【网络信息安全】Web 安全，作为程序员一定不要仅仅追求物质

程序员小强_

于 2024-07-20 17:31:04 发布

阅读量646

点赞数 9

文章标签：网络前端安全

本文链接：https://blog.csdn.net/dzqxwzoe/article/details/140574657

版权

Web 服务是动态交互（双向）；
Web 服务使用广泛而且信誉非常重要；
Web 服务器难以配置，底层软件复杂，隐藏安全漏洞；
编写和使用 Web 服务的用户安全意识相对薄弱，相关的脚本程序易出现安全问题。

—— 攻击与破坏事件层出不穷，需要安全 Web 服务。

Web 安全威胁的分类

主动攻击：伪装成其他用户、篡改C/S之间信息或篡改Web站点信息（难预防但易检测）
被动攻击：监听数据流获取信息或进行信息量分析（难检测但易预防）
对 Web 服务器的安全威胁
对 Web 浏览器的安全威胁
对通信信道的安全威胁

Web 安全威胁与对策

![在这里插入图片描述](https://img-blog.csdnimg.cn/20200605003217505.png?x-oss-
process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_16,color_FFFFFF,t_70)

12.1.1 对 Web 服务器的安全威胁

Web 服务越强大，包含安全漏洞概率就越高。

HTTP 服务可在不同权限下运行：

高权限下提供更大灵活性，允许程序执行所有指令，并不受限制地访问系统高敏感的特权区域；
低权限下在所运行程序周围设置逻辑栅栏，只允许它运行部分指令和访问系统中不敏感的数据区。

大多数情况下 HTTP 服务只需运行在低权限下。

12.1.2 对 Web 浏览器的安全威胁

活动内容：静态页面 中嵌入的对用户透明的程序 —— 显示动态图像、下载和播放音乐等。

原来由服务器完成的辅助功能转交给空闲的浏览器。

用户查看这种页面时，它们会自动下载并在浏览器上运行。

破坏浏览器的人将破坏性的活动内容放进看起来无害的页面。

12.1.3 对通信信道的安全威胁

监听程序 会威胁通信信道中所传输信息的 机密性
伪造、篡改、重放 会威胁所传输信息的 完整性
缺乏身份认证 使得冒充他人身份进行 中间人攻击
缺乏数字签名机制 使得通信双方能 相互攻击
拒绝服务攻击 使得通信信道不能保证 可用性

12.2 Web 安全的实现方法

===================================================================================

从网络下载程序并在本机运行，就相当于接受程序开发者的控制——没有一个操作系统能控制一个已经开始执行的程序的权限。

基于网络层实现 Web 安全

在这里插入图片描述

IPSec 提供端到端的安全机制，是一个通用解决方案。

各种应用程序不需修改就可享用 IPSec 提供的安全机制，也减少了安全漏洞的产生。

基于传输层实现 Web 安全

在这里插入图片描述

SSL 或 TLS 可作为基础协议栈的组成部分，对应用透明；也可直接嵌入到浏览器中使用。

使用 SSL 或 TLS 后，传送的应用层数据会被加密，从而保证通信的安全。

基于应用层实现 Web 安全

![在这里插入图片描述](https://img-blog.csdnimg.cn/20200605003927368.png?x-oss-
process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_16,color_FFFFFF,t_70)

特定安全服务为特定应用定制体现，将安全服务直接嵌入在应用程序中。

12.3 SSL协议

=============================================================================

12.3.1 SSL概述

Secure Socket Layer，安全套接层协议，会话层，由 Netscape 推出。
主要实现 Web 服务器和浏览器之间的安全通信。
在应用层协议和 TCP/IP 协议之间提供机密性、完整性、服务器认证及可选的客户机认证的机制。

SSL协议栈

介于 HTTP 与 TCP 之间的一个可选层，绝大多数应用层协议可直接建立在 SSL 之上。
SSL 不是一个单独的协议，而是两层协议。

![在这里插入图片描述](https://img-blog.csdnimg.cn/20200605004154149.png?x-oss-
process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_16,color_FFFFFF,t_70)

