【无标题】day01

guowu666

已于 2024-01-08 19:30:57 修改

阅读量751

点赞数 14

分类专栏：网络安全文章标签：网络

于 2024-01-08 19:25:42 首次发布

本文链接：https://blog.csdn.net/weixin_58189050/article/details/135461613

版权

网络安全专栏收录该内容

13 篇文章 0 订阅

订阅专栏

1.网络安全

1.1安全的本质

安全问题的本质是信任的问题

一切安全方案都是建立在信任关系上的。我们必须相信一些东西，必须有一些最基本的假设，安全方案才能得以建立;如果我们否定一切，安全方案就会如无源之水、无根之木，无法设计，也无法完成。

安全的本质又是一个概率问题

一个好的安全方案，需要在成本和攻击的概率之间做好平衡，这是一种艺术。如果将任何风险推至极端情况，将攻击概率放大，认为攻击是种必然事件，则安全方案将无从实施。一个好的安全方案，是在有限的时空范围中，对有限的资产所面临的有限威胁，给出一个遭受攻击的概率的断言，进而针对这一断言实施安全策略。其难度就好比你去医院看病，医生总是很难把话说得太绝对一样。计算机系统的安全问题和人类的身体健康问题类似，疾病的诊断方案总会有小概率事件，医生无法做出 100%的承诺。

1.2安全三要素

要全面地认识一个安全问题，我们有很多种办法，但首先要理解安全问题的组成。前人通过无数实践，最后将安全的属性总结为安全三要素。

机密性 (Confidentiality)
要求数据内容不能泄露，加密是实现机密性要求的常见手段。
完整性 (Integrity)
则要求保证数据的内容是完整、没有被篡改的。常见的保证完整性的技术手段是数字签名。
可用性 (Availability)
要求保证资源是“随需而得”的。

1.3态势感知

这些年随着云计算、大数据和人工智能技术的进步，数据成为一种生产要素，安全方案的设计也与时俱进。其中最重要的变化趋势是“以数据为核心构建安全系统”
安全是一个持续对抗的过程，必然存在攻防两方，而在大规模网络对抗过程中，能够快速根据攻防态势的变化进行决策和行动的一方，将在对抗过程中获得优势，因此可以借用军事上的一个术语“态势感知”来描述这种攻防对抗的能力。安全方案的设计目标，在新形势和新技术下，就变成“全面、快速、准确地感知敌我双方态势”。这里既包括“态”，即我方的资产漏洞和攻击面，敌方的威胁源和能力;也包括“势”，即我方动向、敌方动向、敌方的动机、敌方攻击的可能性，以及外部环境。因此，态势感知是一种实时的基于内外环境的综合研判。
通过数字化技术，可以对敌我双方和外部环境建立一套实时的数据沙盘，监控系统运行情况，模拟敌我双方动态和可能采取的策略，从而有针对性地进行有效防御。全面、快速、准确是对数据的要求，数字化是实施态势感知的关键，决定了防御系统的成败。因此，这种攻防的对抗也是对信息和情报收集能力的考验，掌握更多数据和信息的一方将获得胜利。一个好的态势威知系统甚至能做到对全互联网的准确实时监控，对暴露在互联网上的资产、端口进行大范围的感知。

2.HTTP和web应用

2.1http协议

HTTP的全称是Hypertext transfer protocol，他是构建web应用的基础，虽然开发web应用大部分时候都不用关心http协议细节，但是如果未能正确的使用该协议，可能会带来安全隐患。

2.1.1请求方法

Web应用中的绝大部分请求使用的是GET和POST方法，通过XMLHttpRequest 可以发送HEAD、PUT、DELETE 方法的请求。在部分场景下，浏览器会发送OPTIONS 请求，用于预检。CONNECT 请求一般用于HTTP 隧道代理场景。

get与post传递参数的区别
GET方法的数据传输是通过URL传递的，而POST方法的数据传输是通过HTTP请求体传递的。
get请求:http://example.com/page?name=value&age=value

