web安全入门day02——数据包拓展
目录
一、网站解析对应
二、HTTP/S数据包
1、浏览器—网站服务器
2、浏览器—代理—网站服务器
三、http和https的区别
1.区别
2.http
3. https
（1）工作原理：
① 客户端发起HTTPS请求
② 服务端的配置
③传送证书
④客户端解析证书
⑤传送加密信息
⑥服务段解密信息
⑦传输加密后的信息
⑧客户端解密信息
（2）通信过程
request请求数据包格式
① 请求行：
请求头
response请求数据包格式
响应头标
空行
相应数据
涉及演示案例
实操
一、网站解析对应
二、HTTP/S数据包
1、浏览器—网站服务器
浏览器请求数据包
网站返回数据包
2、浏览器—代理—网站服务器
三、http和https的区别
1.区别
1、https协议需要到ca申请证书，一般免费证书较少，因而需要一定费用。
2、http是超文本传输协议，信息是明文传输，https则是具有安全性的ssl加密传输协议。
3、http和https使用的是完全不同的连接方式，用的端口也不一样，前者是80，后者是443。
4、http的连接很简单，是无状态的；HTTPS协议是由SSL+HTTP协议构建的可进行加密传输、身份认证的网络协议，比http协议安全。
2.http
是互联网上应用最为广泛的一种网络协议，是一个客户端和服务器端请求和应答的标准（TCP），用于从WWW服务器传输超文本到本地浏览器的传输协议，它可以使浏览器更加高效，使网络传输减少。
3. https
安全超文本传输协议，即为http的安全版，即为http下加ssl。
（1）工作原理：
① 客户端发起HTTPS请求
用户在浏览器里输入一个https网址，然后连接到server的443端口。
② 服务端的配置
采用HTTPS协议的服务器必须要有一套数字证书，可以自己制作，也可以向组织申请，区别就是自己颁发的证书需要客户端验证通过，才可以继续访问，而使用受信任的公司申请的证书则不会弹出提示页面(startssl就是个不错的选择，有1年的免费服务)。
这套证书其实就是一对公钥和私钥，如果对公钥和私钥不太理解，可以想象成一把钥匙和一个锁头，只是全世界只有你一个人有这把钥匙，你可以把锁头给别人，别人可以用这个锁把重要的东西锁起来，然后发给你，因为只有你一个人有这把钥匙，所以只有你才能看到被这把锁锁起来的东西。
③传送证书
这个证书其实就是公钥，只是包含了很多信息，如证书的颁发机构，过期时间等等。
④客户端解析证书
这部分工作是有客户端的TLS来完成的，首先会验证公钥是否有效，比如颁发机构，过期时间等等，如果发现异常，则会弹出一个警告框，提示证书存在问题。
如果证书没有问题，那么就生成一个随机值，然后用证书对该随机值进行加密，就好像上面说的，把随机值用锁头锁起来，这样除非有钥匙，不然看不到被锁住的内容。
⑤传送加密信息
这部分传送的是用证书加密后的随机值，目的就是让服务端得到这个随机值，以后客户端和服务端的通信就可以通过这个随机值来进行加密解密了。
⑥服务段解密信息
服务端用私钥解密后，得到了客户端传过来的随机值(私钥)，然后把内容通过该值进行对称加密，所谓对称加密就是，将信息和私钥通过某种算法混合在一起，这样除非知道私钥，不然无法获取内容，而正好客户端和服务端都知道这个私钥，所以只要加密算法够彪悍，私钥够复杂，数据就够安全。
⑦传输加密后的信息
这部分信息是服务段用私钥加密后的信息，可以在客户端被还原。
⑧客户端解密信息
客户端用之前生成的私钥解密服务段传过来的信息，于是获取了解密后的内容，整个过程第三方即使监听到了数据，也束手无策。
（2）通信过程
建立连接——> 发送请求包——>返回响应数据包——>关闭链接
request请求数据包格式
① 请求行：
请求类型/请求资源路径、协议版本和类型
有三个标记组成：请求方法、请求URL和http版本，他们用空格分享
eg GET /index.html HTTP/1.1
请求头
②请求列：一些键值对，浏览器与web服务器之间都可以发送，特定的某种含义
③空行：请求头与请求体之间一个空行隔开，发送回车符和退行，通知服务器以下不再有头标
④请求体：要发送的数据（一般用post提交会使用），eg：user=123&pass=123
最常使用的是 content--type 和 content-length头标。
response请求数据包格式
200 存在文件
403 存在文件夹
3xx 均可能存在
404 不存在文件即文件夹
500 均可能存在
eg:
响应头标
像请求头标一样，他们指出服务器的功能，表示出相应数据的细节
空行
最后一个响应投标之后是一个空行，发送回车符，表明服务器以下不再有头标
相应数据
HTML文档和图像等，也就是HTML本身
涉及演示案例
burpsuite抓包工具修改
敏感文件扫描工具简要实现
第三方检测修改实现xss攻击
数据包相关检验对比（APP与直接访问）
CTF或实际应用中部分考题解析
实操
(45条消息) 墨者学院 在线靶场 来源页伪造_viki..的博客-CSDN博客
(45条消息) 墨者学院 在线靶场 HTTP动作练习_viki..的博客-CSDN博客
web安全入门day02——数据包拓展相关推荐
- WEB安全_基础入门_数据包拓展，安装Burp Suite，练习来源页伪造、浏览器信息伪造、HTTP动作练习、投票系统程序设计缺陷分析
数据包拓展 一.网站解析对应 1.简要网站搭建过程: 教学地址 2.涉及到的攻击层面? 源码,搭建平台,系统,网络层等 3.涉及到的安全问题? 目录,敏感文件,弱口令,IP以及域名 HTTP/S数据包 ...
