【网络安全 | 网络协议】一文讲清HTTP协议

news2024/10/4 14:56:27

HTTP概念简述

HTTP（Hypertext Transfer Protocol）协议，又称超文本传输协议，用于传输文本、图像、音频、视频以及其他多媒体文件。它是Web应用程序通信的基础，通过HTTP协议，Web浏览器可以向Web服务器发起请求，并接收来自Web服务器的响应，从而实现Web页面的访问和数据传输。

HTTP协议的结构

HTTP协议包含了HTTP请求和HTTP响应两个部分，其中HTTP请求由请求行、请求头和请求体组成；HTTP响应由状态行、响应头和响应体组成。HTTP协议还定义了一些请求方法，不同的请求方法对应不同的操作。

在这里插入图片描述

请求结构

如图为HTTP请求的完整结构（以GET请求为例）：

在这里插入图片描述

请求行

HTTP请求中的首行称为请求行，其包括三个部分：请求方法、请求的资源路径和使用的协议版本。

GET /2301_77485708/article/details/136169661?spm=1001.2014.3001.5501 HTTP/1.1

在本例中请求方法为GET，请求路径URI为/2301_77485708/article/details/136169661?spm=1001.2014.3001.5501，协议Protocol为HTTP/1.1。

请求方法是在进行网络通信时，客户端向服务器发送请求的方式。

常见的请求方法有以下几种：

  1. GET：用于请求获取服务器上的资源，可以在请求中附加参数。一般用于获取数据。
  2. POST：用于向服务器提交数据，比如表单数据、上传文件等。
  3. PUT：用于向服务器上传或更新资源，通常需要提供完整的资源信息。
  4. DELETE：用于删除服务器上的资源。
  5. PATCH：用于对服务器上的资源进行部分更新。
  6. HEAD：类似于GET请求，但只返回响应头部信息，不返回实际内容。
  7. OPTIONS：用于获取目标资源支持的请求方法列表。

在提交如"ice"、"Sec"等不可识别的方法时，部分服务器支持以GET方法返回，即默认GET。

请求资源路径是指客户端在向服务器发起HTTP请求时，指定所要访问的资源在服务器上的路径信息。请求方法与URI之间通常以一个空格分隔。

为了在同一个服务器上的不同资源之间相互引用时简化URL的书写，并且避免需要在每个资源链接中都包含完整的URL，请求行中的资源路径为相对路径。

在本例中，请求的资源路径为：

/2301_77485708/article/details/136169661?spm=1001.2014.3001.5501

浏览器会将HOST与该路径自动填充，从而构建完整的URL进行请求。

出于跨平台兼容性等方面的考虑，换行符"\r\n"（回车符+换行符）被用作报文头部和报文主体之间以及各个字段之间的分隔符。

请求头

请求头（Headers）用于携带关于请求或响应的元数据信息。

  1. Accept：指定客户端能够处理的媒体类型，用于请求中。

  2. Content-Type：指定请求或响应中的实体的媒体类型。

  3. User-Agent：标识客户端的应用程序、操作系统和版本信息。

  4. Host：指定服务器的主机名和端口号。

  5. Cookie：包含在请求中发送的Cookie信息。

  6. Referer：指示请求来源页面的URL。

  7. Location：指定重定向的目标URL。

  8. Content-Length：指定请求或响应正文的长度（以字节为单位）。

  9. Content-Encoding：指定响应正文的编码方式，如gzip或deflate。

在本例中：

  1. Host: blog.csdn.net
    • 指定请求的目标主机，即要访问的服务器地址为blog.csdn.net。
  2. Cookie: ICE
    • 包含用户身份验证或其他相关信息。
  3. User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:109.0) Gecko/20100101 Firefox/118.0
    • User-Agent字段包含了发送请求的客户端应用程序和操作系统的详细信息
  4. Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,/;q=0.8
    • 表示客户端能够接受的媒体类型，优先顺序为text/html、application/xhtml+xml等。
  5. Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
    • 指定客户端接受的自然语言及其优先级，表示首选中文（中国）、次选中文（通用）等。
  6. Accept-Encoding: gzip, deflate, br
    • 表示客户端支持的内容编码方式，包括gzip、deflate和br（Brotli）。
  7. Referer: https://blog.csdn.net/2301_77485708/
    • 指示该请求来源页面的URL，即当前请求是从https://blog.csdn.net/2301_77485708/页面发起的。

