web安全[网易白帽子课程笔记+体会]-01web基础

一、简介

1、什么是web

web是world wide web万维网的缩写

2、web发展史

2.1、web1.0

初期都是1.0，比如个人网站、门户网站，新浪，网易等，静态信息为主，不可添加修改。

• 主要是人与服务器互动
• 安全问题主要为针对服务器的SQL注入、文件包含、文件上传、挂马、暗链、命令执行等

2.2、web2.0

现在的万维网，比如csdn博客、百度贴吧等，可评论，信息可增加修改。

• 人与人互动增加
• 针对web用户的安全问题出现，钓鱼、URL跳转、构架漏洞、数据劫持、逻辑漏洞、CRSF、XSS等

3、web工作流程

3.1、网页打开全流程

3.2、浏览器工作流程

1. 浏览器有chrome、firefox、IE、opera、世界之窗等等。

2. 用户在浏览器输入url协议网址->浏览器查询DNS服务器得到网址IP->通过http协议访问IP对应的web服务器->将web服务器返回结果呈现给用户。
   

3. 结果呈现要用到html、css、JavaScript等相关技术标准。

3.3、web服务器工作流程

1. 目前最主流的三个Web服务器是Apache、 Nginx、 IIS。
2. 严格意义上Web服务器只负责处理HTTP协议，只能发送静态页面的内容。
3. 而JSP，ASP，PHP等动态内容需要通过CGI、FastCGI、ISAPI等接口交给其他程序去处理。这个其他程序就是应用服务器。
4. 应用服务器有WebLogic，JBoss、Tomcat等，应用服务器一般也支持HTTP协议，界限并不清晰。应用服务器的HTTP协议部分仅仅是支持，一般不会做特别优化，因此很少有见Tomcat直接暴露在外面，而是和Nginx、Apache等配合，只让Tomcat处理JSP和Servlet部分
5. web服务器和数据库的访问流程大致见下图。
   

4、url与http协议基础

4.1、url

1. url即统一资源定位符(Uniform Resource Locator)，支持http、ftp等多种协议。
2. url的作用是定位服务器的资源，详细格式见图。
   

4.2、http

1. http即超文本传输协议(Hyper Text Transfer Protocol)。
2. http请求和响应，包含请求方式(get或post等)、目标地址(host)、用户代理(user-agent)、用户凭证(cookie)、返回的状态码(200、404、403…)、引用referer等等。
3. http请求和响应报文实例，调出浏览器开发者窗口(快捷键F12)即可查看。

二、前端开发基础

可以在w3cschool和菜鸟教程上学习相关知识。

1、HTML

1. html即超文本标记语言(Hyper Text Markup Language)，采用DOM(文档对象模型Document Object Model)树形结构，DOM连接web页面和编程语言，方便JavaScript对html页面进行操作。
2. html文档由html元素组成，html元素结构如下：<开始标签，内容属性，事件属性等> 元素内容，即要展示给用户的东西 </闭合标签>。
3. html注释结构如下<！-- 要注释掉的内容 -->。为了正常显示这里用了中文！号。
4. html标签不区分大小写。

2、JavaScript

2.1 语法

1. JavaScript遵循ECMAScript标准，语法借用了C、Java的语法，相对比较简单。
2. ECMAScript的介绍ECMAScript百度词条
3. 脚本语言的性质，即用来操纵、定制一个已存在系统所提供的功能，以及对其进行自动化。

2.2 运行

1. 可在html的script闭合标签中
2. 可在其他标签的事件属性中
3. 可在浏览器开发者工具的console控制台中。

2.3 作用

1. 增、删、改、查DOM元素对象，使html页面动态化。
2. 操作BOM(Browser Object Model)浏览器对象模型。BOM连接浏览器和编程语言，可通过BOM获取浏览器信息(比如用户cookie、窗口大小等)，改变浏览器行为(比如打开新的浏览页面、关闭浏览窗口等)。

3、CSS

1. CSS即层叠样式表(Cascading Style Sheets)是一种用来表现HTML或XML等文件样式的计算机语言。CSS不仅可以静态地修饰网页，还可以配合各种脚本语言动态地对网页各元素进行格式化。
2. CSS 能够对网页中元素位置的排版进行像素级精确控制，支持几乎所有的字体字号样式，拥有对网页对象和模型样式编辑的能力。
3. CSS可以将样式定义在HTML元素的style属性中，也可以将其定义在HTML文档的header部分，也可以将样式声明在一个专门的CSS文件中，以供HTML页面引用，CSS样式表理论上不属于任何页面文件，在任何页面文件中都可以将其引用。这样就可以实现多个页面风格的统一。
4. 关于CSS的层叠作用和页面压缩等更详细的说明可参考百度词条CSS

三、后端开发基础

可以在w3cschool和菜鸟教程上学习相关知识。

1、简单的Web服务端环境搭建

1.1 web服务端演化

与web前端相同，web服务端也经历了从静态时期到动态时期的演化。

1.2 常见的web服务端架构

常见的web服务端架构见下图，各组件之间可灵活搭配。