HTTP|header-referer

最新推荐文章于 2024-04-23 10:04:15 发布

snxy

最新推荐文章于 2024-04-23 10:04:15 发布

阅读量710

点赞数

文章标签： http 网络协议网络

本文链接：https://blog.csdn.net/weixin_66218784/article/details/129824864

版权

burpsuite

Burp Suite 是一款常用的渗透测试工具，由 PortSwigger 公司开发，提供了多个模块来实现不同的功能，包括代理、扫描、攻击等。Burp Suite 的主要功能如下：

1. 代理：Burp Suite 提供了一个强大的代理服务器，可用于拦截和修改客户端和服务器之间的 HTTP 流量，并进行修改和重放。这个功能可以用于捕获和分析 Web 应用程序的请求和响应，查找可能的漏洞。

2. 扫描：Burp Suite 还提供了一个强大的扫描器，可用于自动化地扫描 Web 应用程序以寻找可能的漏洞，例如 SQL 注入、XSS、CSRF 等等。用户可以通过配置扫描参数和规则，让 Burp Suite 进行全面的安全性评估，以发现潜在的安全问题。

3. 攻击：Burp Suite 还提供了一些攻击工具，例如 Intruder 和 Repeater，可以用于测试 Web 应用程序的漏洞及其影响。Intruder 工具可用于自动化地生成多种攻击，例如爆破、字典攻击和基于文件的攻击等，用于测试密码、用户名和其他敏感信息的强度。Repeater 工具可用于修改和重新发送 Web 应用程序请求，以测试不同的攻击场景和漏洞利用效果。

4. 资源文件：Burp Suite 还提供了一些资源文件，例如 Payloads 和 Wordlists 等，可用于处理信息，加快攻击速度，提高成功率。

总之，Burp Suite 是一款功能强大的渗透测试工具。它可以帮助安全测试人员自动化地发现潜在的 Web 应用程序漏洞，并通过调试、重放请求等操作进行深入的漏洞利用测试。由于 Burp Suite 的功能丰富，因此在使用时需要仔细分析其功能，选择合适的模块和参数，以便更好地实现测试目标。

<form>

HTML 中的 form 属性是用于指定表单所属的文档区域或 frame 的名称或 ID，以定义提交和处理表单数据所用的目标 URL。当 form 元素的 action 属性值为空时，表单会在当前页面内提交数据。如果设置了 action 属性，则表单会将数据提交到指定的 URL 地址。

form 属性的常用取值有：

1. _self：默认值，表示表单数据将提交到相同的窗口或框架中。

2. _blank：表单数据将在新的窗口或标签页中打开。

3. _parent：表单数据将提交到父窗口或上一级的框架中。

4. _top：表单数据将提交到最顶层的窗口中。

另外，form 属性除了可以设定为窗口或框架的名称或ID，还可以使用 HTML5 中新加入的关键字 "_self"、"_blank"、“_parent”和"_top"等。这些关键字与上述的取值功能一致，但更方便且易记。例如，"form target='_blank'" 可以写成 "form target='_blank'"。

总之，form 属性用于指定表单提交的目标窗口或框架，开发者可以根据需要将其设置为“_self”、“_blank”、“_parent”、“_top"或指定的窗口或框架名称或ID，以实现不同的表单提交结果。

form属性

HTML中，form元素是用于创建包含表单控件的区域，以便在Web页面中收集或提交用户数据的容器。以下是常见的form属性：

1. action：用于指定提交表单时请求数据将被发送到哪个URL。可以将"action"属性设置为表单处理程序的网址或API的网址，以便在提交表单时将数据传递给后台服务器或其他Web应用程序来处理。

2. method：用于指定HTTP请求方式，通常使用POST和GET方法获取数据。GET方法通过URL参数传递数据，而POST方法则将数据放入HTTP请求体中。

