渗透测试 网站安全基础点讲解(第一点)

随着网络的渗透发达,越来越多(duo)的网站已悄悄崛起,在这里我们Sine安全给大家准备讲解下渗透测试服务中的基础点讲解内容,让大(da)家更好(hao)的了解这个安全渗透测试的具体知识点和详情过程。主要目的测试就是(shi)为了在(zai)网站或app上线前进(jin)行全面的渗透测试检测模拟黑客(ke)的手法对网站进行(xing)全面的漏洞检测,并找出漏洞进行修复,防止上线后被黑客所(suo)利用导致带来更大的损失,只(zhi)有这样才能让网站安全稳定的运行,所谓知己知彼 百战(zhan)不殆。

今天所讲的网站是基础点(dian)知(zhi)识（第一点开始）

1.1. Web技术演化

1.1.1. 静态页面

在互联网最初开始的时候，Web网站的(de)安全主要内容是静态的，由文字和图(tu)片组成，基础(chu)解(jie)第制(zhi)作和表现形式也是点讲点以表(biao)格为主。当时的(de)渗透用(yong)户行为也非常简单，仅仅是测试浏览网页。

1.1.2. 多媒体阶段

随着技术的网站不断发展，音频、安全视频、基础解第Flash等多媒体技术诞生了。点讲点多(duo)媒体的渗透加入使得网页变得更加生动形象，网页上的测试交互也(ye)给用户带来了更好的体验。

1.1.3. CGI阶段

渐渐的网站，多媒体已经不能满足人们的请求，于是CGI（Common Gateway Interface）应运而生(sheng)。CGI定义了Web服务器与外部应用程序之间的(de)通信接口标准，因此Web服务器可以通过CGI执行外部程序，让外(wai)部程序根据Web请求内容生(sheng)成动态的(de)内容。

在这个时候，各种编程语言如PHP/ASP/JSP也逐渐加入市场，基于(yu)这些语言可(ke)以实现(xian)更加模块化的、功能更强大的应用(yong)程序。

1.1.4. Ajax

在开始的时候，用户提交整(zheng)个表单后才能获取结果，用户体验极差。于是Ajax（Asynchronous Java And XML）技术逐渐流行起来，它使得应用在不更新整个页面的前提下也可以获得或更新数据。这使得(de)Web应用程(cheng)序更为迅捷地回(hui)应用户动作(zuo)，并避免了在网络上发送那些没有改变的信息。

1.1.5. MVC

Model，View和Controller的分开，是(shi)一种典型的(de)关注点分离的思想，使得代码复用性和组织性更好，Web应用的配置性和灵活性也越来越好。而数据(ju)访问也逐渐通过面(mian)向对象的方式来替代直接的SQL访问，出现了ORM（Object Relation Mapping）的概念。

除了MVC，类似的设计思想还有MVP，MVVM等。

1.1.6. RESTful

在CGI时期，前后端通常是没(mei)有做严格区分的，随着解(jie)耦和的需求不断增(zeng)加，前后端的概念开始变得清晰。前端主要(yao)指网站前台部分，运行在PC端、移动(dong)端等浏览器上展现给(gei)用(yong)户浏览的网页，由HTML5、CSS3、Java组成(cheng)。后端主要指网站的逻辑部分，涉及数据的增删改查等(deng)。

此(ci)时，REST（Representation State Transformation）逐渐成为一种流行的Web架构风(feng)格。

REST鼓励基于URL来组织系统功能，充分利用HTTP本身的语义，而不是仅仅将(jiang)HTTP作为一种远程(cheng)数据传输协议。一般RESTful有以下的特征：

api.example.com

example.com/api/

带有(you)版本控制

api.example.com/v1

api.example.com/v2

使用URL定位资源

GET /users 获取所有用(yong)户

GET /team/:team/users获取某团队所有用户

POST /users 创建用户

PATCH/PUT /users 修改某个用户数据

DELETE /users 删除某个用户数据

用 HTTP 动词描述操作

GET 获取资源，单个或多个

POST 创建资源

PUT/PATCH 更新资源，客户端提供完整的资源数据 是 DELETE 删除资源

正确使用状态码

使用(yong)状态码提高返回数据的可读性

默认使用 JSON 作(zuo)为数据响应格式

有清晰的文(wen)档

点击添加图片描述（最多60个字）

1.1.7. 云服务

随着时间的发展，Web的架构越发复杂，负载均衡、数据库分表、异地容灾、缓存、CDN、消(xiao)息队列等技术开始应(ying)用(yong)，增加了Web开发和运(yun)维的复杂度。同时云服务开始逐渐发展，部署环境容器化，各个功能拆成(cheng)微服务或是Serverless的架构。