- 第2天：基础入门~数据包拓展
数据包的概念以及修改数据包 网站解析对应 HTTP/S数据包 HTTP与HTTPS的具体区别 HTTP简要通信过程 HTTPS简要通信过程 Request请求数据包数据格式 请求行 请求头 空行 请求 ...
- 有关数据包拓展基础知识
HTTP/S数据包 1. request请求数据包 Request 对象用于接收客户端浏览器提交的数据,有五个集合: QueryString:用以获取客户端附在url地址后的查询字符串中的信息. Fo ...
- 小迪安全-Day2数据包拓展
HTTP/S数据包 1. request请求数据包 Request 对象用于接收客户端浏览器提交的数据,有五个集合: 1)QueryString:用以获取客户端附在url地址后的查询字符串中的信息. ...
- B站小迪安全学习笔记第2天-数据包拓展
网站解析对应 1.简要网站搭建过程 2.涉及到的攻击层面?(源码,搭建平台,系统,网络层等) 3.涉及到的安全问题?(目录,敏感文件,弱口令,IP 及域名等) 这几个不知道为什么开头提及了一下,就一笔 ...
- 一、web安全入门基础知识
一.基础入门-概念名次 域名发现对应网安的意义? 一个网站的域名和他的子域名可能绑定于同一个IP地址,当我们进行漏洞扫描的时候他的主站没有找到漏洞那么我们就可以通过他子域名的网站绑定于同一个IP地址这 ...
- 网络技术入门 ：HTTP报文和TCP/IP数据包
本章把HTTP报文和TCP/IP数据包放在一起.是因为: 报文是一个完成的有意义的数据. 数据包可以理解为组成报文的传输单元. 应用程序的数据一般都比较大,因此TCP会按照网络包的大小对数据进行拆分. ...
- 二、基础入门——数据包扩展
二.基础入门--数据包扩展(2022.11.7) 1. http和https区别 http相当于明文,https相当于是加密过后的. HTTP HTTPS TCP SSL or TLS IP TC ...
- SpringBoot的Web开发入门案例9—数据访问
SpringBoot的Web开发入门案例9-数据访问 创建一个springboot项目(打包方式为jar包): 勾选Spring Web选项,勾选JDBC API和MySQL Driver pom文件 ...
最新文章
- （读书笔记）.NET大局观-.NET语言（1）
- 数据中台建设是噱头还是黑科技？
- erlang分布式编程模型
- HDU - 7072 Boring data structure problem 双端队列 + 思维
- process启动jar包判断成功_恒一广告助力2020年壹基金温暖包安康发放启动仪式成功举办...
- android onserviceconnected_2019最新Android面试题
- git(16)---解决冲突
- boost学习之BOOST_PP_REPEAT
- 纪念我逝去的概率论基础
- [数分提高]2014-2015-2第1教学周第2次课
- centos6.5 gcc升级至4.8
- charles抓包工具使用及手机抓包教程
- 实时监控input输入框,获取输入的内容,去除拼音
- vue组件库开发（npm包发布）
- KB，MB单位转换(Vue)
- tyvj P1179 飘飘乎居士数列游戏
- 如何获取qq空间图片的url
- 计算机管理没有Android手机项,电脑没有手机驱动各品牌解决办法
- android联动动画,Android双向列表左右联动效果
- 双系统 Win10下安装Linux（单/双硬盘）