WEB技术发展

静态web
动态web

  • 应用程序
  • 数据库

  • 每人看到的内容不同

    WEB攻击面不同

  • network

  • OS
  • web server
  • app server
  • database

  • browser

    HTTP协议基础

    明文

  • 无内建的机密性安全机制

  • 嗅探或代理截断可查看全部明文信息
  • https只能提高传输层安全

无状态

  • 每一次C/S通信都是独立的过程
  • web应用要跟踪客户端会话
  • 不使用cookie的应用，客户端每次请求都要重新身份验证

  • session用于在用户身份验证后跟踪用户行为轨迹

    重要的header

  • set-cookie：服务端发给客户端的sessionID（有被盗窃的风险）

  • content-length：响应body部分的字节长度
  • location：重定向用户到另一个页面，可识别身份认证后允许访问的页面
  • cookie：客户端发回给服务端证明用户状态的信息（头：值，成对出现）

  • referrer：发起请求前用户位于哪个页面，服务器基于此头的安全限制很容易被修改绕过

    响应码

    响应码

  • 100s：服务器响应信息，通常表示服务器还有后续处理

  • 200s：请求被服务器成功接收并处理后返回的结果
  • 300s：重定向，通常在身份认证成功后重定向到一个安全页面
  • 400s：表示客户端请求错误，401需要身份验证，403拒绝访问，404目标未发现
  • 500s：服务器内部错误，503服务不可用