全栈网络安全-渗透测试-2

web架构&常规化&站库分离&前后端分离

1. 常规化

原理 :常规化是指源码和数据都部署在同一服务器上。
特点

  • 优势:搭建便捷,自定义程度高。

  • 劣势 :安全性较低,因为数据库和代码在同一服务器上,容易被攻击。
    适用场景:适合小型项目或个人开发,对安全性要求不高的场景。

2. 站库分离

原理 :源码和数据库分别部署在不同的服务器上。
特点

  • 优势:提高了安全性,因为数据库被单独存放,攻击者即使获取了服务器权限,也难以直接访问数据库。

  • 适用场景:适用于对安全性有一定要求的项目。

3. 前后端分离

原理 :前端和后端在代码、开发环境和技术栈上完全独立。
特点

  • 前端:负责用户界面展示和交互逻辑,使用HTML、CSS、JavaScript等技术,常见框架有React、Vue.js、Angular等。

  • 后端:负责处理业务逻辑、数据存储和认证授权,常见技术栈包括Java、Python、Node.js等。

  • 通信方式 :通过API接口(如RESTful API、GraphQL)进行数据传输。
    优势

  1. 开发效率提升:前后端可以并行开发,减少沟通成本。

  2. 技术选型灵活:前后端可以独立选择最适合的技术栈。

  3. 独立部署和扩展:前端可以通过CDN加速,后端可以通过负载均衡提升性能。

  4. 用户体验提升 :前端可以实现单页应用(SPA),减少页面刷新,提升交互体验。
    适用场景:适用于中大型项目,尤其是对开发效率、用户体验和系统扩展性要求较高的场景。

4. 宝塔+phpStudy

宝塔和phpStudy都是常用的服务器管理工具,但它们在功能和定位上有显著区别:

宝塔面板

文件管理:锁定目录,命令执行:无法执行

  • 功能特点

    • 全面的服务器管理:支持网站、数据库、FTP、SSL证书管理、备份恢复等功能。

    • 安全性高:提供防火墙、安全检测等多重保障,适合生产环境。

    • 界面友好:适合新手和资深开发者,操作简单。

    • 支持多系统:适用于Linux和Windows。

  • 适用场景:适合需要全面管理服务器和网站的用户,尤其是生产环境。

phpStudy

命令执行:可执行,目录:没锁
文件管理

  • 功能特点

    • 轻量级集成环境:适合本地开发调试,安装简单,占用资源少。

    • 多版本支持:可切换不同PHP版本,方便开发。

    • 易用性强:界面简洁,适合初学者。

  • 适用场景:主要用于本地开发和测试。

5. Docker容器

拿不到真正的权限,虚拟的,之后会说Docker逃逸

  • 功能特点

    • 虚拟化技术:通过容器化隔离应用,每个应用运行在独立的虚拟环境中。

    • 资源隔离:测试者攻击的是虚拟磁盘空间,不会影响宿主机。

    • 灵活性高:便于部署和迁移,适合开发、测试和生产环境。

  • 适用场景:适用于需要快速部署、隔离和迁移应用的场景。

6. 建站分配站

  • 功能特点

    • 托管与申请:利用现有的域名模板快速搭建网站。

    • 安全测试:非目标资产,主要用于测试和学习。

  • 适用场景:适合初学者或小型项目,快速搭建和测试。

总结

  • 宝塔面板适合生产环境的服务器管理,功能全面且安全。

  • phpStudy适合本地开发和测试,操作简单。

  • Docker容器适合需要隔离和快速部署的场景。

  • 建站分配站适合快速搭建和测试。

静态网站

静态网站是指那些几乎不依赖于服务器端处理的网站,其内容是预先生成好的HTML页面,这些页面存储在服务器上。当用户访问一个静态网站时,服务器直接将这些固定的(静态)文件发送给用户的浏览器,而不需要先进行任何额外的计算或数据处理。这类网站通常包括简单的文本、图片、超链接和视频等基本元素,并且交互性较低。

创建静态网站的优点包括:

  1. 加载速度快:由于内容是预生成的,服务器只需快速响应请求并发送文件,无需执行复杂的后台逻辑。
  2. 安全性高:没有动态组件意味着攻击面较小,比如SQL注入等常见的安全问题不会出现在静态网站中。
  3. 成本效益好:托管静态网站通常比托管动态网站便宜,因为它们占用更少的服务器资源。
  4. 易于部署和维护:不需要数据库或其他复杂的设置,使得部署过程简单快捷。

伪静态

想象一下你正在图书馆找一本书。传统的方式是,你需要告诉图书管理员你要借哪本书(比如通过书名、作者等信息),然后图书管理员去帮你找到这本书的具体位置并拿给你。这种方式类似于动态网页的工作方式:每次访问网站时,服务器根据请求实时生成页面内容。

伪静态的概念

现在,假设图书馆做了一些改进,他们给每本书都分配了一个固定的编号,并且在书架上明确标注了这些编号和对应的书名。这样,下次你来找书的时候,直接按照编号就能快速定位到那本书的位置,而不需要每次都去找图书管理员帮忙查找。

在这个比喻中,"伪静态"的作用就像是给每个资源(在这里是指网页)提供了一个固定且易于理解的地址(URL)。虽然这些页面实际上是通过后台程序动态生成的,但它们看起来就像是静态存在的,因为它们有一个固定的、用户友好的URL。

实际应用中的伪静态

原始动态网址:www.example.com/index.php?page=about

转换后的伪静态网址:www.example.com/about

尽管第二个网址看起来像是指向一个实际存在的静态文件(如HTML文件),但实际上它是由服务器接收到请求后,根据设定的规则将请求重写为第一个形式,再由后台处理并返回相应的页面内容。

简单总结

伪静态就是把原本带有复杂参数、不易记忆也不利于搜索引擎优化的动态网址(例如包含?page=这样的查询字符串),通过技术手段转换成简单、直观、容易被记住的静态形式的网址。这样做不仅让访客更容易访问和分享你的网页,也有助于提高网站在搜索引擎中的排名。换句话说,伪静态就像是给图书馆里的每一本书都贴上了清晰易懂的标签,方便大家直接找到自己需要的东西,而不是每次都得询问工作人员。

相关推荐
渗透测试老鸟-九青25 分钟前
关于缓存欺骗的小总结
网络·经验分享·安全·web安全·缓存·面试
Hacker_Fuchen30 分钟前
好看的网络安全登录页面 vue http网络安全
安全·web安全·http
国科安芯1 小时前
ASP3605同步降压调节器——高可靠工业电源芯片解决方案
嵌入式硬件·安全·fpga开发·架构·安全威胁分析
网络安全-杰克1 小时前
网络安全知识:网络安全网格架构
安全·web安全·架构
xgxseven2 小时前
3.18练习
web安全·php
网安-轩逸2 小时前
ctf网络安全题库 ctf网络安全大赛答案
安全·web安全
数据链路摸索者2 小时前
ospf动态路由
前端·网络·网络安全·智能路由器
FreeBuf_3 小时前
Apache Tomcat漏洞公开发布仅30小时后即遭利用
网络·安全·tomcat·apache
菜根Sec4 小时前
网络空间安全专业发展历程及开设院校
安全·网络安全·信息安全·网络空间安全·网络安全高校
haidragon4 小时前
Ghostly Hollowing——可能是我所知道的最奇怪的 Windows 进程注入技术
安全