2023小迪安全学习笔记--Day2其他Web架构以及测试会遇到的问题

Day2其他Web架构以及测试会遇到的问题站库分离数据库和源码部署在不同服务器上拿下网站服务器还要移动到数据库服务器才能拿到数据增加测试难度。前后端分离前端JS框架API传输数据。比如前端为产品展示页面后端为后台登录管理页面。一般看网站页面的简洁程度判断是否为前后端分离架构。前端页面大部分不存在漏洞后端管理大部分不在同一域名。获得权限可能不影响后端。这种从架构的设计就减少了很多漏洞一般从后台入手。集成软件打包类集成化环境权限也被集成化管理。有宝塔面板PHP study等产品。默认配置下安全性宝塔面板iis自建PHP study。因为宝塔默认设置目录权限木马传上去之后没有执行权限。自建有一半权限问题PHP study完全没有权限问题。自建和小皮都要自己进行配置会更安全。Docker容器虚拟化技术独立磁盘空间非真实物理环境。你打进去了看到网站根目录以上的都是假的需要docker逃逸技术。建站平台利用别人的域名模板建立有托管和申请。托管也不可能把重要的东西放上面最多是产品宣传。非目标公司资产不用理。从域名备案是否和公司一致来判断。纯静态就是单纯的html网页会比前后端架构的前端更简陋。页面内容大多是不需要经常更换的如果要经常更换内容代价远远高于强后端架构。伪静态动态的网站转化为静态网站可以通过查看网站最后修改时间来判断网站是不是伪静态。查看到的时间为当前时间的话 那么它很有可能是伪静态的 如果看到的日期是以前的那么它很可能就是静态页面了。