4、测试基础笔记 20190928

1、常用属于介绍

• 脚本(asp、php、html)

• html(css、js、html)

• HTTP协议

• CMS(B/S)

• MD5

• 肉鸡、抓鸡、跳板

• 一句话、小马、大马、webshell、提权、后门

• 源码打包、脱裤

• 嗅探、rookit

• poc漏洞验证、exp漏洞利用

2、HTTP协议(超文本传输协议：HTTP,HyperText Transfer Protocol)

2.1、定义

• 是一种详细规定了浏览器和万维网服务器之间的互相通信的规则，它是万维网交换信息的基础，它允许将HTML文档从Web服务器传送到Web浏览器

2.2、HTTP响应码

• 200：客户端请求成功，是最常见的状态

• 302：重定向

• 404：请求资源不存在，是最常见的状态

• 400：客户端请求有语法错误，不能被服务器所理解

• 401：请求未经授权

• 403：服务器收到请求，但是拒绝提供服务

• 500：服务器内部错误，是最常见的状态

• 503：服务器当前不能处理客户端的请求，一段时间后可能恢复正常

2.3、http头讲解

• 200：响应码

• date：日期

• content-type：类型

• Accept-Charset：浏览器可接受的字符集

• Content-Length：表示请求消息正文的长度

• Cookie:cookie信息

2.4、http请求方法

• GET：发送请求来获得服务器上的资源，请求体中不会包含请求数据，请求数据放在协议头中。另外get支持快取、缓存、可保留书签等。幂等

• POST：和get一样很常见，向服务器提交资源让服务器处理，比如提交表单、上传文件等，可能导致建立新的资源或者对原有资源的修改。提交的资源放在请求体中。不支持快取。非幂等

• OPTION：获取http服务器支持的http请求方法，允许客户端查看服务器的性能，比如ajax跨域时的预检等。

• PUT：和post类似，html表单不支持，发送资源与服务器，并存储在服务器指定位置，要求客户端事先知道该位置；比如post是在一个集合上（/province），而put是具体某一个资源上（/province/123）。所以put是安全的，无论请求多少次，都是在123上更改，而post可能请求几次创建了几次资源。幂等

• HEAD：本质和get一样，但是响应中没有呈现数据，而是http的头信息，主要用来检查资源或超链接的有效性或是否可以可达、检查网页是否被串改或更新，获取头信息等，特别适用在有限的速度和带宽下。

• DELETE：请求服务器删除某资源。和put都具有破坏性，可能被防火墙拦截。如果是https协议，则无需担心。幂等

• TRACE：回显服务器收到的请求，主要用于测试或诊断。一般禁用，防止被恶意攻击或盗取信息。

3、HTTPS协议

• HTTPS其实是有两部分组成：HTTP+SSL/TLS，也就是在HTTP上又加了一层处理加密信息的模块。服务端和客户端的信息传输都会通过TLS加密，所以传输的数据都是加密后数据