3. target：指定用于处理表单提交后返回的响应的浏览上下文窗口或框架的名称或ID。可以将它设置为"_blank"，以打开一个新的浏览器标签来显示响应结果。

4. name：给提交的表单命名，可以通过表单名称引用表单，也可以通过JavaScript代码引用表单。

5. autocomplete：允许Web浏览器自动填充表单中的输入字段。如果省略该属性，浏览器会根据用户习惯自行填写。

6. enctype：用于指定如何编码提交表单中的数据，并且仅当使用 POST 方法时才需要设置。例如，当需要上传文件时，需要设置为 "multipart/form-data"。

7. novalidate：可以关闭表单的默认验证功能，允许用户提交无效数据。但不推荐在正式网站上使用。

总之，form元素属性可以帮助我们在处理表单元素时指定其行为（如提交目标、HTTP方法、数据编码等），以便更好地满足用户需求和实现对表单数据的安全和准确处理。

php上传后会将临时文件删除，上传和文件包含漏洞

autofocus属性

在HTML表单元素中，"autofocus"属性用于标记表单中的一个元素，以便在加载页面时自动将光标放在该元素上，从而将焦点直接放在该元素上。

例如，下面是一个文本框和一个按钮，其中文本框标记为"autofocus"：

    html
<form>
  <label for="username">用户名:</label>
  <input type="text" name="username" id="username" autofocus><br><br>
  <label for="password">密码:</label>
  <input type="password" name="password" id="password"><br><br>
  <input type="submit" value="登录">
</form>

这段HTML代码表示在页面加载时，将光标设置在ID为"username"的文本输入框上。这意味着，在用户打开该页面时，无需手动单击或使用Tab键即可开始在此文本框中输入。"autofocus"属性对于页面中只有一个表单元素或需要用户快速完成填写表单的操作，特别有用。

HTML5支持正则表达式，给的权限越小越好

<textarea>为什么不发生弹窗

在HTML表单中，`<textarea>` 元素用于创建文本输入区域，允许用户在其中输入多行文本。`<textarea>` 元素本身不会触发弹窗或任何其他行为。

如果您的浏览器在输入文本时出现弹出窗口，可能是因为以下原因之一：

1. 第三方浏览器插件或扩展程序正在干扰您的浏览体验，您可以尝试禁用所有插件并重新加载页面。

2. 您的计算机被恶意软件感染，特别是那些比较流行的广告插件和浏览器劫持软件会将您的浏览器重定向到有害站点并显示弹窗。请确保您的计算机已安装最新的杀毒软件，并对整个计算机系统进行全面扫描。

3. 您的网页代码中的JavaScript触发了弹窗。请仔细检查您的代码，确保在`<textarea>` 元素中没有包含任何触发弹窗的JavaScript脚本。避免在一些不必要的情况下使用 JavaScript 弹窗，可以提高用户体验和防止被浏览器屏蔽或拦截。

<iframe>

在HTML中，可以使用iframe标签来嵌入其他网页或文档，示例代码如下：

<iframe src="http://www.example.com/"></iframe>

在上面的代码中，`src`属性指定了要嵌入的网页地址。可以将其替换为其他网页的地址，也可以使用相对路径指定本地文件的路径。

除了`src`属性外，还可以使用以下属性来控制iframe的大小和样式：

`width`: 设置iframe的宽度
`height`: 设置iframe的高度
`frameborder`: 控制iframe的边框是否显示及其宽度
`scrolling`: 控制iframe的滚动条是否可见及其方式

示例代码如下：

<iframe src="http://www.example.com/" width="100%" height="500" frameborder="0" scrolling="auto"></iframe>

需要注意的是，为了保证网页的安全性，通常不允许在iframe中嵌入其他网站中的页面，例如在一个网站的iframe中嵌入另一个网站的登录页面可能会存在安全风险。因此，在实际开发中，需要谨慎考虑是否使用iframe，以及使用iframe的内容是否安全可靠。

网页嵌入子网页,同时也有可能获取到主页面的cookies(反射型xss)

iframe不可跨域

sandbox属性

`sandbox` 属性是HTML5中用于指定一个iframe的安全策略的属性。它提供了一种限制嵌入式内容对文档和用户的访问权限的方法，并且可以防止恶意代码的攻击，从而增强了网站的安全性。

