这种前后端分离的站确实是打得少，这里备份一个文章，简单的讲解了一下Vue下的渗透测试
这篇文章很不错的总结了今年护网所用的一些技术、手法等。 我感觉今年护网已经有点WPS攻防战的感觉了，不像是对各家公司做测试，更像是WPS挖洞大赛。 最后针对文中的提到的免费C2或者说是签名C2，网上有人总结好了云上远控
昨天在逛微信群的时候发现有人提出了一个这样的问题： 上传处可以上传任意的PHP文件，但是会对这些文件做压缩，导致存放在图片内部的PHP代码无法完整的传到对方的服务器上。 最终是依赖这个项目解决的 php-jpeg-injector 做记录，以后遇到了找这个项目试一试。
最近准备学习近期比较火爆的Go语言，找了半天，找了几个不错的学习Go的网站 入门 Go编程时光 从部署环境开始讲的文章，非常Nice.边学边敲，应该一天差不多能入门好这门语言 白帽子安全开发实战 这本书上来就是一堆代码，但是没有讲Go的基础，所以打算后面去看。可以去微信读书免费看(但好像是我有个什么读书券) 其他的就是阅读一些Go的项目，然后直接开干！
作者说这是个水洞的好方法，在我看来他确实有这方面的功效。但回来想跟进一下这个功能，看看能否扩充为一个钓鱼场景下的一个弹框，比如在浏览这个pdf前直接弹窗需要登录该系统，这样我们说不定就会获取某个人员的账号，并且域名与系统均是白的。当然，这需要一些JS手法，这是我目前的研究方向：利用XSS完成更高阶的后利用
总结：
1.水洞，用于甲方或领导让你必须挖出漏洞的场景
2.尝试水坑钓鱼