全栈网络安全-渗透测试-2

web架构&常规化&站库分离&前后端分离

1. 常规化

原理 :常规化是指源码和数据都部署在同一服务器上。
特点

  • 优势:搭建便捷,自定义程度高。

  • 劣势 :安全性较低,因为数据库和代码在同一服务器上,容易被攻击。
    适用场景:适合小型项目或个人开发,对安全性要求不高的场景。

2. 站库分离

原理 :源码和数据库分别部署在不同的服务器上。
特点

  • 优势:提高了安全性,因为数据库被单独存放,攻击者即使获取了服务器权限,也难以直接访问数据库。

  • 适用场景:适用于对安全性有一定要求的项目。

3. 前后端分离

原理 :前端和后端在代码、开发环境和技术栈上完全独立。
特点

  • 前端:负责用户界面展示和交互逻辑,使用HTML、CSS、JavaScript等技术,常见框架有React、Vue.js、Angular等。

  • 后端:负责处理业务逻辑、数据存储和认证授权,常见技术栈包括Java、Python、Node.js等。

  • 通信方式 :通过API接口(如RESTful API、GraphQL)进行数据传输。
    优势

  1. 开发效率提升:前后端可以并行开发,减少沟通成本。

  2. 技术选型灵活:前后端可以独立选择最适合的技术栈。

  3. 独立部署和扩展:前端可以通过CDN加速,后端可以通过负载均衡提升性能。

  4. 用户体验提升 :前端可以实现单页应用(SPA),减少页面刷新,提升交互体验。
    适用场景:适用于中大型项目,尤其是对开发效率、用户体验和系统扩展性要求较高的场景。

4. 宝塔+phpStudy

宝塔和phpStudy都是常用的服务器管理工具,但它们在功能和定位上有显著区别:

宝塔面板

文件管理:锁定目录,命令执行:无法执行

  • 功能特点

    • 全面的服务器管理:支持网站、数据库、FTP、SSL证书管理、备份恢复等功能。

    • 安全性高:提供防火墙、安全检测等多重保障,适合生产环境。

    • 界面友好:适合新手和资深开发者,操作简单。

    • 支持多系统:适用于Linux和Windows。

  • 适用场景:适合需要全面管理服务器和网站的用户,尤其是生产环境。

phpStudy

命令执行:可执行,目录:没锁
文件管理

  • 功能特点

    • 轻量级集成环境:适合本地开发调试,安装简单,占用资源少。

    • 多版本支持:可切换不同PHP版本,方便开发。

    • 易用性强:界面简洁,适合初学者。

  • 适用场景:主要用于本地开发和测试。

5. Docker容器

拿不到真正的权限,虚拟的,之后会说Docker逃逸

  • 功能特点

    • 虚拟化技术:通过容器化隔离应用,每个应用运行在独立的虚拟环境中。

    • 资源隔离:测试者攻击的是虚拟磁盘空间,不会影响宿主机。

    • 灵活性高:便于部署和迁移,适合开发、测试和生产环境。

  • 适用场景:适用于需要快速部署、隔离和迁移应用的场景。

6. 建站分配站

  • 功能特点

    • 托管与申请:利用现有的域名模板快速搭建网站。

    • 安全测试:非目标资产,主要用于测试和学习。

  • 适用场景:适合初学者或小型项目,快速搭建和测试。

总结

  • 宝塔面板适合生产环境的服务器管理,功能全面且安全。

  • phpStudy适合本地开发和测试,操作简单。

  • Docker容器适合需要隔离和快速部署的场景。

  • 建站分配站适合快速搭建和测试。

静态网站

静态网站是指那些几乎不依赖于服务器端处理的网站,其内容是预先生成好的HTML页面,这些页面存储在服务器上。当用户访问一个静态网站时,服务器直接将这些固定的(静态)文件发送给用户的浏览器,而不需要先进行任何额外的计算或数据处理。这类网站通常包括简单的文本、图片、超链接和视频等基本元素,并且交互性较低。

创建静态网站的优点包括:

  1. 加载速度快:由于内容是预生成的,服务器只需快速响应请求并发送文件,无需执行复杂的后台逻辑。
  2. 安全性高:没有动态组件意味着攻击面较小,比如SQL注入等常见的安全问题不会出现在静态网站中。
  3. 成本效益好:托管静态网站通常比托管动态网站便宜,因为它们占用更少的服务器资源。
  4. 易于部署和维护:不需要数据库或其他复杂的设置,使得部署过程简单快捷。

伪静态

想象一下你正在图书馆找一本书。传统的方式是,你需要告诉图书管理员你要借哪本书(比如通过书名、作者等信息),然后图书管理员去帮你找到这本书的具体位置并拿给你。这种方式类似于动态网页的工作方式:每次访问网站时,服务器根据请求实时生成页面内容。

伪静态的概念

现在,假设图书馆做了一些改进,他们给每本书都分配了一个固定的编号,并且在书架上明确标注了这些编号和对应的书名。这样,下次你来找书的时候,直接按照编号就能快速定位到那本书的位置,而不需要每次都去找图书管理员帮忙查找。

在这个比喻中,"伪静态"的作用就像是给每个资源(在这里是指网页)提供了一个固定且易于理解的地址(URL)。虽然这些页面实际上是通过后台程序动态生成的,但它们看起来就像是静态存在的,因为它们有一个固定的、用户友好的URL。

实际应用中的伪静态

原始动态网址:www.example.com/index.php?page=about

转换后的伪静态网址:www.example.com/about

尽管第二个网址看起来像是指向一个实际存在的静态文件(如HTML文件),但实际上它是由服务器接收到请求后,根据设定的规则将请求重写为第一个形式,再由后台处理并返回相应的页面内容。

简单总结

伪静态就是把原本带有复杂参数、不易记忆也不利于搜索引擎优化的动态网址(例如包含?page=这样的查询字符串),通过技术手段转换成简单、直观、容易被记住的静态形式的网址。这样做不仅让访客更容易访问和分享你的网页,也有助于提高网站在搜索引擎中的排名。换句话说,伪静态就像是给图书馆里的每一本书都贴上了清晰易懂的标签,方便大家直接找到自己需要的东西,而不是每次都得询问工作人员。

相关推荐
用户962377954482 天前
DVWA 靶场实验报告 (High Level)
安全
数据智能老司机2 天前
用于进攻性网络安全的智能体 AI——在 n8n 中构建你的第一个 AI 工作流
人工智能·安全·agent
数据智能老司机2 天前
用于进攻性网络安全的智能体 AI——智能体 AI 入门
人工智能·安全·agent
用户962377954482 天前
DVWA 靶场实验报告 (Medium Level)
安全
red1giant_star2 天前
S2-067 漏洞复现:Struts2 S2-067 文件上传路径穿越漏洞
安全
用户962377954482 天前
DVWA Weak Session IDs High 的 Cookie dvwaSession 为什么刷新不出来?
安全
cipher4 天前
ERC-4626 通胀攻击:DeFi 金库的"捐款陷阱"
前端·后端·安全
一次旅行7 天前
网络安全总结
安全·web安全
red1giant_star7 天前
手把手教你用Vulhub复现ecshop collection_list-sqli漏洞(附完整POC)
安全
ZeroNews内网穿透7 天前
谷歌封杀OpenClaw背后:本地部署或是出路
运维·服务器·数据库·安全