使用 `sandbox` 属性，我们可以限制 iframe 中的内容不得执行任何 JavaScript、表单提交、弹出窗口、访问 Cookies 或者其他本地存储、浏览器插件等行为。除了这些默认策略外，还可以通过在 `sandbox` 属性值中添加额外关键字，进一步扩展其限制。以下是一些常见的关键字：

 `allow-forms`：允许表单提交；
 `allow-popups`：允许弹出窗口；
 `allow-scripts`：允许执行 JavaScript 代码；
 `allow-same-origin`：与父级页面共享相同的源。

例如，下面的代码指定了一个具有限制的 iframe，只允许该 iframe 显示静态 HTML 内容，而不允许它运行脚本或提交表单：

    html
<iframe src="https://www.example.com" sandbox></iframe>

总之， `sandbox` 属性可以帮助我们限制 iframe 的访问权限，以减少恶意代码攻击的可能性，并提高网站的安全性。但需要注意的是， `sandbox` 属性并不是万能的，仍然需要其他一些安全措施来确保网站的安全。

Cookie和Session是Web中常用的两种技术，它们都用来管理用户状态。

Cookie是一种在客户端保存数据的方式。它由服务器发送给客户端，并存储在客户端的浏览器上。当客户端再次请求该网站时，浏览器会自动将该网站保存的Cookie发送给服务器，从而服务器可以使用这些信息来识别和跟踪用户。

Session是一种在服务器端保存数据的方式。服务器通过创建唯一的session ID（会话ID）来标识每个用户的会话信息，并将这些信息存储在服务器上。当用户在应用程序内浏览时，这个 session ID 被传递到服务器以区分用户。Session 通常用于存储用户登录信息、用户购物车信息等，可以让用户在多个页面或请求之间共享状态。

Cookie和Session之间存在密切的关系。当客户端第一次请求某个网站时，服务器会为其创建一个唯一的 session ID，并将该 session ID 值存储在一个名为 JSESSIONID 的 Cookie 中，发回给客户端。当客户端再次请求该网站时，浏览器会自动将该 Cookie 发送给服务器，服务器根据 Cookie 中的 session ID 值来获取用户的会话信息。这样确保了每个用户的会话信息都可以正确地映射到服务器端的一个 session 对象上。

总之，Cookie和Session都是用来管理用户状态的，但它们之间的主要区别在于数据存储的位置不同。Cookie 将数据保存到浏览器上，而 Session 将数据保存到服务器上。Cookie和Session各有优缺点，开发者需要根据具体情况进行选择使用。

Cookie和Session是Web中常用的两种技术，它们都用来管理用户状态。Cookie和Session之间的主要区别在于数据存储的位置和安全性不同。

1. 数据存储位置

Cookie是一种在客户端浏览器上保存数据的方式。它由服务器发送给客户端，并存储在客户端的浏览器上。当客户端再次请求该网站时，浏览器会自动将该网站保存的Cookie发送给服务器，从而服务器可以使用这些信息来识别和跟踪用户。

Session是一种在服务器端保存数据的方式。服务器通过创建唯一的session ID（会话ID）来标识每个用户的会话信息，并将这些信息存储到服务器上。当用户在应用程序中浏览时，这个 session ID 被传递到服务器以区分用户。Session通常用于存储用户登录信息、用户购物车信息等，可以让用户在多个页面或请求之间共享状态。

2. 安全性

从安全性角度考虑，Session比Cookie更加安全。因为Session数据保存在服务器端，而Cookie数据保存在客户端浏览器上。因此，Cookie数据易于被篡改、窃取和伪造。相比之下，Session数据更加可靠。

3. 大小限制

Cookie的大小通常有限制，不同的浏览器对Cookie大小的限制也不同，通常在4KB到12KB之间。而Session的大小没有明确的限制，但是如果保存的数据过多，会占用服务器端的内存空间。

