6.16 web结构：语言/web容器/数据库

软件组成：

1.web语言（脚本）

2.web服务程序

3.数据库程序

web语言：

一：HTML 静态，源码公开

二：PHP 通用开源脚本语言

三：ASP, ASP.NET 微软的脚本语言，ASPX是ASP的升级

四：JAVA (扩展名.JSP)应用广泛的网络编程语言

web服务程序

一：apache

二：IIS

三：nginx

数据库服务程序

一：Access（.mdb) 微软，小型，关系数据库  

二：mySQL 瑞典AB公司，被ORALE收购，关系型数据库

三：MSSQL (.mdf)微软的SQLserver数据库服务器，一个数据库平台

四：ORCLE(.dbf)甲骨文公司的关系数据库系统

五：PostgreSQL对象型数据库管理系统

六：DB2美国sybase公司，关系型数据库，大型

七：paradox(.DB)

常见数据库+脚本组合

一：ASP+Access

二：php+Mysql

三：ASPX+MSSQL

四：JSP+Oracle、DB2

web漏洞

一：针对语言、脚本

• 脚本渗透，网页编程语言（asp，php，aspx，jsp）利用脚本得到想要的信息
• XSS，将恶意脚本插入web页面执行
• CSRF，XSS后利用信任用户伪装请求
• 文件上传，过滤不严，木马伪装成文件上传到服务器获取权限

二：针对数据库

• sql注入

三：针对web服务程序

• 旁注，通过一个ip下多个网站之间的关系，已渗透网站为跳板，拿下其余网站
• web中间件漏洞

web中间件是系统软件和应用软件之间连接的软件、便于各部件之间沟通

常用框架：spring、struts2、ThinkPHP、Zend

常用中间件：Tomcat、JBOSS、Weblogic

四：信息、设计漏洞

• 弱口令
• 信息泄露
• 目录遍历
• 越权访问、后台权限
• 0day未修复的漏洞

工具：

layer子域名挖掘