搜索
WEB应用安全和数据库安全的领航者安全基础（3-46）Sql注入（47-116）跨站脚本（117-153）WEB应用安全和数据库安全的领航者应用安全基础•WEB应用的基本架构•HTTP协议简介•应用系统概述•数据传输编码技术简介3WEB应用安全和数据库安全的领航者应用的基本架构•客戶端（Client）／服务器（Server）架构•使用HTML（HyperTextTransferProtocol）描述文件•使用URL（UniformResourceLocator）指定文件的所在•透过HTTP（HyperTextTransferProtocol）协议与服务器沟通WEB应用安全和数据库安全的领航者协议简介•HTTP介绍•URL介绍•HTTP的工作过程•HTTP代理服务器•HTTP的报文结构WEB应用安全和数据库安全的领航者介绍HTTP(HypertextTransferProtocol)是一种无状态的协议，基于简单的请求—响应模型(requests/responses)HTTP请求和响应都有消息头(Header),消息主体(body)(请求的消息主体是可选)HTTP请求必须使用一个特定的请求方法(method)HTTP响应包含一个状态代码(StatusCode)HTTP是一个纯文本的协议WEB应用安全和数据库安全的领航者介绍统一资源定位符（URL，英语Uniform/UniversalResourceLocator的缩写）也被称为网页地址，是因特网上标准的资源的地址。URL的一般形式格式：URL的访问方式://主机:端口/路径，如：访问方式：最常用的有三种，ftp，http，news主机：网站的域名，或IP，如：abcd.com端口：http固定端口是80。路径：资源的位置,如def.htm。主机是必须的，端口和路径则有时可以省略。应用安全和数据库安全的领航者•表述性状态转移（REST）是分布式系统的一种体系架构，在这类的体系架构中，请求和响应包含系统资源当前状态的表述。•REST风格的URL是指在URL文件路径而非查询字符串中包含参数的URL。例如：下面这个包含查询字符串的URL：=ford&model=pinto与以下包含“REST风格”参数的URL相对应：应用安全和数据库安全的领航者的工作过程通常，由HTTP客户端发起一个请求，建立一个到服务器指定端口（默认是80端口）的TCP连接。HTTP服务器则在那个端口监听客户端发送过来的请求。一旦收到请求，服务器就会响应客户端的请求。服务器（向客户端）发回一个状态行，比如“HTTP/1.1200OK”，和（响应的）消息，消息的消息体可能是请求的文件、错误消息、或者其它一些信息。WEB应用安全和数据库安全的领航者连接需要如下步骤：浏览器分析指向页面的URL浏览器向DNS请求解析出域名的IP地址浏览器与服务器建立TCP连接浏览器发出取文件命令服务器给出响应，将文件发给浏览器TCP连接释放浏览器显示文件中的所有文本WEB应用安全和数据库安全的领航者保持状态•HTTP协议不保持请求之间的状态•要保持状态,必须使用状态跟踪机制•通常是通过会话标识符（SessionID）在请求中与会话相关联•会话ID通常在以下3个地方:–URL–HiddenFormField–CookieHTTPHeader16WEB应用安全和数据库安全的领航者(CS155)ValidatetokenWEB应用安全和数据库安全的领航者•Browsercookie:Set-Cookie:SessionToken=fduhye63sfdb•EmbeddinallURLlinks:=kh7y3b•Inahiddenformfield:inputtype=“hidden”name=“sessionid”value=“kh7y3b”WEB应用安全和数据库安全的领航者•是实现会话保持最常规的方法•要启动一个会话,服务器使用Set-Cookie响应消息头发布cookie–BeginswithaNAME=VALUEpair–Followedby0ormoresemi-colon-separatedattribute-valuepairs•Domain,Path,Expires,SecureSet-Cookie:SID=5KXIOt4cS;expires=Mon,31-May-201020:46:01GMT;path=/;domain=.abc.com;HttpOnly•客户端发送Cookie消息头到服务器保持继续会话19WEB应用安全和数据库安全的领航者代理服务器代理服务器是一种网络实体，它能代表浏览器发出HTTP请求。