25-系統(tǒng)安全05-Web安全01-Web技術(shù)發(fā)展

Web技術(shù)發(fā)展了解Web的發(fā)展背景熟悉Web的架構(gòu)熟悉Web應(yīng)用的發(fā)展歷程熟悉新形勢(shì)下的安全問(wèn)題教學(xué)目標(biāo)Web起源Web架構(gòu)Web應(yīng)用發(fā)展歷程新的安全問(wèn)題目錄Web起源Web（WorldWideWeb），即全球廣域網(wǎng)，也稱WWW或萬(wàn)維網(wǎng)。Web是一種基于超文本和HTTP的、全球性的、動(dòng)態(tài)交互的、跨平臺(tái)的分布式圖形信息系統(tǒng)；是建立在Internet上的一種網(wǎng)絡(luò)服務(wù)，為瀏覽者在Internet上查找和瀏覽信息提供了圖形化的、易于訪問(wèn)的直觀界面，其中的文檔及超級(jí)鏈接將Internet上的信息節(jié)點(diǎn)組織成一個(gè)互為關(guān)聯(lián)的網(wǎng)狀結(jié)構(gòu)。Web起源

WorldWideWeb最初設(shè)想：借助多文檔之間相互關(guān)聯(lián)形成超文本（HyperText），連成可互相參閱的萬(wàn)維網(wǎng)（WWW）。1989年，CERN（歐洲核子研究組織）由TimBerners-Lee領(lǐng)導(dǎo)的小組，提交了一個(gè)針對(duì)Internet的新協(xié)議和一個(gè)使用該協(xié)議的文檔系統(tǒng)。該小組將這個(gè)新系統(tǒng)命名為WordWideWeb，它的目的在于使全球的科學(xué)家能夠利用Internet交流自己的工作文檔。這個(gè)新系統(tǒng)被設(shè)計(jì)為允許Internet上任意一個(gè)用戶都可以從許多文檔服務(wù)計(jì)算機(jī)的數(shù)據(jù)庫(kù)中搜索和獲取文檔。Timberners-leeWeb起源

WorldWideWeb1989年3月12日，實(shí)現(xiàn)了超文本傳輸協(xié)議(HTTP)客戶端和服務(wù)器之間通過(guò)互聯(lián)網(wǎng)的第一次成功通信。1990年11月，這個(gè)新系統(tǒng)的基本框架已經(jīng)在CERN中的一臺(tái)計(jì)算機(jī)中開(kāi)發(fā)出來(lái)并實(shí)現(xiàn)了，成功研發(fā)了世界第一臺(tái)Web服務(wù)器和Web瀏覽器。1991年該系統(tǒng)移植到了其他計(jì)算機(jī)平臺(tái)，并正式發(fā)布。HTML、HTTP、URI、瀏覽器、Web服務(wù)器，就此發(fā)明問(wèn)世。Web起源

Web核心組成URI（統(tǒng)一資源標(biāo)識(shí)符）：解決了文檔的命名和尋址識(shí)別問(wèn)題HTTP（超文本傳輸協(xié)議）：解決了瀏覽器與服務(wù)器應(yīng)用層之間的交流問(wèn)題HTML（超文本標(biāo)記語(yǔ)言）：定義了超文本文檔的表示瀏覽器用于發(fā)起請(qǐng)求，并且解析文檔服務(wù)器用于保存文檔Web架構(gòu)操作系統(tǒng)：windows、linux存儲(chǔ)：數(shù)據(jù)庫(kù)存儲(chǔ)、內(nèi)存存儲(chǔ)、文件存儲(chǔ)Web容器：Tomcat、WeblogicWeb服務(wù)器：Apache、IIS、NginxWeb服務(wù)端語(yǔ)言：PHP、ASP、JavaWeb開(kāi)發(fā)框架：ThinkPHP、Django、Struts2軟件系統(tǒng)：CMS、BBS、BlogWeb前端框架：HTML