SSL实现的安全服务

SSL握手协议 ：用公开加密算法验证服务器身份，并传递客户端产生的对称的会话密钥（先）

SSL记录协议 ：用会话密钥来加/解密数据（后）

机密性：SSL 客户机和服务器之间传送加密数据。
完整性：SSL 可避免服务器和客户机之间的信息被破坏。
认证性：SSL 握手时要求交换证书，通过验证证书来保证对方身份的合法性。

SSL的认证和不可否认性

客户机认证是可选的，否则客户端都得有数字证书并内置相应组件，代价高。
SSL不能提供不可否认性，Communicator 4.04浏览器引入“表单签名（Form Signing）”功能。
它对电子商务中包含购买者的订购信息和付款指令的表单进行数字签名。

12.3.2 更改密码规格协议

Change Cipher Spec Protocol 具有以下特性：

位于SSL记录协议之上。
ContentType=20。
协议只包含一条消息（一个值为1的字节）。

把未决状态设置为当前状态，更新当前连接的密钥组，这标志着加密策略的改变。

12.3.3 警告协议

Aler t消息：当握手过程或数据加密等出错或发生异常时，为对等实体传递SSL警告或终止当前连接。

Alert Protocol具有以下特性：

位于SSL记录协议之上。
ContentType=21。
协议包含两个字节：警告级别和警告代码。

12.3.4 SSL记录协议

=================================================================================

Record Protocol 描述SSL信息交换过程中的记录格式。

所有数据（含SSL握手信息）都被封装在记录中，一个记录由两部分组成：记录头和数据。

SSL记录协议的操作步骤：

将数据分段成可操作的数据块
对分块数据进行数据压缩
计算 MAC 值
对压缩数据及MAC值加密
加入 SSL 记录头
在 TCP 中传输结果单元

![在这里插入图片描述](https://img-blog.csdnimg.cn/20200605004610728.png?x-oss-
process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_16,color_FFFFFF,t_70)

SSL记录头：

![在这里插入图片描述](https://img-blog.csdnimg.cn/20200605004652441.png?x-oss-
process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_16,color_FFFFFF,t_70)

内容类型（ContentType）：用于处理分段的上层协议类型。

协议版本（ProtocolVersion）：标明SSL版本号。

压缩长度（Length）：原文分段长度或压缩分段长度。

12.3.5 SSL握手协议

=================================================================================

Handshake Protocol 的协商结果是 SSL记录协议处理的基础，ContentType 为 22。

协议头有三个部分：

消息类型（1B）
消息长度（3B）
内容（1B）：与该消息有关的参数

SSL v3.0 的握手过程用到三种协议：握手协议 、更改密码规格协议 和 警告协议 。

SSL握手消息及参数

![在这里插入图片描述](https://img-blog.csdnimg.cn/20200605004912503.png?x-oss-
process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_16,color_FFFFFF,t_70)

SSL的握手过程

![在这里插入图片描述](https://img-blog.csdnimg.cn/20200605004928203.png?x-oss-
process=image/watermark,type_ZmFuZ3poZW5naGVpdGk,shadow_10,text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhpbl80MzczNDA5NQ==,size_16,color_FFFFFF,t_70)