2.1.2.host头

HTTP/1.1 在请求中新增了 HOST 头用于虚拟主机的场景，即当一个IP 地址上运行了多个网站时，Web 服务器通过 HOST 头中的域名即可判断要访问的目标网站是哪一个。在一些虚拟主机配置错误的服务器上，如果一个 Web 应用使用任意 HOST 头都能正常访问，而且 Web 应用中又没有明确配置网站的域名，而是获取 HOST 头作为网站域名时，那么该应用就可能获取一个错误的域名。当攻击者通过恶意构造的 HOST 头访问时，如果应用内部需要获取网站域名用于关键业务逻辑，比如向该域名的网站发送敏感信息，就会将敏感信息发送给恶意域名。如果HOST 头的域名会出现在缓存页面中(比如 Web 应用中使用了编译型模板，并且其中的某些URL 是通过这个 HOST 头拼接生成的)，攻击者使用恶意构造的 HOST 头访问这个网站，可能导致其他用户访问受污染的页面。
在这里插入图片描述

2.1.3referer头

Referer 头指示了当前请求是从哪个URL页面发起的,此外，当网页跳转到其他站点，或者加载其他站点资源时，会将当前 URL 作为 Referer传递给其他站点，所以URL 中一般不要包含敏感信息，以免信息泄露。使用不同浏览器访问同一个页面时，HTTP 头的个数和顺序也会有差异，甚至同一个浏览器在访问不同类型的资源时，或者在不同的场景中发出的请求，也会有差异

2.1.4user-agent头

HTTP 请求中的 User-Agent 头用来指示当前访问者的客户端类型，它的值是客户端指定的,黑客工具通常会伪装成一个正常浏览器的 User-Agent，所以在 Web 应用中不能基于User-Agent的值来做关键业务逻辑决策。甚至 User-Agent 头中也可能包含恶意内容，例如攻击者可能向其中插入XSS Payload，以便对后端的日志分析平台实现XSS 盲打。
在这里插入图片描述

在这里插入图片描述

2.2http响应

HTTP 响应是与请求一一对应的，服务端将请求的操作结果通过 HTTP 响应返回给客户端
在这里插入图片描述

2.2.1状态码

状态码用于指示服务器对于该请求的操作结果。在标准定义中，状态码按照区段分为 5大类
在这里插入图片描述
常见状态码

200 OK - [GET]：服务器成功返回用户请求的数据，该操作是幂等的（Idempotent）。
201 CREATED - [POST/PUT/PATCH]：用户新建或修改数据成功。
202 Accepted - [*]：表示一个请求已经进入后台排队（异步任务）
204 NO CONTENT - [DELETE]：用户删除数据成功。
301：永久重定向
302：暂时重定向
400 INVALID REQUEST - [POST/PUT/PATCH]：用户发出的请求有错误，服务器没有进行新建或修改数据的操作，该操作是幂等的。
401 Unauthorized - [*]：表示用户没有权限（令牌、用户名、密码错误）。
403：请求无权限
404：请求路径不存在
405：请求方法不存在
406 Not Acceptable - [GET]：用户请求的格式不可得（比如用户请求JSON格式，但是只有XML格式）。
410 Gone -[GET]：用户请求的资源被永久删除，且不会再得到的。
422 Unprocesable entity - [POST/PUT/PATCH] 当创建一个对象时，发生一个验证错误。
500 INTERNAL SERVER ERROR - [*]：服务器发生错误，用户将无法判断发出的请求是否成功。
502：网关不可用
503：服务不可用   Server Unavailable //服务器当前不能处理客户端的请求，一段时间后可能恢复正常
504：网关超市

3.操作系统

操作系统(Operating System，OS)是配置在计算机硬件上的第一层软件，是对硬件系统的首次扩充。其主要作用是管理好这些设备，提高它们的利用率和系统的吞吐量，并为用户和应用程序提供一个简单的接口，便于用户使用。OS 是现代计算机系统中最基本和最重要的系统软件，而其它的诸如编译程序、数据库管理系统等系统软件，以及大量的应用软件，都直接依赖于操作系统的支持，取得它所提供的服务。事实上 OS 已成为现代计算机系统、多处理机系统、计算机网络中都必须配置的系统软件。