5、jQuery、Bootstrap第三方內(nèi)容：廣告統(tǒng)計(jì)、mockupWeb架構(gòu)Web架構(gòu)操作系統(tǒng)概念操作系統(tǒng)（OperatingSystem，OS）是一種軟件（計(jì)算機(jī)由硬件和軟件組成），它是硬件基礎(chǔ)上的第一層軟件，是硬件和其它軟件溝通的橋梁，為了方便使用，承上啟下（類比于：接口、中間人、中介等）作用操作系統(tǒng)會(huì)控制其他程序運(yùn)行，管理系統(tǒng)資源，提供最基本的計(jì)算功能，如管理及配置內(nèi)存、決定系統(tǒng)資源供需的優(yōu)先次序等，提供一些基本的服務(wù)程序舉例Windows、Linux、MacOS等Web架構(gòu)存儲(chǔ)概念現(xiàn)代信息技術(shù)中用于保存信息的記憶設(shè)備用于存儲(chǔ)的設(shè)備被稱作為存儲(chǔ)介質(zhì)用于規(guī)定、管理存儲(chǔ)的軟件，稱為存儲(chǔ)管理系統(tǒng)作用按照一定的約定，有規(guī)律的存放數(shù)字信息舉例內(nèi)存、硬盤(pán)、U盤(pán)、數(shù)據(jù)庫(kù)（sql、mysql、oracle）等Web架構(gòu)Web服務(wù)器概念對(duì)外提供靜態(tài)頁(yè)面Web服務(wù)的軟件系統(tǒng)作用處理HTTP協(xié)議接收、處理、發(fā)送靜態(tài)頁(yè)面處理并發(fā)、負(fù)載均衡舉例Apache、IIS、Nginx等Web架構(gòu)Web容器概念為了滿足交互操作，獲取動(dòng)態(tài)結(jié)果，而提供的一些擴(kuò)展機(jī)制能夠讓HTTP服務(wù)器調(diào)用服務(wù)端程序。作用處理動(dòng)態(tài)頁(yè)面請(qǐng)求（解釋器），如asp、jsp、php、cgi舉例Tomcat、weblogic、Jboss、Webshere等Web架構(gòu)Web服務(wù)端語(yǔ)言概念用于提供Web頁(yè)面的自定義功能，專業(yè)處理互聯(lián)網(wǎng)通信，使用網(wǎng)頁(yè)瀏覽器作為用戶界面。作用可以動(dòng)態(tài)地編輯、修改或添加網(wǎng)頁(yè)內(nèi)容?？梢詫?duì)用戶從HTML提交的查詢或數(shù)據(jù)進(jìn)行響應(yīng)，訪問(wèn)數(shù)據(jù)或數(shù)據(jù)庫(kù)，并把結(jié)果返回到瀏覽器。也可以訪問(wèn)文件或XML數(shù)據(jù)，并把結(jié)果返回到瀏覽器，把XML轉(zhuǎn)換為HTML，并把結(jié)果返回到瀏覽器。還可以為不同的用戶定制頁(yè)面，提高頁(yè)面的可用性，對(duì)不同的網(wǎng)頁(yè)提供安全的訪問(wèn)控制，為不同類型的瀏覽器設(shè)計(jì)不同的輸出等。舉例PHP、ASP、JAVA等Web架構(gòu)Web開(kāi)發(fā)框架概念類似于模板，用來(lái)支持動(dòng)態(tài)網(wǎng)站、網(wǎng)絡(luò)應(yīng)用程序及網(wǎng)絡(luò)服務(wù)的開(kāi)發(fā)。作用提高Web開(kāi)發(fā)效率，降低開(kāi)發(fā)難度舉例PHP的thinkphp、Java的Struts2、Spring等Web架構(gòu)軟件系統(tǒng)舉例cms、bbs、blog、Wordpress等區(qū)別框架就是將一些常用操作封裝起來(lái)，并給合一些設(shè)計(jì)模式，用來(lái)規(guī)范和簡(jiǎn)化程序員的開(kāi)發(fā)流程；而cms等軟件系統(tǒng)一般都屬于一個(gè)完整的系統(tǒng)，有頁(yè)面、有數(shù)據(jù)庫(kù)，部署在站點(diǎn)上之后就能直接通過(guò)瀏覽器地址來(lái)訪問(wèn)，可以基于框架開(kāi)發(fā)。