基础知识-WEB网页搭建

常规化：

  • 原理：源码数据都在服务器中
  • 影响：使用常规的安全测试手法

站库分离：

  • 原理：数据源码不在同一服务器上
  • 存储：其他服务器上 & 云数据产品
  • 影响：数据被单独存放，能连接才可能影响数据

前后端分类：

  • 原理：前端 js 框架，API 传输数据
  • 影响：1，前端页面大部分不存在漏洞 2，后端管理大部分不在同一域名 3，获得的权限有可能 1 不影响后端

集成软件：

  • 原理：打包类集成化环境，权限配置或受控制
  • 影响：攻击者权限对比区别

Docker 容器：

  • 原理：虚拟化技术独立磁盘空间，非真实物理环境

  • 影响：攻击者虚拟空间磁盘

  • 搭站平台：

  • 模式：1，托管 2，申请

  • 原理：利用别人域名模板建立

  • 影响：实质安全测试非资产目标

纯静态：

  • 例子：大学学的 html 设计网页
  • 原理：数据没有传输性（js 传输不算）
  • 影响：无漏洞

伪静态：动态为静态技术，伪装的静态

WAF

非嵌入型：

  • 硬件型：以硬件形式部署在链路中，支持多种部署方式，当串联到链路中可以拦截恶意流量，在旁路监听时只做记录不拦截（Imperva，天清 WAG 等）
  • 软件型：以软件形式安装在服务器上，可以直接检测服务器是否存在 webshell，是否有文件被创建等（安全狗，云锁，D 盾等）
  • 云 WAF：一般以反向代理的形式工作，通过配置 NS 或 CNAME 记录，使得对网站的请求报文优先经过 WAF 主机（阿里云云盾，腾讯云 WAF 等）

嵌入式：

网站内置的 WAF：直接嵌入在代码中，安全人员在可能受到攻击的地方增强一些安全防护代码，比如过滤敏感字符

CDN

  • 原理：内容分发服务，提到访问速度
  • OSS

OSS

  • 原理：云存储服务，提高资源文件加载速度
  • 影响：资源单独存储，修复上传漏洞 文件解析不复存在 同时也会有 Accesskey 泄露安全问题影响：隐藏真实 ip

反向代理

  • 原理：通过网络反向代理转发真实服务达到访问目的
  • 影响：访问目标只是一个代理，非真实应用服务器

负载均衡

  • 原理：分摊到多个操作单元上进行执行，共同完成工作任务
  • 影响：有多个服务器记载服务，测试过程中存在多个目标情况