随着网络的发达,越来越多的网站已悄悄崛起,在这里我们Sine安全给大家准备讲解下渗透测试服务中的基础点讲解内容,让大家更好的了解这个安全渗透测试的具体知识点和详情过程。主要目的就是为了在网站或app上线前进行全面的渗透测试检测模拟黑客的手法对网站进行全面的漏洞检测,并找出漏洞进行修复,防止上线后被黑客所利用导致带来更大的损失,只有这样才能让网站安全稳定的运行,所谓知己知彼 百战不殆。RRv三九网站目录

今天所讲的是基础点知识（第一点开始）RRv三九网站目录

1.1. Web技术演化RRv三九网站目录

1.1.1. 静态页面RRv三九网站目录

在互联网最初开始的时候，Web网站的主要内容是静态的，由文字和图片组成，制作和表现形式也是以表格为主。当时的用户行为也非常简单，仅仅是浏览网页。RRv三九网站目录

1.1.2. 多媒体阶段RRv三九网站目录

随着技术的不断发展，音频、视频、Flash等多媒体技术诞生了。多媒体的加入使得网页变得更加生动形象，网页上的交互也给用户带来了更好的体验。RRv三九网站目录

1.1.3. CGI阶段RRv三九网站目录

渐渐的，多媒体已经不能满足人们的请求，于是CGI（Common Gateway Interface）应运而生。CGI定义了Web服务器与外部应用程序之间的通信接口标准，因此Web服务器可以通过CGI执行外部程序，让外部程序根据Web请求内容生成动态的内容。RRv三九网站目录

在这个时候，各种编程语言如PHP/ASP/JSP也逐渐加入市场，基于这些语言可以实现更加模块化的、功能更强大的应用程序。RRv三九网站目录

1.1.4. AjaxRRv三九网站目录

在开始的时候，用户提交整个表单后才能获取结果，用户体验极差。于是Ajax（Asynchronous Java And XML）技术逐渐流行起来，它使得应用在不更新整个页面的前提下也可以获得或更新数据。这使得Web应用程序更为迅捷地回应用户动作，并避免了在网络上发送那些没有改变的信息。RRv三九网站目录

1.1.5. MVCRRv三九网站目录

随着Web应用开发越来越标准化，出现了MVC等思想。MVC是Model/View/Control的缩写，Model用于封装数据和数据处理方法，视图View是数据的HTML展现，控制器Controller负责响应请求，协调Model和View。RRv三九网站目录

Model，View和Controller的分开，是一种典型的关注点分离的思想，使得代码复用性和组织性更好，Web应用的配置性和灵活性也越来越好。而数据访问也逐渐通过面向对象的方式来替代直接的SQL访问，出现了ORM（Object Relation Mapping）的概念。RRv三九网站目录

除了MVC，类似的设计思想还有MVP，MVVM等。RRv三九网站目录

1.1.6. RESTfulRRv三九网站目录

在CGI时期，前后端通常是没有做严格区分的，随着解耦和的需求不断增加，前后端的概念开始变得清晰。前端主要指网站前台部分，运行在PC端、移动端等浏览器上展现给用户浏览的网页，由HTML5、CSS3、Java组成。后端主要指网站的逻辑部分，涉及数据的增删改查等。RRv三九网站目录

此时，REST（Representation State Transformation）逐渐成为一种流行的Web架构风格。RRv三九网站目录

REST鼓励基于URL来组织系统功能，充分利用HTTP本身的语义，而不是仅仅将HTTP作为一种远程数据传输协议。一般RESTful有以下的特征：RRv三九网站目录

域名和主域名分开RRv三九网站目录

api.example.comRRv三九网站目录

example.com/api/RRv三九网站目录

带有版本控制RRv三九网站目录

api.example.com/v1RRv三九网站目录

api.example.com/v2RRv三九网站目录

使用URL定位资源RRv三九网站目录

GET /users 获取所有用户RRv三九网站目录

GET /team/:team/users获取某团队所有用户RRv三九网站目录

POST /users 创建用户RRv三九网站目录

PATCH/PUT /users 修改某个用户数据RRv三九网站目录

DELETE /users 删除某个用户数据RRv三九网站目录

用 HTTP 动词描述操作RRv三九网站目录

GET 获取资源，单个或多个RRv三九网站目录

POST 创建资源RRv三九网站目录

PUT/PATCH 更新资源，客户端提供完整的资源数据 是 DELETE 删除资源RRv三九网站目录

正确使用状态码RRv三九网站目录

使用状态码提高返回数据的可读性RRv三九网站目录

默认使用 JSON 作为数据响应格式RRv三九网站目录

有清晰的文档RRv三九网站目录

点击添加图片描述（最多60个字）RRv三九网站目录

1.1.7. 云服务RRv三九网站目录

随着时间的发展，Web的架构越发复杂，负载均衡、数据库分表、异地容灾、缓存、CDN、消息队列等技术开始应用，增加了Web开发和运维的复杂度。同时云服务开始逐渐发展，部署环境容器化，各个功能拆成微服务或是Serverless的架构。RRv三九网站目录

