基础web

001-基础入门-蓝图

知识点

  1. Web常规-系统&中间件&数据库&源码等
  2. Web其他-前后端&软件&Docker&分配站等
  3. Web拓展-CDN&WAF&OSS&静态&负载均衡等

章节点

  • 应用架构：Web/APP/云应用/三方服务/负载均衡等
  • 安全产品：CDN/WAF/IDS/IPS/蜜罐/防火墙/杀毒等
  • 渗透命令：文件上传下载/端口服务/Shell反弹等
  • 抓包技术：HTTP/TCP/UDP/ICMP/DNS/封包/代理等
  • 算法加密：数据编码/密码算法/密码保护/反编译/加壳等

主要是对我们安全测试的影响。

拓展模式

WAF

原理：Web应用防火墙，旨在提供保护
影响：常规Web安全测试手段会受到拦截
演示：免费D盾防护软件
Windows2012 + IIS +D盾 => 出现弹窗警告
绕过：大部分无法绕过，看产品看运气，除非WAF很垃圾

CDN

原理：内容分发服务，旨在提高各个地区的访问网站的速度
影响：隐藏真实源IP，导致对目标测试错误(扫错IP地址)
演示：阿里云备案域名全局CDN加速服务
Windows2012 + BT宝塔面板 + CDN服务

OSS

原理：云存储服务，旨在提高访问速度
演示：https://cloudreve.org/
Windows2012 + cloudreve + 阿里云OSS
https://github.com/cloudreve/Cloudreve/releases/tag/3.7.1
1、启动应用
2、登录管理
3、配置存储信息
4、更改用户组存储属性

阿里云OSS:
1、开通OSS
2、新建Bucket
3、配置Bucket属性
4、配置Access访问

原理：
为什么要使用第三方存储？
1）静态文件会占用大量带宽
2）加载速度
3）存储空间
影响：
上传的文件或解析的文件均来自于OSS资源，无法解析，单独存储
1、修复上传安全
2、文件解析不一样
3、但Accesskey隐患(秘钥控制)=>(人安全)

反向代理

正向代理 为 客户端服务 ,客户端主动建立代理访问目标（不代理不可达）（<手机>你主动建立代理与服务器建立连接）
反向代理 为 服务端服务 ,服务端主动转发数据给可访问地址（不主动不可达）（<服务器>别人找个服务器代替他与你建立连接，相当于服务器仅做转发）
原理：通过网络反向代理转发真实服务达到访问目的
影响：访问目标只是一个代理，非真实应用服务器
注意：正向代理和反向代理都是解决访问不可达的问题，但由于反向代理中多出一个可以重定向解析的功能操作，导致反代理出的站点指向和真实应用毫无关系！
演示：

  • 配置域名
    • 将域名正向代理配置为指定IP地址
    • 再将域名反向配置到百度
    • 结果就是访问该域名时解析到百度的页面去了。
    • 测试与自身源代网站没关系
  • Nginx反向代理配置
    • Windows2012 + BT宝塔面板 + Nginx

负载均衡

原理：分摊到多个操作单元上进行执行，共同完成工作任务
影响：有多个服务器加载服务，测试过程中存在多个目标情况
演示：Nginx负载均衡配置
Windows2012 + BT宝塔面板 + Nginx

定义负载设置

配置负载均衡服务器的路径
weight是权重，哪个大以哪个为准。

upstream fzjh{
    server 47.94.236.117:80 weight=2;
    server 47.122.22.195:80 weight=1;
}

定义访问路径 访问策略

下面配置完成后会向上访问。
上下的 fzjh 要互相对应。

location / {
    访问路径        访问路径到负载均衡
    proxy_pass http://fzjh/;
}

今日反省

博客建起来后，那访问的速度啊，真的是文件越多访问越慢。不知道是不是今天刚二次部署的关系，加载变成了白屏。所以今天费了一番功夫开了另外一个地方放图片。说真的，今天最耗时间的除了听迪哥的课外，就是git的main和支线的问题。因为之前提交过大文件的原因，害得我反反复复部署了好几次仓库，好不容易部署完了，还得一个一个博客的更换图片地址……😰😰😰

罢了，以后换个习惯，图片资源另外备份吧……

今天还是理论基础内容，主要是CDN加速，WAF防护，正向反向代理，OSS云存储，负载均衡。这些是之前有见过一些的概念，OSS是未曾了解的新概念。还有得到一个重要的结论：钻人家WAF的空子，不然真的过不去。