Day03:Web架构&OSS存储&负载均衡&CDN加速&反向代理&WAF防护

目录

WAF

CDN

OSS

反向代理

负载均衡

思维导图


章节知识点:

应用架构:Web/APP/云应用/三方服务/负载均衡等

安全产品:CDN/WAF/IDS/IPS/蜜罐/防火墙/杀毒等

渗透命令:文件上传下载/端口服务/Shell反弹等

抓包技术:HTTP/TCP/UDP/ICMP/DNS/封包/代理等

算法加密:数据编码/密码算法/密码保护/反编译/加壳

WAF

原理:Web应用防火墙,旨在提供保护

影响:常规Web安全测试手段会受到拦截

演示:免费D盾防护软件,D盾防火墙

常见WAF分类

未开启D盾,asp后门可以访问

开启D盾,asp后门不可以访问

CDN

原理:内容分发服务,旨在提高访问速度

影响:隐藏展示源IP,导致对目标测试失误

演示:阿里云备案域名全局CDN加速服务

流程:

  1. 准备备案域名
  2. 配置宝塔的域名绑定
  3. 配置CDN加速选项
  4. 添加DNS CNAME记录

OSS

原理:数据以对象(Object)的形式存储在OSS的存储空间(Bucket )中。

为什么要使用第三方存储?

  1. 静态文件会占用大量带宽
  2. 加载速度
  3. 存储空间

影响:上传的文件或解析的文件均来自于OSS资源,无法解析,单独存储

  1. 修复上传安全
  2. 文件解析不一样,脚本等文件不可被解析执行
  3. 但存在Accesskey泄露的问题

网盘OSD储存搭建:Cloudreve - 部署公私兼备的网盘系统

搭建流程:

  1. 启动应用
  2. 登录管理
  3. 配置存储信息
  4. 更改用户组存储属性

win server2008使用cloundreve搭建web服务

使用初始账号密码登录 可在线拖拽上传文件

阿里云OSS:

  1. 开通OSS
  2. 新建Bucket
  3. 配置Bucket属性
  4. 配置Access访问

OSS存储只是单纯的储存数据资源,没有代码执行环境,即使上传了后门脚本,也无法解析,相对于直接上传到网站服务器上,更加安全。

Accesskey隐患(附带一张近期我的Accesskey报警)------云安全

这个Accesskey存在泄露的风险

正/反向代理

正向代理为客户端服务,客户端主动建立代理访问目标(梯子)

反向代理为服务端服务,服务端主动转发数据给可访问地址

原理:通过网络反向代理转发真实服务达到访问目的

影响:访问目标只是一个代理,不是真实应用服务器

注意:正向/反向代理都是解决访问不可达问题,但是反向代理中可以通过重定向解析的功能操作,把访问指向别的web服务,导致反代理的站点指向和目标的资产没有任何关系

在宝塔里可以通过Nginx反向代理配置

正向代理

反向代理

nginx设置反向代理

负载均衡

原理:分摊到多个操作单元上进行执行,共同完成工作任务

影响:有多个服务器加载服务,测试过程中存在多个目标情况

演示:Nginx负载均衡配置

Windows2012 + BT宝塔面板 + Nginx

宝塔面板修改负载均衡配置,weight数值对应访问优先级。

配置好负载均衡后,对baidu.whgojp.top域名解析就会以1/2的概率分别访问这两个服务器

正常生产环境是搭建两个相同的服务,以防止一个服务器宕机后网站不能使用服务

负载均很设置案例

复制代码
#BT定义负载设置
upstream fzjh{
server 121.43.145.189:80 weight=2;
server 121.41.59.211:80 weight=1;
}

#定义访问路径 访问策略
location / {
proxy_pass http://fzjh/;
}

思维导图

相关推荐
缘友一世16 小时前
漏洞扫描POC和web漏洞扫描工具
网络·安全·web安全
合作小小程序员小小店19 小时前
Web渗透之身份认证与访问控制缺陷(越权(水平垂直),访问控制(没有验证),脆弱验证(Cookie,JWT,Session等))
安全·web安全·网络安全·asp.net·网络攻击模型
huluang19 小时前
网络安全等级保护要求(10+4 层面)记忆总结
服务器·网络·web安全
kali-Myon1 天前
NewStarCTF2025-Week2-Web
web安全·sqlite·php·web·ctf·文件上传·文件包含
旺仔Sec1 天前
新疆维吾尔自治区第一届“丝路杯”网络安全大赛暨2026年新疆职业院校技能大赛网络安全赛项竞赛样题
安全·web安全
嗨丶王哪跑2 天前
网络安全主动防御技术与应用
运维·网络·安全·web安全
火白学安全2 天前
《Python红队攻防脚本零基础编写:入门篇(一)》
python·安全·web安全·网络安全·系统安全
好家伙VCC2 天前
**发散创新:渗透测试方法的深度探索与实践**随着网络安全形势日益严峻,渗透测试作为评估系统安全的
java·python·安全·web安全·系统安全
人邮异步社区2 天前
内网攻防实战图谱:从红队视角构建安全对抗体系
网络·安全·web安全
携欢2 天前
PortSwigger靶场之CSRF where token validation depends on request method通关秘籍
安全·web安全·csrf