请求体

请求体（Request Body）是客户端发起POST、PUT等请求时发送给服务器的数据部分。

请求体中包含客户端想要提交给服务器的数据，以表单、JSON、XML、二进制数据等格式存在。在POST请求中，请求体通常包含了表单数据或上传的文件；在PUT请求中，请求体通常包含了要更新的资源信息；在DELETE、GET请求中，请求体通常为空。

在下图的POST请求包中，存在请求体：

在这里插入图片描述

表示提交的ice.txt文件的内容为ice。

同时由上图可以看到，该POST上传格式为multipart/form-data，其有利于传输多个字段的数据。

Content-Type: multipart/form-data; boundary=---------------------------31280281959535052723427005512


-----------------------------31280281959535052723427005512
Content-Disposition: form-data; name="MAX_FILE_SIZE"

100000
-----------------------------31280281959535052723427005512
Content-Disposition: form-data; name="uploaded"; filename="ice.txt"
Content-Type: text/plain

ice
-----------------------------31280281959535052723427005512
Content-Disposition: form-data; name="Upload"

Upload
-----------------------------31280281959535052723427005512--

特殊的是，Content-Type中存在boundary，其定义了请求体中的分界线，使各部分数据相互独立互不干扰。若数据块中存在**filename=**字段，则表示上传文件，否则为POST参数。

请求差异及参数说明

POST请求头比GET请求头多引入了两个字段：Content-Length、Content-Type，分别指定请求体的长度及请求体内容类型。

在参数上，需要谨记的是：GET、POST参数的定义取决于参数所处位置。POST请求中，GET参数仍然存在于请求行中。

简单例题参考：https://blog.csdn.net/2301_77485708/article/details/130786891

在这里插入图片描述

响应结构

如图为HTTP响应的完整结构（以POST请求为例）

HTTP/1.1 200 OK
Server: nginx/1.15.11
Date: Mon, 19 Feb 2024 13:37:27 GMT
Content-Type: text/html;charset=utf-8
Connection: close
X-Powered-By: PHP/7.3.4
Pragma: no-cache
Cache-Control: no-cache, must-revalidate
Expires: Tue, 23 Jun 2009 12:00:00 GMT
Content-Length: 4134

<!DOCTYPE html>

<html lang="en-GB">

	<head>
		<meta http-equiv="Content-Type" content="text/html; charset=UTF-8" />

		<title>Vulnerability: File Upload :: Damn Vulnerable Web Application (DVWA)</title>

		<link rel="stylesheet" type="text/css" href="../../dvwa/css/main.css" />

	</head>

</html>

在这里插入图片描述

状态行

HTTP/1.1 200 OK

响应结构中首行称为状态行，包括三个部分，分别是HTTP版本、状态码和状态消息。

  1. HTTP版本：指定使用的HTTP协议版本，例如HTTP/1.0、HTTP/1.1、HTTP/2等。
  2. 状态码（status code）：指示对请求的处理结果，通常是一个3位数字，例如200表示成功，404表示未找到请求的资源等。
  3. 状态消息（reason phrase）：对状态码的简要描述，通常是一个文本字符串，例如"OK"、"Not Found"等。状态消息不是HTTP协议必需的，但是它可以提供更多的信息。

附上状态码说明：

  • 1xx（信息性状态码）：表示接收到请求并且正在处理。
    • 100 Continue: 继续。服务器已经接收到请求头，客户端应该继续发送请求体。
    • 101 Switching Protocols: 切换协议。服务器要求客户端切换协议，例如从HTTP协议切换到WebSocket协议。
  • 2xx（成功状态码）：表示请求已成功处理。
    • 200 OK: 请求成功。服务器成功处理了请求。
    • 201 Created: 已创建。请求成功，并且服务器创建了新的资源。
    • 204 No Content: 无内容。服务器成功处理了请求，但没有返回任何内容。
  • 3xx（重定向状态码）：表示需要进一步的操作来完成请求。
    • 301 Moved Permanently: 永久重定向。请求的资源已被永久移动到新位置。
    • 302 Found: 临时重定向。请求的资源暂时移动到新位置。
    • 304 Not Modified: 未修改。客户端发送了一个条件请求，服务器确认资源未被修改。
  • 4xx（客户端错误状态码）：表示请求包含语法错误或无法完成请求。
    • 400 Bad Request: 错误的请求。服务器无法理解请求的语法。
    • 401 Unauthorized: 未授权。需要身份验证才能访问资源。
    • 404 Not Found: 未找到。请求的资源不存在。
  • 5xx（服务器错误状态码）：表示服务器在处理请求时发生了错误。
    • 500 Internal Server Error: 内部服务器错误。服务器遇到了意外错误，无法完成请求。
    • 503 Service Unavailable: 服务不可用。服务器暂时无法处理请求，通常是因为过载或维护。