握手协议的 Hello 阶段

—— 协商协议版本、会话ID、密码组、压缩算法、交换随机数等。

（1）Client Hello消息

客户端将版本号、随机数、会话ID、支持的密码算法组合和压缩算法发给服务器供其选择。

（2）Server Hello消息

该消息做出决定并将决定传回客户端：版本号、会话ID、服务器随机数、选择的密码算法组合和压缩算法。

握手协议的 Key Agreement 阶段

自我介绍一下，小编13年上海交大毕业，曾经在小公司待过，也去过华为、OPPO等大厂，18年进入阿里一直到现在。

深知大多数网络安全工程师，想要提升技能，往往是自己摸索成长，但自己不成体系的自学效果低效又漫长，而且极易碰到天花板技术停滞不前！

因此收集整理了一份《2024年网络安全全套学习资料》，初衷也很简单，就是希望能够帮助到想自学提升又不知道该从何学起的朋友。
![img](https://img-
blog.csdnimg.cn/img_convert/3da45c8ebd2a4fe8f389b661c9a875f6.png)
![img](https://img-
blog.csdnimg.cn/img_convert/2e8c062c3cc4ad9185f0ee0f729bfc6f.png)
![img](https://img-
blog.csdnimg.cn/img_convert/749813783d353575e62ba517ba8cdb47.png)
![img](https://img-
blog.csdnimg.cn/img_convert/6ee32f25c9eb71c7d9c35c536b91ea6c.png)
![img](https://img-
blog.csdnimg.cn/img_convert/5f9a4f80337f0b71b114e0c09f7b0d5a.png)
![img](https://img-
blog.csdnimg.cn/img_convert/8caa5bd3a35dd14a2a1ceeb2064b0cab.png)

既有适合小白学习的零基础资料，也有适合3年以上经验的小伙伴深入学习提升的进阶课程，基本涵盖了95%以上网络安全知识点，真正体系化！

由于文件比较大，这里只是将部分目录大纲截图出来，每个节点里面都包含大厂面经、学习笔记、源码讲义、实战项目、讲解视频，并且后续会持续更新

如果你觉得这些内容对你有帮助，可以添加VX：vip204888 （备注网络安全获取）
![img](https://img-
blog.csdnimg.cn/img_convert/38eebfdfd196b51d911dc5c7253549f5.png)

还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！

王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。

对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！

【完整版领取方式在文末！！】

93道网络安全面试题

![](https://img-
blog.csdnimg.cn/img_convert/6679c89ccd849f9504c48bb02882ef8d.png)

![](https://img-
blog.csdnimg.cn/img_convert/07ce1a919614bde78921fb2f8ddf0c2f.png)

![](https://img-
blog.csdnimg.cn/img_convert/44238619c3ba2d672b5b8dc4a529b01d.png)

内容实在太多，不一一截图了

黑客学习资源推荐

最后给大家分享一份全套的网络安全学习资料，给那些想学习网络安全的小伙伴们一点帮助！

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

😝朋友们如果有需要的话，可以联系领取~

1️⃣零基础入门

① 学习路线

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图 。可以说是最科学最系统的学习路线 ，大家跟着这个大的方向学习准没问题。

![image](https://img-
blog.csdnimg.cn/img_convert/acb3c4714e29498573a58a3c79c775da.gif#pic_center)

② 路线对应学习视频

同时每个成长路线对应的板块都有配套的视频提供：

![image-20231025112050764](https://img-
blog.csdnimg.cn/874ad4fd3dbe4f6bb3bff17885655014.png#pic_center)

2️⃣视频配套工具&国内外网安书籍、文档

① 工具

![](https://img-
blog.csdnimg.cn/img_convert/d3f08d9a26927e48b1332a38401b3369.png#pic_center)

② 视频

![image1](https://img-
blog.csdnimg.cn/img_convert/f18acc028dc224b7ace77f2e260ba222.png#pic_center)

③ 书籍

![image2](https://img-
blog.csdnimg.cn/img_convert/769b7e13b39771b3a6e4397753dab12e.png#pic_center)

资源较为敏感，未展示全面，需要的最下面获取

![在这里插入图片描述](https://img-
blog.csdnimg.cn/e4f9ac066e8c485f8407a99619f9c5b5.png#pic_center)![在这里插入图片描述](https://img-
blog.csdnimg.cn/111f5462e7df433b981dc2430bb9ad39.png#pic_center)

② 简历模板

![在这里插入图片描述](https://img-
blog.csdnimg.cn/504b8be96bfa4dfb8befc2af49aabfa2.png#pic_center)

因篇幅有限，资料较为敏感仅展示部分资料，添加上方即可获取👆

一个人可以走的很快，但一群人才能走的更远。不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎扫码加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！
![img](https://img-
blog.csdnimg.cn/img_convert/20f753fc94091065205619d8b0885b9f.png)

center)

资源较为敏感，未展示全面，需要的最下面获取