Web通信原理

Web服务器通信原理

一.基础知识介绍

常见的服务器系统:

Windows 和 Linux 的区别:

Windows的路径:C:\Windows\Help>  
Linux的路径:/etc/init#

看到看到 盘符 一定是WINDOWS，看到 / 开头一般都是LIUNX( 拿macOS做系统很罕见)

绝对路径,相对路径

绝对路径:文件在硬盘上真正存在的路径

相对路径:自己相对与目标位置

CMD命令

渗透测试 常用的Cmd命令:

dir 显示当前目录

net user查看

cd 跳转XX目录

systeminfo 查看计算机信息

ipconfig 查询自己的ip地址

网络知识方面

**IP **:内网IP和公网IP;

判断方法:(知道内网地址了,其他的就是公网地址)

内网地址 取值范围:

A类 ：10.0.0.0-10.255.255.255

B类 ：172.16.0.0-172.31.255.25

C类 ：192.168.0.0-192.168.255.255

**DNS(域名系统) **:

域名 实际上是为了方便记忆所发明的一个字符型标识

DSN 将域名转化为ip的一个协议
子域名 : 顶级域名、二级域名、三级域名.(几个点就是几级)

**端口(port) **:

每个端口对应不同的服务

范围 是从0 到65535（2^16-1）

HTTP协议( 超文本传输协议 ):

是互联网上应用最为广泛的一种网络协议

设计HTTP最初的目的是为了提供一种发布和接收HTML页面的方法,访问网站大都是用HTTP协议

 **HTTP数据包的简介** :  
GET / HTTP/1.1                                   **#GET是请求方式  HTTP/1.1是协议版本** Host: node3.buuoj.cn:25028                       **#Host是访问的域名** User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/90.0.4430.212 Safari/537.36              # **告诉HTTP服务器， 客户端使用的操作系统和浏览器的名称和版本  
** Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9    **#浏览器端可以接受的媒体类型** Accept-Encoding: gzip, deflate                       # **浏览器申明自己接收的编码方法** Accept-Language: zh-CN,zh;q=0.9,en-US;q=0.8,en;q=0.7   **#浏览器申明自己接收的字符集**

网页浏览的流程

访客角度分析 :

 **输入协议://域名访问== >DNS服务器找对应IP==>IP收到请求,进行处理返回结果给你==>浏览器将结果处理展示给你看**

一. 用户在浏览器输入协议://域名,

二. 用户浏览器通过系统 → 向DNS服务器查询域名对应的IP地址

三. 用户浏览器向查询到的IP地址(Web服务器)发起HTTP请求

四. 服务器分析用户请求，从中提取数据，处理后返回一个http响应

五. 浏览器收到响应后提取状态、协议编码、正文的有效信息，然后翻译成人类能够直观理解的图形界面并显示

Web容器:

Web容器可以向发出请求的浏览器提供文档的程序。

WEB容器是一种被动程序：只有其他计算机发出的请求该容器时，容器才会响应。

Web容器的主要功能是存储，处理和传递网页给客户。客户端和服务器之间的通信使用超文本传输​​协议（HTTP）进行。交付的页面最常见的是HTML文档，除了文本内容之外，还可能包含图像，样式表和脚本。

Web容器 的解析：

快速自建web安全测试环境

什么是动态语言

动态语言 是对 服务器行为的编程 。这被称为 服务器端脚本或服务器脚本 。

常见的服务器脚本 :

Asp,Aspx(windows);  
PHP(全平台);  
JSP(全平台)（java）  
python(全平台)

动态语言 能做什么 ：

1.动态地向 web 页面 编辑、改变或添加 任何的内容

2.对由 HTML 表单提交的用户请求或数据 进行响应

3. 访问 数据或数据库，并向浏览器返回结果

4.为 不同的用户 定制页面

5.提高 网页安全性 ，使您的网页代码不会通过浏览器被查看到

服务器环境的快速搭建

常见服务器 快速搭建的软件:

JSP(Tomcat)

PHP(PHPStudy) windows

**PHP(lnmp) linux **

宝塔、Lamp

PhPstudy功能介绍

PHPStudy使用说明教程:
https://www.php.cn/phpstudy-377909.html

快速搭建一个网站(通过CMS)

CMS 意为"内容管理系统",实际上就是一个 快速建站的模板 ，常见的CMS有织梦、Dz论坛等

获取CMS源码方式： 可以去 官方下载 也可以去一些 源码交流论坛 还可以去 github 下载

织梦CMS ：http://www.dedecms.com/products/dedecms/downloads/

CMS源码解压后放入 WWW目录 ，然后直接去访问 upload文件夹 ，然后可以直接进入 安装引导

安装过程仅仅只需要你输入 数据库密码 就可以安装成功了

install 文件夹

ads/ “织梦CMS”)

CMS源码解压后放入 WWW目录 ，然后直接去访问 upload文件夹 ，然后可以直接进入 安装引导

安装过程仅仅只需要你输入 数据库密码 就可以安装成功了

install 文件夹

[外链图片转存中…(img-WfqEKgb9-1694446100592)]

接下来我将给各位同学划分一张学习计划表！

学习计划

那么问题又来了，作为萌新小白，我应该先学什么，再学什么？
既然你都问的这么直白了，我就告诉你，零基础应该从什么开始学起：

阶段一：初级网络安全工程师

接下来我将给大家安排一个为期1个月的网络安全初级计划，当你学完后，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；其中，如果你等保模块学的好，还可以从事等保工程师。

综合薪资区间6k~15k

1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（1周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（1周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（1周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

那么，到此为止，已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗？

阶段二：中级or高级网络安全工程师（看自己能力）

综合薪资区间15k~30k

7、脚本编程学习（4周）
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力。

零基础入门的同学，我建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习
搭建开发环境和选择IDE，PHP环境推荐Wamp和XAMPP，IDE强烈推荐Sublime；

Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，没必要看完

用Python编写漏洞的exp,然后写一个简单的网络爬虫

PHP基本语法学习并书写一个简单的博客系统

熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)

了解Bootstrap的布局或者CSS。

阶段三：顶级网络安全工程师

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

学习资料分享

当然，只给予计划不给予学习资料的行为无异于耍流氓，这里给大家整理了一份【282G】的网络安全工程师从入门到精通的学习资料包，可点击下方二维码链接领取哦。