Web 安全基础理论

Web 安全基础理论

培训、环境、资料、考证
公众号：Geek极安云科
网络安全群：624032112
网络系统管理群：223627079 
网络建设与运维群：870959784 
移动应用开发群：548238632
短视频制作群： 744125867

极安云科专注于技能提升，赋能
2024年广东省高校的技能提升，受赋能的客户院校均获奖！
2024年江苏省赛一二等奖前13名中，我们赋能客户占五支队伍！
2024年湖南省赛赋能三所院校均获奖！
2024年山东省赛赋能两所院校均获奖！
2024年湖北省赛赋能参赛院校九支队伍，共计斩获一等奖2项、三等奖7项!

0x01 HTTP

HTTP（HyperText Transfer Protocol，超文本传输协议），是访问万维网使用的核心通信协议，也是今天所有Web应用程序使用的通信协议

HTTP使用一种基于消息的模型：客户端送出一条请求消息，而后由服务器返回一条响应消息。该协议基本上不需要连接，虽然HTTP使用有状态的TCP协议作为它的传输机制，但每次请求与响应交换都自动完成，并且可能使用不同的TCP连接。

0x02 URL

URL（Uniform Resource Locator，统一资源定位符）是标识Web资源的唯一标识符，通过它即可获取其标识的资源。最常用的URL格式如下：

这个结构中有几个部分是可选的。如果端口号与相关协议使用的默认值不同，则只包含端口号即可。用于生成前面的HTTP请求的URL为：

Web页面常常使用这些相对形式描述Web站点或应用程序中的导航。

实际上 URL 因该称作 URI 统一资源标识符，但这一术语仅用于正式规范中，我们参考即可

0x03 REST 🔺

表述性状态转移（REST）是分布式系统的一种体系架构，在这类体系架构中，请求和响应包含系统资源当前状态的表述。万维网，包括HTTP协议和URL格式中使用的核心技术，均符合REST体系架构风格。

虽然在查询字符串中包含参数的URL本身遵循REST约束，但“REST风格的URL”一词通常指在URL文件路径而非查询字符串中包含参数的URL。例如，下面这个包含查询字符串的URL：

与以下包含“REST风格”参数的URL相对应：

0x04 HTTP 状态码 🔺

关于响应码，我们这里列出常见且有用的，以表格呈现，方便清晰和保存

0x05 HTTP 请求

所有HTTP消息（请求与响应）中都包含一个或几个单行显示的消息头（header），然后是一个强制空白行，最后是消息主体（可选）。以下是一个典型的HTTP请求：

这需要我们具备捕获数据包的基本操作，后面我们会讲解，我们先了解即可

其中包含一些其他参数，比如我们常见的 cookie，host，User-Agent 等，我们在后面会讲解

0x06 HTTP 响应

下面是一个简单是 HTTP 响应过程以及响应数据，其中包含了 HTTP 协议号，以及响应码，其中发送了 Set-Cookie，以及 HTML 代码以响应页面。

其中也包含了一些常见参数，我们会在后面讲述

0x07 HTTP 方法

HTTP 方法主要分类如下，我们一个一个讲解：

• Get
• Post
• HEAD
• TRACE
• OPTIONS
• PUT

1.Get 🔺

==GET方法的作用在于获取资源。==它可以用于URL查询字符串的形式向所请求的资源发送参数。这使用户可将一个包含动态资源的URL标注为书签，用户自己或其他用户随后可重复利用该书签来获取等价的资源（作用与标注为书签的搜索查询相似）。URL显示在屏幕上，并被记录在许多地方，如浏览器的历史记录和Web服务器的访问日志中。如果单击外部链接，还可以用Referer消息头将它们传送到其他站点。因此，请勿使用查询字符串传送任何敏感信息。

