HTTP數(shù)據(jù)包

小節(jié)導(dǎo)圖

1、HTTP/S數(shù)據(jù)包請(qǐng)求與返回

2、請(qǐng)求包頭部常見(jiàn)解釋和應(yīng)用

3、返回包狀態(tài)碼值解釋和應(yīng)用

4、HTTP/S測(cè)試工具Postman使用

Request請(qǐng)求數(shù)據(jù)包結(jié)構(gòu)

Request請(qǐng)求方法（方式）

1、常規(guī)請(qǐng)求 -Get

2、用戶登錄 - Post（大多登錄或文件上傳用Post，但用別的也可以，不一定）

方法羅列：

• get：向特定資源發(fā)出請(qǐng)求（請(qǐng)求指定頁(yè)面信息，并返回實(shí)體主體）；

• post：向指定資源提交數(shù)據(jù)進(jìn)行處理請(qǐng)求（提交表單、上傳文件），又可能導(dǎo)致新的資源的建立或原有資源的修改；

• head：與服務(wù)器索與get請(qǐng)求一致的相應(yīng)，響應(yīng)體不會(huì)返回，獲取包含在小消息頭中的原信息（與get請(qǐng)求類

似，返回的響應(yīng)中沒(méi)有具體內(nèi)容，用于獲取報(bào)頭）；

• put：向指定資源位置上上傳其最新內(nèi)容（從客戶端向服務(wù)器傳送的數(shù)據(jù)取代指定文檔的內(nèi)容），與post的區(qū)別是put為冪等，post為非冪等；

• trace：回顯服務(wù)器收到的請(qǐng)求，用于測(cè)試和診斷。trace是http8種請(qǐng)求方式之中最安全的l

• delete：請(qǐng)求服務(wù)器刪除request-URL所標(biāo)示的資源*（請(qǐng)求服務(wù)器刪除頁(yè)面）

• option：返回服務(wù)器針對(duì)特定資源所支持的HTML請(qǐng)求方法 或web服務(wù)器發(fā)送*測(cè)試服務(wù)器功能（允許客戶 端查看服務(wù)器性能）；

• connect ： HTTP/1.1協(xié)議中能夠?qū)⑦B接改為管道方式的代理服務(wù)器

請(qǐng)求頭（Header）

重點(diǎn)：

User-Agent（UA），區(qū)分瀏覽器和操作系統(tǒng)以及版本，有些網(wǎng)站會(huì)根據(jù)訪問(wèn)設(shè)備的不同來(lái)提供不同的，個(gè)性化的服務(wù)（例如PC端和手機(jī)端顯示界面不同），或者限制一些設(shè)備的訪問(wèn)

Cookie，存儲(chǔ)登錄的身份憑據(jù)

MDN詳解：

https://developer.mozilla.org/zh-CN/docs/web/http/headers

安全測(cè)試?yán)?#xff1a;

某個(gè)APP有個(gè)漏洞，在PC端復(fù)現(xiàn)測(cè)試該漏洞時(shí)，可能會(huì)出現(xiàn)異常（數(shù)據(jù)包不同，PC訪問(wèn)特定地址和APP訪問(wèn)的數(shù)據(jù)包不同，可能會(huì)無(wú)法顯示，無(wú)法處理），需要更改UA頭以發(fā)送請(qǐng)求數(shù)據(jù)包。

Response響應(yīng)數(shù)據(jù)包結(jié)構(gòu)

Response響應(yīng)數(shù)據(jù)包狀態(tài)碼

狀態(tài)碼作用：

1、數(shù)據(jù)是否正常

2、文件是否存在

3、地址自動(dòng)跳轉(zhuǎn)

4、服務(wù)提供錯(cuò)誤

部分狀態(tài)碼詳解

1xx:指示信息—表示請(qǐng)求已接收，繼續(xù)處理。

2xx:成功—表示請(qǐng)求已經(jīng)被成功接收、理解、接受。

3xx:重定向—要完成請(qǐng)求必須進(jìn)行更進(jìn)一步的操作。

4xx:客戶端錯(cuò)誤—請(qǐng)求有語(yǔ)法錯(cuò)誤或請(qǐng)求無(wú)法實(shí)現(xiàn)。

5xx:服務(wù)器端錯(cuò)誤—服務(wù)器未能實(shí)現(xiàn)合法的請(qǐng)求。

?200 OK：客戶端請(qǐng)求成功

?301 redirect：頁(yè)面永久性移走，服務(wù)器進(jìn)行重定向跳轉(zhuǎn)；

?302 redirect：頁(yè)面暫時(shí)性移走，服務(wù)器進(jìn)行重定向跳轉(zhuǎn)，具有被劫持的安全風(fēng)險(xiǎn)；

?400 BadRequest：由于客戶端請(qǐng)求有語(yǔ)法錯(cuò)誤，不能被服務(wù)器所理解；

?401 Unauthonzed：請(qǐng)求未經(jīng)授權(quán)。

?403 Forbidden：服務(wù)器收到請(qǐng)求，但是拒絕提供服務(wù)。

?404 NotFound：請(qǐng)求的資源不存在，例如，輸入了錯(cuò)誤的URL；

?500 InternalServerError：服務(wù)器發(fā)生不可預(yù)期的錯(cuò)誤，無(wú)法完成客戶端的請(qǐng)求；

?503 ServiceUnavailable：服務(wù)器當(dāng)前不能夠處理客戶端的請(qǐng)求

判斷網(wǎng)站文件是否存在的狀態(tài)碼（常用

200 文件存在

404 文件不存在

403 文件夾存在（沒(méi)有索引，index.php）

500 可能存在或不存在，服務(wù)器錯(cuò)誤，沒(méi)處理好請(qǐng)求，不知道文件/文件夾是否存在

3xx 重定向，可能存在或不存在

1、容錯(cuò)處理，網(wǎng)站訪問(wèn)錯(cuò)誤就自動(dòng)跳轉(zhuǎn)到某個(gè)頁(yè)面，不存在

2、訪問(wèn)某個(gè)文件，自動(dòng)觸發(fā)跳轉(zhuǎn)，存在

相關(guān)工具

BurpSuite

掃描網(wǎng)站目錄

御劍

Postman

寫(xiě)請(qǐng)求，自定義請(qǐng)求的工具，自定義任意的頭和內(nèi)容，發(fā)包測(cè)試

常常用來(lái)提交HTTP數(shù)據(jù)包的工具，API接口滲透測(cè)試和HTTP發(fā)包測(cè)試中和burpsuite都會(huì)經(jīng)常會(huì)用到，有些功能相對(duì)burp來(lái)說(shuō)更智能便捷

burp是集抓包和修改與一體的工具，兩款工具有各自的優(yōu)勢(shì)，根據(jù)情況選擇性使用

安全測(cè)試舉例：

sqlmap -u www.xxx.com/x.php?id=1 不存在 因?yàn)槟J(rèn)sqlmap訪問(wèn)頭進(jìn)行注入

www.xxx.com/x.php?id=1 包

sqlmap -r data.txt 存在 采用提交的數(shù)據(jù)包去訪問(wèn)

測(cè)試思路

• 數(shù)據(jù)包唯一性
  安全測(cè)試部分測(cè)試需要數(shù)據(jù)包一致

• 數(shù)據(jù)包可修改性
  通過(guò)對(duì)數(shù)據(jù)包修改增加等測(cè)試安全問(wèn)題