1.2. 计算机网络

1.2.1. 计算机通信网的组成

计算机网络由通信子网和(he)资源子网组成。

其(qi)中通信子网负责数据的无差错和(he)有(you)序传递，其处理功能包括差错控制、流量(liang)控制、路由选择、网络互连等。

计算机通信网就是一个由通信子网承载的、传输和共享资(zi)源子网的各(ge)类信息的系统。

1.2.2. 通信协议

为了完成计算机之间有序的信息交换，提出了通信协议的概念，其(qi)定义是相互通信的(de)双方（或多方）对(dui)如(ru)何进行信息交换所必须遵守的一整套规则。

协议涉及到三个(ge)要素，分别(bie)为：

语法：语法是用户数据与控制信息的结构与格式，以及数据出现顺序的意(yi)义

语义：用于解释比特流的每一部分的意义

时序：事件实现顺序的详细说明

1.2.3. OSI七(qi)层模型

1.2.3.1. 简介

OSI（open System Interconnection）共分为物理层、数据链路层、网络层、传输层、会话层、表示层、应用层七(qi)层，其具体的(de)功能如下。

1.2.3.2. 物理层

提(ti)供建立、维护和释放物理链路所需的机械、电气功能和规程等特性

通过传输介质进行数据流(比特流)的(de)物理传输、故障监测和(he)物理(li)层管理

从数据链路层接收帧，将比特流转换成底层物理介质上的信号

1.2.3.3. 数据链路层

在物理链路(lu)的两端之间传输数据

提供数据的流量控制

检测和(he)纠正物(wu)理链路产生的差错

格式化的(de)消息称为(wei)帧

1.2.3.4. 网络层

负责端到端的数据的路由或交(jiao)换，为透明地传输数据(ju)建立连接

寻址并解决与数据在异构网络间传输相关(guan)的所有问题(ti)

使用上面的传输层和下面的数据链路层的功能

格式化的消息称为分组

1.2.3.5. 传输层

接收来自会话层的(de)数据，如果需要，将数据分割成(cheng)更小的分组，向网络层传送分组并确保分组(zu)完整和正确到达它们的目的地

在系统之间(jian)提供可靠的透明的数据传输,提供端到端的错误恢复和流量控制

1.2.3.6. 会话层

提(ti)供节点之间通信过程(cheng)的协调

负责执行会话规则（如：连(lian)接是否允许半双工或全双工通信）、同步数据流以及当故障发生时(shi)重新(xin)建立连接

使用上面的表示(shi)层和下面的传输层的功能

1.2.3.7. 表示层

提供数据格式(shi)、变换和编码转换

涉及正在传(chuan)输数(shu)据(ju)的语法和语义

将消息以合(he)适电子传输的格式编码

执行该层的数(shu)据压缩和加密

从应用层接收消息，转换格式，并传送到会话层，该层常合并在应用层中

1.2.3.8. 应(ying)用层

包括各种协议，它们定义了具体的面向拥护的应用：如电子邮件、文件(jian)传输等

点击添加图片描述（最多60个字）

1.2.3.9. 总结

低三层模型属于通信子网，涉及为用户间提供透明连接，操作主要以每条(tiao)链路（ hop-by-hop）为基础，在节点间的各条数据链路上进行通信。由(you)网络层来控制(zhi)各条链路上的通信，但要依赖于其他节(jie)点的协调操作。

高三层属于资源子网，主要涉及保证信息以正确可理解(jie)形(xing)式传(chuan)送。