代理服务器将最近的一些请求和响应暂存在本地磁盘中。当与暂时存放的请求相同的新请求到达时，代理服务器就将暂存的响应发送出去，而不需要按URL的地址再去因特网访问该资源。代理服务器可在客户和服务器端工作，也可在中间系统上工作。WEB应用安全和数据库安全的领航者代理服务器浏览器访问因特网上的服务器的过程是：1.浏览器访问因特网服务器时，要先与代理服务器建立TCP连接，并向代理服务器发出HTTP请求报文。2.若代理服务器已经存放了所请求的对象，则将此对象放入HTTP响应报文中返回给浏览器。3.否则，代理服务器就代表发出请求的用户浏览器，与因特网上的服务器建立TCP连接，并发送HTTP请求报文。4.因特网服务器将所请求的对象放在HTTP响应报文中，通过已建立的TCP连接，返回给代理服务器。5.代理服务器收到此对象后，先复制在本地存储器中，然后再将该对象放在HTTP响应报文中，通过已建立的TCP连接返回给请求该对象的浏览器。代理服务器即作为服务器，也作为客户。WEB应用安全和数据库安全的领航者•HTTPPROXY24WEB应用安全和数据库安全的领航者的报文结构。HTTP有两类报文：(1)请求报文—从客服向服务器发送请求报文。(2)响应报文—从服务器到客服的回答。HTTP报文由客户端到服务器的请求和服务器到客户端的响应组成。请求报文和响应报文都是由开始行（对于请求报文，开始行就是请求行，对于响应报文，开始行就是状态行），首部行（可选），空行（只有CRLF的行），报文正文（可选）组成。WEB应用安全和数据库安全的领航者的报文结构•请求报文请求报文是客服向服务器发送请求的报文WEB应用安全和数据库安全的领航者的报文结构•请求行请求行由请求方法字段、URL字段和HTTP协议版本字段3个字段组成，它们用空格分隔。例如，GET/index.htmlHTTP/1.1。HTTP请求方法HTTP协议的请求方法有GET、POST、HEAD、PUT、DELETE、OPTIONS、TRACE、CONNECT。GET：读取由URL所标识的信息。OPTION：请求一些选项的信息。HEAD：请求读取URL所标识信息的首部。POST：给服务器添加信息。PUT：在指明的URL下存储一个文档。DELETE：删除指明的URL所标志的资源。TRACE：用来进行环回测试的请求报文。CONNECT：用于代理服务器。WEB应用安全和数据库安全的领航者的报文结构在请求报文中的请求方法区分大小写。URL字段：路径，如果URL中没有给出路径，那么当它作为请求URI时，必须以“/”的形式给出，通常这个工作浏览器自动帮我们完成。版本：HTTP协议目前用的最多的是1.1版本。WEB应用安全和数据库安全的领航者的报文结构•请求头部请求头部由关键字/值对组成，每行一对，关键字和值用英文冒号“:”分隔。请求头部通知服务器有关于客户端请求的信息，典型的请求头有：User-Agent：产生请求的浏览器类型。Accept：请求报头域用于指定客户端接受哪些类型的信息。eg：Accept：image/gif，表明客户端希望接受GIF图象格式的资源；Accept：text/html，表明客户端希望接受html文本。Accept-Encoding：请求报头域类似于Accept，但是它是用于指定可接受的内容编码，eg：Accept-Encoding:gzip.deflate，表示可以接受gzip算法编码过的数据。Accept-Language：请求报头域类似于Accept，但是它是用于指定一种自然语言。eg：Accept-Language:zh-cn，表示优先接受中文版文档。WEB应用安全和数据库安全的领航者：上一个资源的URL。Connection：