Web安全基础_web安全基础知识

前言：本人自学时总结的Web安全基础，作为笔记分享给大家，如有错误或有更好的思路和见解，不吝赐教~

一、Web站点

1、什么是Web

web（World Wide Web）即全球广域网，也称为万维网，它是一种基于超文本和HTTP的、全球性的、动态交互的、跨平台的分布式图形信息系统。是建立在Internet上的一种网络服务，为浏览者在Internet上查找和浏览信息提供了图形化的、易于访问的直观界面，其中的文档及超级链接将Internet上的信息节点组织成一个互为关联的网状结构。形象化的理解就是只要和浏览器、网站沾边的都属于Web的范畴。

2、Web站点的组成

• 组成：主要由前端+后端+Web容器
  

3、前端

• 前端是什么？
  前端开发是创建WEB页面或APP等前端界面呈现给用户的过程，通过HTML，CSS及JavaScript以及衍生出来的各种技术、框架、解决方案，来实现互联网产品的用户界面交互。
• 前端在Web中最直观的体现是什么？
  前端在Web中最直观的体现就是你所看到的网页
• 常见前端的技术有哪些？
  HTML、CSS、Javascript
• 将前端比喻成一个人，那么HTML、CSS、Javascript分别代表什么？
  HTML：赤裸的身体
  CSS：华丽的衣服
  Javascript：肢体动作

4、后端

• 后端是什么？
  Web开发人员编写的不能直接看到的代码
• 常见后端的语言有哪些？
  1、PHP
  2、ASP
  3、Java
  4、Python
  5、SQL
• 自学网站（包括但不限于）：
  https://www.w3school.com.cn
  https://www.liaoxuefeng.com
  https://github.com
  https://www.bilibili.com
  https://www.baidu.com或https://www.google.com
  ……
  注：一定要学会百度和Google！

5、常见Web容器

• Apache
• IIS
• Nginx
• Tomcat
• Weblogic
• JBOSS
• Jetty

Web容器是中间件的一种，所以，也可以将他们称之为中间件

6、常见数据库

二、主要安全策略和请求过程

1、同源策略

• 什么是同源策略？
  同源策略（Same origin policy）是一种约定，它是浏览器最核心也最基本的安全功能，如果缺少了同源策略，则浏览器的正常功能可能都会受到影响。可以说Web是构建在同源策略基础之上的，浏览器只是针对同源策略的一种实现。
• 什么是同源？
  1、同协议
  2、同域名
  3、同端口
  下列表中站点与http://www.ccit.js.cn是否同源

2、Web的请求过程

三、网络结构模式B/S&C/S

1、B/S（Browser/Server）

这种模式统一了客户端，让核心的业务处理在服务端完成，即浏览器。只需要在电脑或手机上安装一个浏览器，就可以通过Web Server与数据库进行数据交互。

• 举例：
  以访问淘宝为例，当我们访问淘宝时，我们的电脑（浏览器）就是客户机之一，淘宝的代码（首脑）在web服务器中，而淘宝用户的信息存放在数据库服务器中。

• 站库分离的思想
  上图所示就是站库分离，网站和数据库不在同一个服务器上，这种模式更快，更安全。这样黑客攻击拿下了Web服务器并没有获得太多敏感数据，还需要继续拿下数据库才可。

2、C/S（Client/Server）

• 服务器通常采用高性能的PC、工作站或小型机，并采用大型数据库系统。客户端需要安装专用的客户端软件
• C/S结构通常采取两层结构。服务器负责数据的管理，客户机负责完成与用户的交互任务。
• 客户机（客户端软件）通过局域网与服务器相连，接受用户的请求，并通过网络向服务器提出请求，对数据库进行操作。服务器接受客户机的请求，将数据提交给客户机，客户机将数据进行计算并将结果呈现给用户。

