ajax 安全读书笔记
1.胖客户端的部署方案
java web start
.net clickonce
2.入侵思路
HTTP数据的记录->发现ajax可能存在问题的点->绕过javascript的一些限制和破解javascript混淆代码->找到json的sql注入点->找到ajax可以添加管理员的回调函数和json相关
3.sql注入小技巧
union select name from sysobjects where xtype='U'只要得到相同的字段
4.客户端取消cookie认证不是保证了安全，而是把威胁又无形扩大了
5.ajax攻击层面包括了传统的WEB漏洞+WEB SERIVCES漏洞。
6. 报头中可能存在危险的注入
7.RSS注入(外部资料可以参考 black hat 2006年Robert Auger
http://www.cgisecurity.com/papers/RSS-Security.ppt的文章)
8.json的漏洞必须要验证序列化数据(外部参考资料black hat 2005 Attack web Services: The next Generation of vulneralbe enterprise apps下载地址http://www.blackhat.com/presentations/bh-usa-05/bh-us-05-stamos.pdf
和HackInTheBox的pentesting java/j2ee)
9.douglas防御Json的eval注入
相关文档：
传统型ASP.NET Web Forms是基于同时包含了表现层和后台代码的Web页面，所以，紧随其后出现的ASP.NET AJAX，特别是这个框架的服务器端控件并没有像它们本应该的那样光芒四射。于是，很多跟随AJAX时髦的ASP.NET开发者只是向ASP.NET页面中随意地放置一些UpdatePanel控件以便使其程序实现基本的AJAX支持。实际 ......
<script type="text/javascript">
//定义XMLHttpRequest对象变量
var xmlHttpRequest;
/*
* 创建XMLHttpRequest对象。
* 本函数主要完成XMLHttpRequest对象的创建，核心分为以下两个部分：
* 第一步：首先判� ......
公司最近给我一个任务：把一个用iframe做的留言板改写用Ajax做，这样做的原因是：对搜索引擎的优化。虽然很早就知道Ajax可以做局部刷新，但因为自己是刚毕业入职的菜鸟，仅仅是知道有这么个技术可以做这样一功能而已。一边学一边做。现在这功能还没完全弄好，先总结下思路以便更好的学习：
业务逻辑：在线研讨会，提问者页 ......
Dynatrace AJAX Edition是我认为最为强大的Web Performance Profile工具。废话不说了，直接上图介绍其主要功能。
先用IE访问你需要profile的网站，例如google，可以点击dynatrace工具栏来启动。这时候dynatrace就开始记录这个网站触发的一切事件。
我简单测试一下，点击google map，并且搜索shanghai，然后回去看看dyn ......
如何在客户端直接调用WebService中的方法？
这里结合经验自己写一写
1.首先新建一个 ASP.NET AJAX-Enabled Web Site,这样系统为我们自动配置好了环境，这主要体现在Web.config这个文件上，如果已有网站不是ASP.NET AJAX-Enabled Web Site也可以对照修改下Web.config，也可以达到相同的效果。
2.新建一个web服务，WebSer ......
