網絡安全攻防：Web安全之HTTP協議
超文本傳輸協議（HTTP，Hyper Text Transfer Protocol）是訪問萬維網使用的核心通信協議，也是今天所有Web應用都會使用的協議。HTTP協議雖然被廣泛應用于Web應用之中，但由于其傳輸時的不安全性，之后將被HTTPS協議逐步替代。
在最初的時候，HTTP 只是一個為獲取基于文本的靜態資源而開發的一個簡單協議，后來隨著Web應用的興起，人們以各種形式擴展和利用它，使其能夠支持如今常見的復雜分布式應用。
HTTP機制：客戶端發送一條請求，然后服務端返回一條響應消息。該協議是基于TCP/IP協議的傳輸協議。
1. HTTP請求
我們可以在瀏覽器的控制臺上查看 HTTP 的請求頭部分的信息。例如，輸入網址http://www.example.com，然后再按F12打開控制臺，如圖1所示。
圖1 HTTP請求頭
可以從圖1中看出請求頭大致的組成部分如下。
（1）訪問方法，最常用的方法為GET，它的主要作用是從Web服務器獲取一個資源。
（2）所請求的URL地址。
（3）使用的HTTP版本。Internet最常有的HTTP版本為1.0和1.1，而兩者最主要的區別是在攻擊Web程序時，HTTP1.1的版本必須使用Host請求頭。
（4）User-Agent消息頭提供與瀏覽器或其他生成請求的客戶軟件相關的信息。
（5）Host消息頭用于指定出現在被訪問的完整URL中的主機名稱。
（6）Cookie消息頭用于提交服務器向客戶端發布的參數。
2. HTTP響應
對應于前面提到的HTTP請求，在瀏覽器中也可以找到響應頭的信息，如圖2所示。
圖2 響應頭信息
響應頭中有部分信息與請求頭中是一樣的，如HTTP的版本。
響應頭往往表示請求結果的狀態碼，200是最正常的狀態碼。
響應頭還有如下的幾個要點：Server消息頭，指明所使用Web服務器軟件；Content-Length消息頭規定消息主題的字節長度。
3. HTTP方法
在攻擊Web應用程序時，最常用的兩個方法為GET和POST。
GET方法的作用為獲取資源。它可以在URL中以查詢字符串的形式向所請求的資源發送參數。
POST方法的作用為執行操作。使用這個方法可以在URL查詢字符串與消息主體中發送請求參數。
在傳輸數據方面，POST方法比GET方法有效。GET傳輸的數據不大于2 KB，而POST傳輸的數據量較大，一般默認沒有限制。但理論上，IIS4中最大的量為80 KB，IIS5為100 KB。并且GET方法的安全性比較低，POST方法會將數據進行加密，所以會比較安全。另一點就是POST方法的執行效率比GET方法要高。
