c
客户端拿到的是sessionID，session存在服务端
cookie中存储sessionID
WEB技术发展
静态WEB
动态WEB
应用程序
数据库
每个人看到的内容不同
根据用户输入返回不同结果
WEB攻击面
Network
OS
WEB Server
App Server
Web Application
Database
Browser
HTTP协议基础
明文
无内建的机密性安全机制
嗅探或代理截断可查看全部明文信息
https只能提高传输层安全 只是在传输的时候安全，仍可以中间人劫持
无状态
UDP无状态 TCP有状态
HTTP协议本身没有对客户端和服务器端的跟踪机制，每一次客户端和服务器端的通信都是独立的过程
通过cookie来实现跟踪客户端会话（多步通信）
Session用于身份验证后跟踪用户
Cycle 请求/响应
一个Cyele
重要的响应header
Set-Cookie 服务器发给客户端的SessionID
Content-Length 响应body部分的字节长度，模糊测试，暴力破解时，可以通过这个数值，来判断返回页面，是正确还是错误
Location 重定向到另一个页面，可识别身份认证后允许访问的页面
重要的请求Header
Cookie 客户端发给服务器证明用户状态的信息（键值对）
Referrer（拼写错误，标准中就错了） 发起请求之前用户位于哪个页面，服务器基于此头安全限制很容易被修改绕过
host 主机头
状态码
100s 服务器响应的信息，通常表示服务器还有后续处理
200s 请求被服务器成功接受并处理后返回响应结果
300s 重定向，通常身份认证到另外一个界面 301永久重定向 302临时重定向
400s 客户端请求错误 401需要身份认证 403拒绝访问 404目标未发现
500s 服务器内部错误 503服务不可达 500服务器内部错误
