Web安全：HTTP协议

信息系统安全与对抗实践慕课笔记

---

• BurpSuite
  模块介绍
  
  原理
  
  基本配置&使用方法
  需要在两端进行配置：
  软件端
  

浏览器端
打开浏览器之前要先关闭拦截功能

配置好以后打开拦截，然后输入一个网址，打开BurpSuite可以看到


https证书配置
使用BurpSuite抓取https协议的包时，可能会收到如下提醒，并且直接禁止抓包，可能就抓不到了也可能能抓到，会出现如下错误警告，此时需导入BurpSuite提供的证书

---

BurpSuite代理设置的小技巧

---

• HTTP协议
  URI与URL
  URL：访问Web网页需要输入的网页地址
  eg.http://www.hbu.edu.cn/
  URI：由某个协议方案表示的资源的定位标识符，用字符串标识某一互联网资源，而URL表示资源的地点，故URL是URI的子集
  eg.ftp://example.com/rfc/rfc1808.txt

  URI的基本格式
  
  ●协议方案(ftp http https gopher等,默认为http)
  ● 登陆信息(某些资源需要经过HTTP基础认证之后才能获取，可选项)
  ● 服务器地址(域名、IPv4地址、 IPv6地址，必选项)
  ●端口号(若不指定则根据协议设置为默认值,如HTTP为80、HTTPS为443)
  ●带层次的文件路径(与UNIX系统的文件目录结构类似)
  c查询字符串(针对已指定的文件路径资源，传入任意参数，可选项)
  ●片段标识符(标记出以获取资源中的子资源，可选项)

• HTTP的特性

  ●通过请求和响应的交换达成通信，请求由客户端发出，服务端回复响应,且服务器不能主动向客户端发送数据。
  ●HTTP是无状态的协议，即不保存发送过的请求，不具有记忆功能。
  ●HTTP是明文传输的协议，HTTP请求和响应报文在传输过程中都没有被加密。

• HTTP报文
  用于HTTP协议交互的信息被称为HTTP报文。分为请求报文和响应报文，HTTP报文本身是由多行（用CR+LF作为换行符）数据构成的字符串文本。
  
  

• 方法(Method)
  GET方法用从指定的资源请求数据
  ●GET提交的数据会放在URL之后，以?分割URL和传输数据，参数之间以&相连，如: EditPosts.aspx?name=test1&id=123456
  ●GET请求有长度限制(根据浏览器不同而不同)
  ●GET请求暴露在URL中，不应该用于敏感参数的传递
  . POST方法用于向指定的资源提交要被处理的数据
  ●通过HTTP请求本文的主体提交数据
  ●POST请求的数据长度没有限制
  .HEAD方法用于获取报文的首部，与GET方法- -样, 只是不返回报文主体部分

• 状态码
  职责是当客户端发送请求时，描述返回的请求结果。借助状态码，用户可以知道服务端是正常处理了请求，还是出现了错误