总之，虽然Cookie和Session都是用来管理用户状态的，但它们之间的主要区别在于数据存储的位置和安全性不同。开发者需要根据具体情况进行选择使用。例如，对于一些敏感信息，建议使用Session来存储；而对于一些简单的数据，使用Cookie来存储可能更加方便。

session的实现

Session 可以使用文件和 Redis 来实现。

Session 文件方式即将 session 数据写入到服务器的磁盘中。使用该方式，服务器会在磁盘上为每个 session ID 创建一个单独的文件，文件中存储了该 session 对象的属性信息。这种方式简单易用，同时也具有较好的可靠性和稳定性。但是，如果访问量比较大，多次读写磁盘会导致服务器性能下降。

Session Redis 方式即将 session 数据存储在 Redis 内存数据库中。使用该方式，session 数据存储在内存中，读写速度更快。同时，Redis 也提供了高可用性和数据持久化的支持，可以让session数据的备份和恢复变得更加容易。但是，Redis的运维成本相对文件方式更高，需要额外的 Redis 服务来承载session数据。

因此，选择 Session 实现方式要根据具体场景和业务需求来选择，如果考虑性能和可靠性，建议使用 Redis 方式。如果仅仅是为了简单地实现 Session 存储，可以使用文件方式。

同源与跨域

同源指的是两个Web页面的协议、域名和端口号完全相同，这是由浏览器的同源策略所限制的。同源策略是浏览器的一种安全机制，用于防止一个网页的脚本被另一个网页恶意地控制。同源策略指一个源（协议、主机名和端口）下的文档或脚本，只能与同一源中的资源进行交互。

跨域则是指在一个网页的脚本中，通过不同的协议、主机名或端口来访问另一个网页的资源。例如，在一个网页中使用Ajax技术从另一个不同的域名或端口获取数据，就属于跨域操作。由于同源策略的限制，跨域请求通常是不被允许的，但是可以通过一些手段如JSONP、CORS等方式来实现跨域请求。

需要注意的是，跨域请求可能会存在安全风险，例如跨站脚本攻击（XSS）和跨站点请求伪造（CSRF）等。为了保护用户隐私和网站的安全，当我们需要进行跨域请求时，需要确保请求源的身份并采取相应的安全措施，如验证请求来源、防止跨域攻击等。

X-Frame-Options

`X-Frame-Options` 是一个响应头，用于控制浏览器如何在 `<iframe>` 或 `<frame>` 中显示当前页面。它可以用来确保网站的内容不会被恶意站点嵌入到其他网站页面中。

`X-Frame-Options` 响应头通常有以下 3 种可选的值：

- `DENY`：拒绝所有页面嵌入。
- `SAMEORIGIN`：只允许同一域名下的页面嵌入。
- `ALLOW-FROM uri`：只允许指定来源的页面嵌入。比如 `ALLOW-FROM

https://example.com/` 就只允许指定的域名下的页面嵌入。

例如，如果网站想禁止在 `<iframe>` 中嵌入当前页面，可以在服务器端的响应中添加以下代码：


X-Frame-Options: DENY

一旦设置了 `X-Frame-Options` 响应头，浏览器就会根据设置的选项来处理页面的嵌入行为，并阻止来自其他网站的非法嵌入。

需要注意的是，由于不同浏览器的支持情况不同，使用 `X-Frame-Options` 可能存在兼容性问题。在最近的标准中，`X-Frame-Options` 已被 `Content-Security-Policy` 中的 `frame-ancestors` 指令替代，并且更加灵活。所以在实际开发中，建议使用 `Content-Security-Policy` 来替代 `X-Frame-Options`。

referer-policy

`Referrer-Policy` 是一个HTTP头，它控制了由浏览器在 HTTP 请求中发送的 Referer 首部的值。

Referer 是 HTTP 头字段之一，通常记录了请求是从哪个 URL 发起的。它对于诸如网络分析、降低站点滥用以及反垃圾邮件等方面非常有用，但也可能导致隐私问题。例如，当用户访问某个网站时，该网站的 URL 可能包含敏感信息，如登陆状态、查询关键词等，如果用户通过链接或表单提交到其他网站时，这些敏感信息可能会被传输到其他网站，导致隐私泄露。

