OWASP top10(2021)
- Broken Access Control,失效的访问控制
- Cryptographic Failures,加密机制失败
- Injection,注入
- Insecure Design,不安全的设计
- Security Misconfiguration,安全配置错误
- Vulnerable and Outdated Components,易受攻击和过时的组件
- Identification and Authentication Failures,身份识别和身份验证错误
- Software and Data Integrity Failures,软件和数据完整性错误
- Security Logging & Monitoring Failures,安全日志和监控故障
- Server-Side Request Forgery (SSRF),服务器端请求伪造 (SSRF)
跨域了解多少
同源和跨域中的源和域是一个概念,英文都是origin
同源的判定:协议、域名、端口都相同;同源页面之间可以相互访问
Server Porxy
同源策略只针对于浏览器做的限制,因此可以让客户端将请求发给自己的服务器,服务器请求跨域信息,返回给客户端
document.domain
使用父子页面iframe,使用共同的documnt.domain
JSONP
JSON with Padding,同源策略两个网站不能沟通,但是script标签可以跨域请求js脚本,将网站的数据封装在js代码中进行传递
window属性
在js脚本里通过window的属性进行读写
window对象的postMessage函数
允许携带参数去访问一个链接
sql注入分类
- 参数类型
- 数值型
- 字符型
- 单引号
- 双引号
- 带括号
- 请求方式
- GET
- POST
- Cookie
- HTTP Header
- 是否有回显
- 显式
- 堆叠:union,group_concat
- 报错:extractvalue,updatexml,rand+floor
- 盲注
- 时间:sleep
- 报错:页面信息变化
- 显式
HTTP各版本区别
HTTP1.0
http1.0是无状态的,每各请求和响应都需要建立一个新的tcp链接,完成之后立即关闭连接
http1.0不支持主机头字段,因此不能在同一个服务器上托管多个域名的网站,服务器无法区分不同的域名
HTTP1.1
http1.1引入持久连接,允许单个tcp连接可以发送和接受多个包,减少了建立连接和断开连接的开销
http1.1引入主机头字段,允许客户端在请求头中指定请求的目标主机,这时同一台服务器上可以托管多个域名的网站
HTTP2.0
二进制传输:http1.x使用文本传送数据;http2.0使用二进制传送数据,
流量控制:对链接进行流量控制,控制发送速率和接受速率,避免了服务器和客户端之间速率不匹配问题
头部压缩:用HPACK协议,将重复或静态的头部压缩
服务器推送:http2.0允许将服务器资源主动推送给客户端,不需要客户端明确的请求
TCP的拥塞机制
TCP三次握手四次挥手
剩下的部分见
云原生与安全