web安全基本思路

web访问流程

1. 浏览器获取HTML代码，在本地展现
2. 使用HTTP、HTTPS协议进行数据的传输
3. web容器（IIS、apache、Nginx）

• 解析数据-----解析文件、数据问题

4. web语言（php、JavaScript、python、.net。。。）执行代码
5. 数据库

web漏洞查找

1、查看本地代码

2、使用截断器在HTTP、HTTPS传输过程中，修改网页上无法修改的数据

• 截取数据、观察数据、修改数据、绕过页面代码判断

3、语言漏洞

4、数据库漏洞

注入类漏洞

• 主要是将数据变成代码

如何判断漏洞

1、先进行输入测试，只要可以报错（不正常）；就有戏

• 跳出数据；打破数据包裹

如何构造代码