个人笔记-渗透测试-XSS漏洞

1，HTTP协议回顾

一，HTTP特点

• 请求应答模式
• 灵活可扩展
• 可靠传输
• 无状态 stateless

二，请求方式

常用方式：GET，POST，PUT，HEAD
不常用：DELETE，TRACE，OPTIONS，CONNECT

三，请求格式

请求方法 请求的url HTTP版本
Accept：
Referer：
UserAgent：
Host：
Content-type：
Cookie：

四，响应格式

响应协议版本 状态码 描述
Server：
Content-Type：
Date：

2，客户端的Cookie

一，无状态的影响

现实：每个请求都是独立的
需求：保持会话

二，Cookie内容

key/value格式，例如：
expires=Thu,31——过期事件
max-age=2147 ——过期事件，优先级高
domain=.baidu.com——在此域名下生效

三，Cookie怎么产生的

客户端第一次访问服务器后，服务器做出回应，回应中给予标记set-cookie
客户端接收到服务器所给的标记，将cookie保持到本地，下一次访问使用cookie进行身份识别

四，Cookie特点

• 明文
• 可修改
• 大小受限（视浏览器而定）

五，Cookie的用途

• 记住登录状态
• 跟踪用户行为

3，服务端的Session