Day02：Web架构前后端分离站Docker容器站集成软件站建站分配

目录

常规化站点部署

站库分离

前后端分离

集成软件搭建Web应用

Docker容器搭建Web应用

建立分配站

静态 与 伪静态

总结

---

章节知识点：

应用架构：Web/APP/云应用/三方服务/负载均衡等

安全产品：CDN/WAF/IDS/IPS/蜜罐/防火墙/杀毒等

渗透命令：文件上传下载/端口服务/Shell反弹等

抓包技术：HTTP/TCP/UDP/ICMP/DNS/封包/代理等

算法加密：数据编码/密码算法/密码保护/反编译/加壳等

常规化站点部署

原理：源码数据都在同服务器

影响：无，常规安全测试手法

站库分离

原理：源码数据库不在同服务器

存储：其他服务器上数据库&云数据库产品

影响：数据被单独存放，能连接才可影响数据

前后端分离

原理：前端JS框架，API传输数据

影响：

        1、前端页面大部分不存在漏洞

        2、后端管理大部分不在同域名

        3、获得权限有可能不影响后端

https://www.rxthink.cn/ 前端站点
http://manage.thinkphp6.elevue.rxthink.cn/content/item 后台管理演示站点

前端就是一个纯粹的展示界面，使用JS框架，通过后端开放的API传递数据

集成软件搭建Web应用

宝塔搭建Web应用：上传后门不可执行命令，也不可访问网站的上一级目录

PHPSTUDY搭建Web应用：上传后门可以执行命令，也可以访问网站的上一级目录

IIS搭建：上传后门可以执行命令，也可以访问网站的上一级目录，但是效果不太好，命令有的可以执行吗，有的不可以。

Docker容器搭建Web应用

原理：虚拟化技术独立磁盘空间，非真实物理环境

影响：攻击者虚拟空间磁盘

相当于一个虚拟机环境里面的一套Web应用，与主机时隔离的

建立分配站

托管/申请

原理：利用别人域名模版建立

影响：实质安全测试非目标资产

比如：你的Web本质是部署在别的服务器上，网站建设_高端网站建设_网站制作_建网站公司-凡科建站，这个网站就是这样。

托管给第三方

这两种都没有意义，并不是在测试目标的资产

静态 与 伪静态

静态网页，例子：大学学的html设计的网站

原理：数据没有传输性（js传输不算）

影响：无漏洞

伪静态网页，把动态网页生成静态网页，再放到前端展示

总结

思维导图