2.Post 🔺

==POST方法的主要作用是执行操作。使用这个方法可以在URL查询字符串与消息主体中发送请求参数。==尽管仍然可以将URL标注为书签，但书签中并不包含消息主体发送的任何参数。许多维护URL日志的位置及Referer消息头也将这些参数排除在外。因为POST方法旨在执行操作，如果用户单击浏览器上的“后退”按钮，返回一个使用这种方法访问的页面，那么浏览器不会自动重新发送请求，而是就即将发生的操作向用户发出警告，如图3-1所示。这样做可防止用户无意中多次执行同一个操作。因此，在执行某一操作时必须使用POST请求。

3.HEAD

这个方法的功能与GET方法相似，不同之处在于==服务器不会在其响应中返回消息主体。==服务器返回的消息头应与对应GET请求返回的消息头相同。因此，这种方法可用于检查某一资源在向其提交GET请求前是否存在。

4.TRACE

这种方法主要用于诊断。服务器应在响应主体中返回其收到的请求消息的具体内容。这种方法可用于检测客户端与服务器之间是否存在任何操纵请求的代理服务器。

5.OPTIONS 🔺

这种方法要求服务器报告对某一特殊资源有效的HTTP方法。服务器通常返回一个包含Allow消息头的响应，并在其中列出所有有效的方法。

6.PUT 🔺

这个方法试图使用包含在请求主体中的内容，向服务器上传指定的资源。如果激活这个方法，渗透测试员就可以利用它来攻击应用程序。例如，通过上传任意一段脚本并在服务器上执行该脚本来攻击应用程序。

前提是对方服务器未开启文件锁，允许新文件诞生。

0x08 HTTP 消息头讲解 🔺

该知识点是重点

我们将消息头分为如下二种：

• 请求消息头
• 响应消息头

有一些消息头对我们没多大用处，所以我们记住重点即可，其他作为参考就行。

常用消息头

• Connection：这个消息头用于告诉通信的另一端，在完成HTTP传输后是关闭TCP连接，还是保持连接开放以接收其他消息。

• Content-Encoding：这个消息头为消息主体中的内容指定编码形式（如gzip），一些应用程序使用它来压缩响应以加快传输速度。

• Content-Length：这个消息头用于规定消息主体的字节长度。（HEAD语法的响应例外，它在对应的GET请求的响应中指出主体的长度。）

• Content-Type：这个消息头用于规定消息主体的内容类型。例如，HTML文档的内容类型为 text/html。

• Transfer-Encoding：这个消息头指定为方便其通过HTTP传输而对消息主体使用的任何编码。如果使用这个消息头，通常用它指定块编码。

请求消息头

• Accept：这个消息头用于告诉服务器客户端愿意接受哪些内容，如图像类型、办公文档格式等。

• Accept-Encoding：这个消息头用于告诉服务器，客户端愿意接受哪些内容编码。

• ==Authorization：==这个消息头用于为一种内置HTTP身份验证向服务器提交证书。

• ==Cookie：==这个消息头用于向服务器提交它以前发布的cookie。

• ==Host：==这个消息头用于指定出现在所请求的完整URL中的主机名称。

• if-Modified-Since：这个消息头用于说明浏览器最后一次收到所请求的资源的时间。

如果自那以后资源没有发生变化，服务器就会发出一个带状态码304的响应，指示客户端使用资源的缓存副本。

• If-None-Match：这个消息头用于指定一个实体标签。实体标签是一个说明消息主体内容的标识符。当最后一次收到所请求的资源时，浏览器提交服务器发布的实体标签。服务器可以使用实体标签确定浏览器是否使用资源的缓存副本。

• ==Origin：==这个消息头用在跨域Ajax请求中，用于指示提出请求的域

• ==Referer：==这个消息头用于指示提出当前请求的原始URL。

• ==User-Agent：==这个消息头提供与浏览器或生成请求的其他客户端软件有关的信息。

响应消息头

• Access-Control-Allow-Origin：这个消息头用于指示可否通过跨域Ajax请求获取资源。

• Cache-Control：这个消息头用于向浏览器传送缓存指令（如M-cache）。

• ETag：这个消息头用于指定一个实体标签。客户端可在将来的请求中提交这个标识符，获得和If-None-Match消息头中相同的资源，通知服务器浏览器当前缓存中保存的是哪个版本的资源。

