在服务端！！

仅仅只是改善用户体验和用户交互的可保存在cookies。

Q5: java script是不是寄生语言？

JavaScript是寄生语言。

“寄生”这个概念来源于生物学。

生物学上的概念，寄生，即两种生物在一起生活，一方受益，另一方受害，后者给前者提供营养物质和居住场所，这种生物的关系称为寄生。

但实际上JavaScript作为寄生语言并不会对计算机设备造成破坏。

JavaScript

JavaScript一种直译式脚本语言，是一种动态类型、弱类型、基于原型的语言，内置支持类型。它的解释器被称为JavaScript引擎，为浏览器的一部分，广泛用于客户端的脚本语言，最早是。HTML（标准通用标记语言下的一个应用）网页上使用，用来给HTML网页增加动态功能。

通俗的来讲，JavaScript就是用来做网页的，给网页增加动态效果，如轮播，置顶等等。

JavaScript具有很好的继承性。

寄生组合式继承，就是通过伪造对象来继承属性，通过原型链的混成形式来继承方法。 

这种技术的基本思路是：不必为了指定子类型的原型而调用超类型的构造函数，因为我们所需要的只是超类型原型的一个副本而已(这一点正是组合继承的问题，并且正是JavaScript这种原型式语言的强大之处，直接copy对象-原型对象)。本质上，就是使用寄生式继承来继承超类型的原型，然后再将结果指定给子类型的原型。

JavaScript是一种寄生语言，它寄生于计算机浏览器但并不会对浏览器造成破坏。