2、Web应用程序技术要点.docx

第3章Web 应用程序技术Web应用程序使用各种不同的技术实现其功能。本章简要介绍渗透侧试员在攻击Web应用程序时可能遇到的关键技术。我们将分析HTTP协议、服务器和客户端常用的技术以及用于在各种情形下呈现数据的编码方案。这些技术大都简单易懂，掌握其相关特性对于向Web应用程序发动有效攻击极其重要。3.1HTTPHTTP(HyperText Transfer Protocol,超文本传输协议)是访问万维网使用的核心通信协议，也是今天所有Web应用程序使用的通信协议。最初，HTTP只是一个为获取基于文本的静态资源而开发的简单协议，后来人们以各种形式扩展和利用它.使其能够支持如今常见的复杂分布式应用程序。HTTP使用一种荃于消息的模型:客户端送出一条请求消息，而后由服务器返回一条响应消息。该协议墓本上不需要连接，虽然HTTP使用有状态的TCP协议作为它的传输机制，但每次请求与响应交换都自动完成，并且可能使用不同的TCP连接。3.1.1HTTP请求所有HTTP消息(请求与响应)中都包含一个或几个单行显示的消息头(header)，然后是一个强制空白行，最后是消息主体(可选)。以下是一个典型的HTTP请求:GET /auth/488/YourDetails.ashx?uid=129 HTTP/l.1Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8Referer: /auth/488/Home.ashxAccept-Language: zh-cn,zh;q=0.5User-Agent: Mozilla/4.0 (compatible; MSIE 8.0; Windows NT 6.1; WDW64;Trident/4.0; SLCC2;. NET CLR 2.0.50727;. NET CLR 3.5.30729; .NET CLR3.0.30729; .NET4.OC; InfoPath.3; .NET4.OE; FDM;。 NET CLR 1.1.4322)Accept-Encoding: gzip, deflateHost: Connection: Keep-AliveCookie: SessionId=5870C7lF3FD4968935CDB6682E545476每个HTTP请求的第一行都由3个以空格间隔的项目组成。GET：一个说明HTTP方法的动词。最常用的方法为GET，它的主要作用是从Web服务器获取一个资派。GET请求并没有消息主体，因此在消息头后的空白行中没有其他数据。所请求的URL，该URL通常由所请求的资源名称，以及一个包含客户端向该资源提交的参数的可选查询字符串组成。在该URL中，查询字符串以?字符标识，上面的示例中有一个名为uid、值为129的参数。使用的HTTP版本。因特网上常用的HTTP版本为1.0和1.1,多数浏览器默认使用1.1版本。这两个版本的规范之间存在一些差异;然而，当攻击Web应用程序时，渗透测试员可能遇到的唯一差异是1.1版本必须使用Host请求头。Accept:浏览器支持的 MIME 类型分别是 text/html、application/xhtml+xml、application/xml 和 */*，优先顺序是它们从左到右的排列顺序。详解：　　Accept表示浏览器支持的 MIME 类型；　　MIME的英文全称是 Multipurpose Internet Mail Extensions（多功能 Internet 邮件扩充服务），它是一种多用途网际邮件扩充协议，在1992年最早应用于电子邮件系统，但后来也应用到浏览器。　　text/html,application/xhtml+xml,application/xml?都是 MIME 类型，也可以称为媒体类型和内容类型，斜杠前面的是 type（类型），斜杠后面的是 subtype（子类型）；type 指定大的范围，subtype 是 type 中范围更明确的类型，即大类中的小类。　　Text：用于标准化地表示的文本信息，文本消息可以是多种字符集和或者多种格式的；　　text/html表示 html 文档；　　Application：用于传输应用程序数据或者二进制数据；　　application/xhtml+xml表示 xhtml 文档；　　application/xml表示 xml 文档。Referer消息头用于表示发出请求的原始URL(例如，因为用户单击页面上的一个链接)。请注意，在最初的HTTP规范中，这个消息头存在拼写错误，并且这个错误一直保留了下来。Accept-Language浏览器支持的语言分别是中文和简体中