`Referrer-Policy` 可以用来控制请求中的 Referer 值，在一定程度上减少隐私泄露的风险。`Referrer-Policy` 响应头有以下值可选：

- no-referrer：不发送 Referer 信息。
- no-referrer-when-downgrade：默认行为，仅在安全连接之间不发送 Referer。
- same-origin：只在同域名请求时发送 Referer 。
- origin：在所有请求中仅发送 Origin 部分，而不包含路径和查询参数。
- strict-origin：不发送路径和查询参数，仅在同域名且协议匹配时发送 Origin 部分。
- origin-when-cross-origin：在跨域请求时仅发送 Origin 部分，同域名请求则发送完整 Referer。
- strict-origin-when-cross-origin：在跨域请求时发送 Origin 部分，同域名请求则仅发送 Origin 部分。

例如，如果网站希望在同域名请求时发送 Referer ，而在跨域请求时仅发送 Origin 部分，可以设置以下头信息：


Referrer-Policy: strict-origin-when-cross-origin

需要注意的是，`Referrer-Policy` 的具体效果取决于浏览器的实现，不同的浏览器可能会有不同的行为。因此，在使用 `Referrer-Policy` 时应该确保它可以正确地运行在目标浏览器中，并进行充分的测试。

因为referer头含有来源,容易造成csrf攻击,为了防止攻击,可以使用更改请求头请求伪造

DVWA

DVWA（Damn Vulnerable Web Application）是一款用于学习渗透测试和漏洞利用的Web应用程序。它旨在模拟常见的Web安全漏洞，并提供漏洞测试环境，以帮助用户进行安全测试实验、演练攻击技巧和了解Web安全问题。

DVWA 具有大量的可用性选项，例如注册和登录过程中的不同类型验证和绕过方法等。该应用程序包含了多种漏洞类型，如SQL注入、XSS攻击、CSRF攻击、文件上传漏洞、文件包含漏洞等。使用DVWA，用户可以仿真多种攻击场景并学习如何发现和利用漏洞。

使用DVWA需要安装其应用程序，它可以在Linux、Windows 和 Mac OS 等多个平台上运行。安装后，用户可以在Web浏览器中访问其应用程序，并在其中进行漏洞测试和攻击模拟。

需要注意的是，由于DVWA存在较多的漏洞类型，为避免学习过程中造成任何安全风险，建议仅在合适的测试环境中使用，并在合法的授权下进行安全测试。同时，也建议用户在使用 DVWA 进行学习和实验过程中保持良好的道德和职业操守，不要将所学习的技能用于非法或未经授权的活动中。

referer

设置refererHeaders之Referer设置 - 知乎 (zhihu.com)

绕过防盗链

如何绕过防盗链如何绕过图片防盗链，在自己网站引用别人网站的图片？ - 知乎 (zhihu.com)

如何改成短链接

可以使用一些在线短链接生成服务将长链接转换为短链接。这些服务通常允许用户输入长链接，并生成一个较短的URL。例如：

1. Bitly: Bitly 是一个免费的在线短链接生成工具，它可以将原始URL转换为更短的、易于记忆和共享的新URL。用户只需在 Bitly 的主页中输入原始的URL，即可获得一个新的短链接。

2. TinyURL: TinyURL 是另一个简单易用的免费在线短链接生成工具。用户只需将原始URL粘贴到TinyURL网站输入框中，即可获得一个短链接。

3. Google URL Shortener: Google URL Shortener曾是一项由Google提供的免费在线服务，但于2018年停止服务。目前，它已经被替代为 Firebase 功能，如果您有Firebase帐户，您可以使用它来轻松地将任何长URL缩短为一个易于分享的短URL。

需要注意的是，尽管这些在线短链接生成服务通常是免费的，但有些可能会在短链接中插入广告或跟踪代码。此外，在使用这些服务时，还应该关注它们所使用的隐私政策和条款，以保护个人信息的安全和隐私。