举例：
安装在手机或电脑中的QQ或微信就是客户端软件，储存QQ或微信信息的就是Server服务器

四、URI/URL/DNS/CDN

1、URI/URL

• URI：统一资源标识符
• URL：统一资源定位符
  URL是URI的一个子集，也可以理解为URI是抽象的，URL是具体的
• URL格式：
  

2、DNS

• 什么是DNS？
  DNS（Domain Name System）服务提供域名到IP地址之间的解析服务。计算机既可以被赋予IP地址，也可以被赋予主机名和域名。
  用户通常使用主机名或域名来访问对方的计算机，而不是直接通过IP地址访问。
  DNS协议提供通过域名查找IP地址，或逆向从IP地址反查域名的服务。
• 为什么要使用DNS？
  Internet上当一台主机要访问另外一台主机时，必须首先获知其地址，TCP/IP中的IP地址比较长记起来不方便，于是就有了DNS
• 什么是CDN？
  CDN的全称是Content Delivery Network，即内容分发网络。CDN是构建在现有网络基础之上的智能虚拟网络，依靠部署在各地的边缘服务器，通过中心平台的负载均衡、内容分发、调度等功能模块，使用户就近获取所需内容，降低网络拥塞，提高用户访问响应速度和命中率。CDN的关键技术主要有内容存储和分发技术。
  
  举例：通过CDN加速的域名为www.baidu.com，接入CDN网络，开始使用加速服务后，当终端用户发起HTTP请求时，处理流程如下：
  1、终端用户向www.baidu.com下的指定资源发起请求时，首先通过DNS查找离用户最近的CDN节点（边缘服务器）的IP
  2、通过IP访问实际资源时，如果CDN上并没有缓存资源，则会到源站请求资源，并缓存到CDN节点上，这样，用户下一次访问时，该CDN节点就会有对应资源的缓存了。

五、HTTP/HTTPS

1、HTTP

• 什么是HTTP？
  超文本传输协议，HTTP是基于B/S架构进行通信的，而HTTP的服务器端实现程序有httpd、nginx等，其客户端的实现程序主要
  是Web浏览器，例如Firefox、InternetExplorer、Google chrome、Safari、Opera等
• HTTP是基于客户/服务器模式，且面向连接的。典型的HTTP事务处理有如下的过程
  （1）客户与服务器建立连接；
  （2）客户向服务器提出请求；
  （3）服务器接受请求，并根据请求返回相应的文件作为应答；
  （4）客户与服务器关闭连接。
• HTTP的特性
  （1）客户与服务器之间的HTTP连接是一种一次性连接，它限制每次连接只处理一个请求，当服务器返回本次请求的应答后便立即关闭连接，下次请求再重新建立连接，故服务器不会让一个连接处于等待状态，及时地释放连接可以大大提高服务器的执行效率。
  （2）HTTP协议是无状态协议。无状态是指协议对于事务处理没有记忆能力，每个请求都是独立的。就是网页一关闭，浏览器和服务端的连接就会断开，下次打开网页又要重新连接，服务器无法从你一打开的连接上恢复上一次的会话，即HTTP协议自身不对请求和响应之间的通信状态进行保存。
  （3）HTTP目前支持持久连接，在HTTP /0.9和1.0中，连接在单个请求/响应对之后关闭。在HTTP /1.1中，引入了保持活动机制，其中连接可以重用于多个请求。持久连接表示使用同一个TCP连接来发送和接收多个HTTP请求/应答，而不是为每一个新的请求/应答打开新的连接的方法。即当客户端发送另一个请求时，它会使用同一个连接。这一直继续到客户端或服务器端认为会话已经结束，其中一方中断连接。

2、GET请求

举例：http://www.ccit.js.cn/

GET / HTTP/1.1
Host: www.ccit.js.cn
Connection: keep-alive
Cache-Control: max-age=0
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/89.0.4389.90 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Accept-Encoding: gzip, deflate
Accept-Language: zh,zh-CN;q=0.9,en;q=0.8
Cookie: _qddaz=QD.xkl6jd.mve7l8.kmlfk7ps; UM_distinctid=1785df94858454-04e1d31a1d8f8e-5771031-1fa400-1785df948594f; 
JSESSIONID=A5C940CF300EB093235822565C1A932D
If-None-Match: W/"37140-1616486823000-gzip"
If-Modified-Since: Tue, 23 Mar 2021 08:07:03 GMT