• Expires：这个消息头用于向浏览器说明消息主体内容的有效时间。在这个时间之前，浏览器可以使用这个资源的缓存副本。

• Location：这个消息头用于在重定向响应（那些状态码以3开头的响应）中说明重定向的目标。

• Pragma：这个消息头用于向浏览器传送缓存指令（如no-cache）。

• ==Server：==这个消息头提供所使用的Web服务器软件的相关信息。

• ==Set-Cookie：==这个消息头用于向浏览器发布cookie，浏览器会在随后的请求中将其返回给服务器。

• WWW-Authenticate：这个消息头用在带401状态码的响应中，提供与服务器所支持的身份验证类型有关的信息。

• X-Frame-Options：这个消息头指示浏览器框架是否及如何加载当前响应

0x09 HTTPS

HTTP 使用普通的非加密TCP作为其传输机制，因此，处在网络适当位置的攻击者能够截取这个机制。HTTPS本质上与HTTP一样，都属于应用层协议，但HTTPS通过安全传输机制——安全套接层（Secure Socket Layer，SSL）——传送数据。这种机制可保护通过网络传送的所有数据的隐密性与完整性，显著降低非入侵性拦截攻击的可能性。不管是否使用SSL进行传输，HTTP请求与响应都以完全相同的方式工作。

有意思的是：如今的SSL实际上已经由 TLS（Transport Layer Security，传输层安全）代替，但后者通常还是使用SSL这个名称

0x10 代理

HTTP 代理服务器是一个协调客户端浏览器与目标 Web 服务器之间访问的服务器。当配置浏览器使用代理服务器时，它会将所有请求提交到代理服务器，代理服务器再将请求转送给相关 Web 服务器，并将响应返回给浏览器。

我们可以将代理服务器或者代理理解为一个拦路的强盗

不管是谁来，只要我们起了代理，那么就必须走我这个代理的路，我们可以起到拦截流量，或者不拦截流量的操作

通常不拦截流量，会将流量转发给代理服务区，然后再通过代理服务器转发给目标，这就形成了一个隐藏自身 IP 的方法。

常见代理服务器：快代理

常见抓包工具：BurpSuite，Fiddle，Charles，Wireshark，TCPdump(Linux)，科来网络分析系统，WPE 封包技术等等

0x11 Bugku CTF 演练

Bugku 网址：http://ctf.bugku.com/

演练总共分以下；

• GET
• POST

完成以上两种 HTTP 请求方法 CTF 入门赛题，增强我们对 GET POST 请求方法的记忆增强与理解

题目分布在 Web 分类中

关于 CTF 平台无限金币刷题注册

有些 CTF 平台如果可以使用邮箱注册，我们可以使用网上的临时邮箱；

这里给一个参考链接：http://tempmail.cn/

用临时邮箱注册，以达到无限金币刷题练习。

GET 演练

分析给出的 PHP 代码

$what=$_GET['what'];
echo $what;
if($what=='flag')
echo 'flag{****}';

• 可以看到，有一个 what 变量，使用 GET HTTP 方法接收数据，指定 what 字符串为接收

• 然后是一个判断

payload

http://114.67.175.224:17979/?what=flag

最终输出 flag

flag{783c1d6b0fd59da9efd54220ac4ae6b5}

POST 演练

分析给出的 PHP 代码

$what=$_POST['what'];
echo $what;
if($what=='flag')
echo 'flag{****}';