Web架構(gòu)訪問(wèn)流程訪問(wèn)URL：域名解析建立TCP連接發(fā)送HTTP請(qǐng)求服務(wù)器響應(yīng)關(guān)閉TCP連接用戶瀏覽器渲染頁(yè)面Web應(yīng)用發(fā)展歷程Web應(yīng)用發(fā)展歷程早期靜態(tài)頁(yè)面無(wú)認(rèn)證頁(yè)面實(shí)際存在通過(guò)URL地址訪問(wèn)瀏覽器直接解析,無(wú)需服務(wù)器解釋或者編譯只能返回純文本（靜態(tài)的）文件信息是從服務(wù)端到客戶端，單向傳遞，不支持動(dòng)態(tài)交互修改復(fù)雜Web應(yīng)用發(fā)展歷程早期靜態(tài)頁(yè)面Web應(yīng)用發(fā)展歷程無(wú)法獲取敏感信息早期web站點(diǎn)入侵歪曲網(wǎng)站內(nèi)容傳播非常內(nèi)容暗鏈反動(dòng)黑頁(yè)Web應(yīng)用發(fā)展歷程動(dòng)態(tài)頁(yè)面隨著Web的發(fā)展，產(chǎn)生了交互的需求，信息要在客戶端和服務(wù)端之間雙向流動(dòng)，也就是動(dòng)態(tài)網(wǎng)頁(yè)的概念；所謂動(dòng)態(tài)就是利用flash、php、asp、Java等技術(shù)在網(wǎng)頁(yè)中嵌入一些可運(yùn)行的腳本，用戶瀏覽器在解釋頁(yè)面時(shí)，遇到腳本就啟動(dòng)運(yùn)行它。動(dòng)態(tài)腳本的使用讓W(xué)eb服務(wù)模式有了“雙向交流”的能力，Web服務(wù)模式也可以像傳統(tǒng)軟件一樣進(jìn)行各種事務(wù)處理，如編輯文件、利息計(jì)算、提交表單等，Web架構(gòu)的適用面大大擴(kuò)展。這些動(dòng)態(tài)腳本可以嵌入在頁(yè)面中，如JS等。也可以以文件的形式單獨(dú)存放在Web服務(wù)器的目錄里，如.asp、.php、jsp文件等。這樣功能性的腳本越來(lái)越多，形成常用的工具包，單獨(dú)管理。Web業(yè)務(wù)開(kāi)發(fā)時(shí)，直接使用就可以了，這就是中間件服務(wù)器，它實(shí)際上是Web服務(wù)器處理能力的擴(kuò)展。Web應(yīng)用發(fā)展歷程動(dòng)態(tài)頁(yè)面網(wǎng)頁(yè)數(shù)據(jù)具備動(dòng)態(tài)交互功能后臺(tái)具備數(shù)據(jù)處理能力強(qiáng)大數(shù)據(jù)庫(kù)作支撐動(dòng)態(tài)頁(yè)面的優(yōu)勢(shì)減少網(wǎng)頁(yè)的數(shù)量增加前后臺(tái)交互能力拓展網(wǎng)站能力新的安全問(wèn)題Web應(yīng)用指采用B/S架構(gòu)、通過(guò)HTTP/HTTPS協(xié)議提供服務(wù)的統(tǒng)稱。隨著互聯(lián)網(wǎng)的廣泛使用，Web應(yīng)用已經(jīng)融入到日常生活中的各個(gè)方面：網(wǎng)上購(gòu)物、網(wǎng)絡(luò)銀行應(yīng)用、證券股票交易、政府行政審批等等。在這些Web訪問(wèn)中，大多數(shù)應(yīng)用不是靜態(tài)的網(wǎng)頁(yè)瀏覽，而是涉及到服務(wù)器端的動(dòng)態(tài)處理。此時(shí)，如果Java、PHP、ASP等程序語(yǔ)言的編程人員的安全