举例：http://www.ccit.js.cn/zjcx/xxjj/xxjs.htm

GET /zjcx/xxjj/xxjs.htm HTTP/1.1
Host: www.ccit.js.cn
Connection: keep-alive
Upgrade-Insecure-Requests: 1
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/89.0.4389.90 Safari/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9
Referer: http://www.ccit.js.cn/
Accept-Encoding: gzip, deflate
Accept-Language: zh,zh-CN;q=0.9,en;q=0.8
Cookie: _qddaz=QD.xkl6jd.mve7l8.kmlfk7ps; UM_distinctid=1785df94858454-04e1d31a1d8f8e-5771031-1fa400-1785df948594f; 
JSESSIONID=A5C940CF300EB093235822565C1A932D
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29

3、HEAD请求

用两幅图进行对比

4、POST请求

5、HTTP状态码

• 释义
  HTTP状态码（英语：HTTP Status Code）是用以表示网页服务器超文本传输协议响应状态的3位数字代码。所有状态码的第一个数字代表了响应的五种状态之一。

6、常用的14种状态码

7、HTTP报文结构

HTTP协议的请求和响应报文中必定包含 HTTP 首部。首部内容为客户端和服务器分别处理请求和响应提供所需要的信息。对于客户端用户来说，这些信息中的大部分内容都无须亲自查看
报文首部由以下几个字段构成：

8、HTTP请求报文

在请求中，HTTP 报文由方法、URI、HTTP 版本、HTTP首部字段等部分构成。


举例：

9、HTTP响应报文

在响应报文中，HTTP报文由HTTP版本、状态码（数字和原因短语）、HTTP首部字段3部分构成。


举例：

10、HTTP首部字段

• 含义
  HTTP首部字段是构成HTTP报文的要素之一。在客户端与服务器之间以HTTP协议进行通信的过程中，无论是请求还是响应都会使用首部字段，它能起到传递额外重要信息的作用。使用首部字段是为了给浏览器和服务器提供报文主体大小、所使用的语言、认证信息等内容。
• 首部字段格式
  首部字段名: 字段值
• 举例
  User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/89.0.4389.90 Safari/537.36

11、4种HTTP首部字段类型

• 通用首部字段（General Header Fields）
  请求报文和响应报文两方都会使用的首部。
• 请求首部字段（Request Header Fields）
  从客户端向服务器端发送请求报文时使用的首部。补充了请求的附加内容、客户端信息、响应内容相关优先级等
  信息。
• 响应首部字段（Response Header Fields）
  从服务器端向客户端返回响应报文时使用的首部。补充了响应的附加内容，也会要求客户端附加额外的内容信息。
• 实体首部字段（Entity Header Fields）
  针对请求报文和响应报文的实体部分使用的首部。补充了资源内容更新时间等与实体有关的信息。

12、通用首部字段

通用首部字段是指请求报文和响应报文双方都会使用的首部。

13、请求首部字段

请求首部字段是从客户端往服务器端发送请求报文中所使用的字段，用于补充请求的附加信息、客户端信息、对响应内容相关的优先级等内容。

14、响应首部字段

响应首部字段是由服务器端向客户端返回响应报文中所使用的字段，用于补充响应的附加信息、服务器信息，以及对客户端的附加要求等信息。

15、实体首部字段

实体首部字段是包含在请求报文和响应报文中的实体部分所使用的首部，用于补充内容的更新时间等与实体相关的信息。

16、其它首部字段

17、HTTPS

• HTTP主要有以下不足

  • 通信使用明文（不加密），内容可能会被窃听
  • 不验证通信方的身份，因此有可能遭遇伪装
  • 无法证明报文的完整性，有可能已遭篡改

• HTTPS= HTTP+SSL（加密+认证+完整性保护）

六、Cookie/Session

1、Cookie

• Cookie简介
  网站为了辨别用户身份而储存在本地客户端浏览器中的数据，由客户端暂时或永久保存的信息。
• Cookie生成流程
  客户端请求目标网站，由目标网站服务器为客户端颁发一个Cookie，随后该Cookie保存在本地浏览器中，下次再
  次请求该网站时带入请求包中
• 举例
  浏览器QQ邮箱的用户名保存、浏览器中各网站Cookie的保存、买奶茶事例

2、Session

• Session简介
  称为会话控制，Session存储特定用户会话所需的属性、配置信息、用户信息等于服务器中

• 举例
  淘宝、京东你专属的购物车，购买记录，保存在服务器

• Session生成流程