可以看到，代码跟 GET 那道题目一样，只是请求的方法变了，我们只需要发送 POST 请求，使 what==flag 即可

能够操作的工具和方法这里给出：

• Hackbar 浏览器插件
• 其他类似 hackbar 的插件
• BurpSuite 代理拦截发送 POST 数据

除了 BurpSuite 的方法之外，其他拿到 flag 的方式都差不多，但是不能增加我们对 POST 方法的理解

所以我这里操作 BurpSuite 解题

先使用 SwitchyOmega 挂起代理

给个名称然后确认

操作之后应用

BurpSuite 操作 POST 数据

挂起代理，拦截数据，发送到 Repeater，修改数据包以发送 POST 方法数据，拿到 flag

• 其中的关键点就在于，如果发送 POST 数据，需要我们给定一个 Content-type

• 这样目标服务器才能够解析我们发送的 POST 数据，否则服务器不解析。

拿到数据包

修改数据包

这也就是 POST 与 GET 的区别，我们要掌握这种基础知识

0x12 Tomcat CVE-2017-12615 PUT 方法任意文件上传漏洞演练

关于这个 PUT 上传是最为基础的漏洞，也是安全入门必须理解的一个 HTTP 方法

漏洞环境搭建

先把测试环境搭建起来：

• 安装 Centos 7 Linux 虚拟机

• 配置国内在线 Yum源

  curl -o /etc/yum.repos.d/CentOS-Base.repo http://mirrors.aliyun.com/repo/Centos-7.repo
  yum makecache
  

• 配置国内 docker 源

  yum-config-manager --add-repo http://mirrors.aliyun.com/docker-ce/linux/centos/docker-ce.repo
  

• 配置 Python3 环境

  yum install python3 –y
  

• 升级 pip

  python3 -m pip install --upgrade pip
  

• 配置 pip 国内源

  打开(若没有自行创建 mkdir ~/.pip 然后 touch pip.conf)配置文件 ~/.pip/pip.conf

  修改如下：

  [global]
  index-url = https://pypi.tuna.tsinghua.edu.cn/simple
  [install]
  trusted-host = https://pypi.tuna.tsinghua.edu.cn
  

  配置完后，查看镜像地址，确认

  $ pip3 config list   
  global.index-url='http://pypi.tuna.tsinghua.edu.cn/simple'
  install.trusted-host='http://pypi.tuna.tsinghua.edu.cn'
  

• 搭建 Docker 环境

1：安装 docker yum install docker-ce

2：启动 Docker systemctl start docker

3：将 Docker 加入开机自启动 systemctl enable docker

4：pip 安装 Docker-compose pip install docker-compose

5：安装文件传输工具：yum install lrzsz -y

6：进入相关漏洞目录下载环境 docker-compose build

7：启动环境 docker-compose up -d

8：查看操作路径 docker-compose ps

9：关闭环境 docker-compose down

以下我将操作步骤列出；

• 点击网站可转自身文件夹站点
• 使用代理拦截数据包
• 修改数据包请求方法为 OPTIONS，查看是否支持 PUT 方法
• 若支持 PUT 方法，则以网站支持语言上传 WebShell [^ Apache Tomcat JSP]
• 连接 WebShell 拿下权限，JSP 默认以 root 权限运行

其中在这些步骤中，有我们需要操作，注意的地方如下：

PUT /shell.jsp/ HTTP\1.1

指定上传的 WebShell name 路径表达必须完整

不能 PUT /shell.jsp HTTP\1.1 这样会上传失败

6：进入相关漏洞目录下载环境 docker-compose build

7：启动环境 docker-compose up -d

8：查看操作路径 docker-compose ps

9：关闭环境 docker-compose down

以下我将操作步骤列出；

• 点击网站可转自身文件夹站点
• 使用代理拦截数据包
• 修改数据包请求方法为 OPTIONS，查看是否支持 PUT 方法
• 若支持 PUT 方法，则以网站支持语言上传 WebShell [^ Apache Tomcat JSP]
• 连接 WebShell 拿下权限，JSP 默认以 root 权限运行

其中在这些步骤中，有我们需要操作，注意的地方如下：

PUT /shell.jsp/ HTTP\1.1

指定上传的 WebShell name 路径表达必须完整

不能 PUT /shell.jsp HTTP\1.1 这样会上传失败