Web架构&OSS存储&负载均衡&CDN加速&反向代理&WAF防护

1. WAF

• 原理： web应用防火墙，旨在提供保护
• 影响：常规的web安全测试手段会受到拦截
• 演示：免费的D盾防护软件
• Windows2012 + IIS + D盾
• 分类：
  

2. CDN

• 原理：内容分发服务，旨在提高访问速度；全称Content Delivery NetWork，是建立并覆盖在承载网之上，由遍布全球的边缘节点服务器群组成的分布式网络；阿里云CDN能分担源站压力，避免网络拥塞，确保在不同区域，不同场景下加速网站内容的分发，提高资源访问速度；就近规则，找一个距离最近的站点为你服务；
• 影响：隐藏真实源IP，导致对目标测试有误；未开通CDN时，去拼一个网站回去找真实网站，但是开通CDN后，会以节点提供服务，看到的就是节点，非真实目标
• 示意图：
  

3. OSS

• 原理：对象存储应用，是一种安全、低成本、高可靠的云存储服务；旨在提供访问速度
• 影响：上传上去的文件只会被存储，不会被解析，所以上传上去的后门就没用了，防止了文件上传漏洞
• 但是OSS会存在Accesskey隐患
• 为什么使用第三方存储？
  • 静态文件会占用大量带宽
  • 提高加载速度
  • 节省存储空间
• OSS资源模型
  

3. 反向代理与正向代理

• 正向代理为客户端服务，客户端主动建立代理访问目标(不代理不可达)；你(客户端)主动去找媒婆(代理服务器)，通过媒婆去找相亲对象(服务器)
• 反向代理为服务端读物，服务端主动转发数据给访问地址(不主动不可达)；美女(服务器)主动找你俩共同的朋友(代理服务器)，主动想要认识你(客户端)
• 影响：做安全测试的时候，访问的目标只是一个代理，并不是真正的应用服务器地址
• 注意：正向代理和反向代理都是解决访问不可达的问题，但是由于反向代理中多出一个可以重定向解析的功能操作，导致反向代理出的站点指定和真实应用毫无关系；这一点正向代理无影响，因为正向代理是你客户端的操作，服务器根本没有做任何动作；
• 正向代理示意图：
  
• 反向代理示意图
  

5. 负载均衡

• 原理：分摊到多个操作单元上进行执行，共同完成工作任务；具备容灾的特性
• 影响：有多个服务器加载服务，测试过程中存在多个目标情况