WEB渗透学习笔记1——http

最新推荐文章于 2024-04-11 19:31:05 发布

林林木林林L

最新推荐文章于 2024-04-11 19:31:05 发布

阅读量419

点赞数 1

文章标签： http web

本文链接：https://blog.csdn.net/qq_42348956/article/details/107464634

版权

WEB渗透学习笔记1

开放式Web应用程序安全项目（OWASP，Open Web Application Security Project）是一个组织，它提供有关计算机和互联网应用程序的公正、实际、有成本效益的信息。其目的是协助个人、企业和机构来发现和使用可信赖软件
OWASP TOP10：OWASP（开放式Web应用程序安全项目）的工具、文档、论坛和全球各地分会都是开放的，对所有致力于改进应用程序安全的人士开放，其最具权威的就是“10项最严重的Web 应用程序安全风险列表” ，总结了Web应用程序最可能、最常见、最危险的十大漏洞，是开发、测试、服务、咨询人员应知应会的知识

一个http数据包请求由四个部分组成：请求行、请求头标、空行、请求数据
1. 请求行：请求行由三个标记组成：请求方法、请求URL和HTTP版本，它们使用空格分隔。如：GET /www.xxxx.com/index.html HTTP/1.1
2. 请求头行：由关键字/值对组成，每一行头、关键字和值用冒号（：）分隔
3. 空行：最后一个请求头标之后是一个空行，发送回车符和退行，表示服务器一下不再有头标
4. 请求数据：使用post传送数据，最常用的就是Content-Type和Content-Length头标

HTTP规范定义了8种可能的请求方法：

URL：统一资源定位符
是对可以从互联网上得到的资源位置和访问方法的一中简洁的表示，是互联网上标准资源的地址。互联网上的每个文件都有一个唯一的URL，它包含的信息指出文件的位置以及浏览器应该怎么处理它
完整的带有授权的URL语法
- 协议：//用户名:密码@子域名.域名.顶级域名:端口号/目录/文件名.文件后缀?参数=值#标志
常见的基本URL语法：
- 协议://服务器IP(:端口)/路径/文件(?查询)
  - 例如：http://www.xxx.com/aa.php?id=bb

GTP提交的数据会放在URL之后，以？分割URL和传输数据、参数之间以&相连，如EditPosts.aspx?name=test&id=123456。POST方法是吧提交的数据放在HTTP包的Body中
GET提交的数据大小有限制（因为浏览器对URL的长度有限制），而POST方法提交的数据没有限制
GET方式需要使用Request.QueryString来取得变量值，而POST方式通过Request.Form来获取变量值
GET方式提交数据会带来安全问题，日入一个登录页面通过GET方式提交数据时，用户名和密码将出现在URL上，如果页面可以被缓存或者其他人可以访问这台机器，就可以从历史记录获得该用户的账号和密码

Accept：用于指定客户端接受哪些类型的消息。如：Accept:image/gif
Accept-Charset：用于指定客户端接受的字符集。如：Accept-Charset:iso-8859-1.gb2312
Accept-Encoding：用于指定可接受的内容编码。如：Accept-Encoding:gzip.deflate
Accept-Language：用于指定一种自然语言。如：Accept-Language:zh-cn
Authorization：用于证明客户端有权查看某个资源。当浏览器访问一个页面时。如果收到服务器端响应代码为401（未授权），可以发送一个包含Authorization请求报头域的请求，要求服务器对其进行验证
Host：用于指定被请求资源的Internet主机和端口号
User-Agent：允许客户端将它的操作系统、浏览器和其他属性告诉服务器，会造成个人信息泄露
Cookie：某些网站未来辨别用户身份、惊醒session跟踪而存储在用户本地终端上的数据（通常经过加密）
Referer：告知下一次请求服务器的来源页面资源链接