1.2. 计算机网络RRv三九网站目录

1.2.1. 计算机通信网的组成RRv三九网站目录

计算机网络由通信子网和资源子网组成。RRv三九网站目录

其中通信子网负责数据的无差错和有序传递，其处理功能包括差错控制、流量控制、路由选择、网络互连等。RRv三九网站目录

其中资源子网：是计算机通信的本地系统环境，包括主机、终端和应用程序等， 资源子网的主要功能是用户资源配置、数据的处理和管理、软件和硬件共享以及负载 均衡等。RRv三九网站目录

计算机通信网就是一个由通信子网承载的、传输和共享资源子网的各类信息的系统。RRv三九网站目录

1.2.2. 通信协议RRv三九网站目录

为了完成计算机之间有序的信息交换，提出了通信协议的概念，其定义是相互通信的双方（或多方）对如何进行信息交换所必须遵守的一整套规则。RRv三九网站目录

协议涉及到三个要素，分别为：RRv三九网站目录

语法：语法是用户数据与控制信息的结构与格式，以及数据出现顺序的意义RRv三九网站目录

语义：用于解释比特流的每一部分的意义RRv三九网站目录

时序：事件实现顺序的详细说明RRv三九网站目录

1.2.3. OSI七层模型RRv三九网站目录

1.2.3.1. 简介RRv三九网站目录

OSI（Open System Interconnection）共分为物理层、数据链路层、网络层、传输层、会话层、表示层、应用层七层，其具体的功能如下。RRv三九网站目录

1.2.3.2. 物理层RRv三九网站目录

提供建立、维护和释放物理链路所需的机械、电气功能和规程等特性RRv三九网站目录

通过传输介质进行数据流(比特流)的物理传输、故障监测和物理层管理RRv三九网站目录

从数据链路层接收帧，将比特流转换成底层物理介质上的信号RRv三九网站目录

1.2.3.3. 数据链路层RRv三九网站目录

在物理链路的两端之间传输数据RRv三九网站目录

在网络层实体间提供数据传输功能和控制RRv三九网站目录

提供数据的流量控制RRv三九网站目录

检测和纠正物理链路产生的差错RRv三九网站目录

格式化的消息称为帧RRv三九网站目录

1.2.3.4. 网络层RRv三九网站目录

负责端到端的数据的路由或交换，为透明地传输数据建立连接RRv三九网站目录

寻址并解决与数据在异构网络间传输相关的所有问题RRv三九网站目录

使用上面的传输层和下面的数据链路层的功能RRv三九网站目录

格式化的消息称为分组RRv三九网站目录

1.2.3.5. 传输层RRv三九网站目录

提供无差错的数据传输RRv三九网站目录

接收来自会话层的数据，如果需要，将数据分割成更小的分组，向网络层传送分组并确保分组完整和正确到达它们的目的地RRv三九网站目录

在系统之间提供可靠的透明的数据传输,提供端到端的错误恢复和流量控制RRv三九网站目录

1.2.3.6. 会话层RRv三九网站目录

提供节点之间通信过程的协调RRv三九网站目录

负责执行会话规则（如：连接是否允许半双工或全双工通信）、同步数据流以及当故障发生时重新建立连接RRv三九网站目录

使用上面的表示层和下面的传输层的功能RRv三九网站目录

1.2.3.7. 表示层RRv三九网站目录

提供数据格式、变换和编码转换RRv三九网站目录

涉及正在传输数据的语法和语义RRv三九网站目录

将消息以合适电子传输的格式编码RRv三九网站目录

执行该层的数据压缩和加密RRv三九网站目录

从应用层接收消息，转换格式，并传送到会话层，该层常合并在应用层中RRv三九网站目录

1.2.3.8. 应用层RRv三九网站目录

包括各种协议，它们定义了具体的面向拥护的应用：如电子邮件、文件传输等RRv三九网站目录

点击添加图片描述（最多60个字）RRv三九网站目录

1.2.3.9. 总结RRv三九网站目录

低三层模型属于通信子网，涉及为用户间提供透明连接，操作主要以每条链路（ hop-by-hop）为基础，在节点间的各条数据链路上进行通信。由网络层来控制各条链路上的通信，但要依赖于其他节点的协调操作。RRv三九网站目录

高三层属于资源子网，主要涉及保证信息以正确可理解形式传送。RRv三九网站目录

传输层是高三层和低三层之间的接口，它是第一个端到端的层次，保证透明的端到端连接，满足用户的服务质量（ QoS）要求，并向高三层提供合适的信息形式。 如果对渗透测试有具体详细的需求可以找专业的网站安全公司来处理解决防患于未然。RRv三九网站目录

RRv三九网站目录