响应头

响应头用于提供关于响应的元数据和控制。

Content-Type：指定响应主体的媒体类型。

Content-Length：指定响应主体的长度（字节数）。

Server：指定服务器软件的名称和版本。

Date：指定响应产生的日期和时间。

Set-Cookie：在响应中设置一个或多个Cookie。

Location：用于重定向，指定新的URL地址。

Cache-Control：指定响应的缓存策略。

Content-Encoding：指定响应主体的内容编码方式。

Access-Control-Allow-Origin：用于跨域资源共享（CORS），指定允许访问资源的源。

响应头与前端漏洞间存在些许联系，这里不过多叙述。

响应体

响应体（Response Body）是服务器返回给客户端的数据部分。与响应头部分不同，响应体通常是必须要有的部分，因为它包含了客户端所请求的资源或执行结果的具体内容。

响应体的格式通常使用Content-Type首部字段来指定，而响应体的长度则使用Content-Length首部字段来指定。

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

在本例中，响应体的格式遵循HTML。

当响应体语言为HTML时，可将响应体复制后使用浏览器打开，获取直观界面，也可使用Burp中的Render功能：

在这里插入图片描述

结果的具体内容。

响应体的格式通常使用Content-Type首部字段来指定，而响应体的长度则使用Content-Length首部字段来指定。

[外链图片转存中…(img-AhACFGkh-1708354477870)]

在本例中，响应体的格式遵循HTML。

当响应体语言为HTML时，可将响应体复制后使用浏览器打开，获取直观界面，也可使用Burp中的Render功能：

[外链图片转存中…(img-Qd991f6z-1708354477870)]

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1457114.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

通俗易懂的L0范数和L1范数及其Python实现

通俗易懂的L0范数和L1范数及其Python实现

定义 L0 范数&#xff08;L0-Norm&#xff09; L0 范数并不是真正意义上的一个范数&#xff0c;因为它不满足范数的三角不等式性质&#xff0c;但它在数学优化和信号处理等领域有着实际的应用。L0 范数指的是向量中非零元素的个数。它通常用来度量向量的稀疏性。数学上表示为…
阅读更多...
合理利用pandas来简化大量请求数据组装工作

合理利用pandas来简化大量请求数据组装工作

工作场景 本次我们开发了一个新功能&#xff0c;为了验证它是否合理&#xff0c;我们需要从线上导出一批真实的用户数据来进行模拟请求&#xff0c;以此来验证功能的完整性。 例如一个很简单的功能&#xff0c;我们是一个对学生成绩进行数据分析的系统&#xff0c;各学校会将…
阅读更多...
prometheus+mysql_exporter监控mysql

prometheus+mysql_exporter监控mysql

prometheus+mysql_exporter监控mysql 一.安装mysql 1.下载：wget -i -c http://dev.mysql.com/get/mysql57-community-release-el7-10.noarch.rpm 2.安装客户端：yum -y install mysql57-community-release-el7-10.noarch.rpm 3.安装服务端：yum -y install mysql-community-se…
阅读更多...
mysql 2-1

mysql 2-1

添加数据 方式二 更新数据 删除数据 小结 计算列 数据类型 可选属性 适用场景 如何选择 浮点类型 存在精度问题 定点数介绍 BIT类型 日期与时间类型 YEAR类型 DATA类型 TIME类型 DATATIME TIMESTAMP 文本字符串类型 适用场景 TEXT类型
阅读更多...
JavaWeb-JDBC-练习

JavaWeb-JDBC-练习

一、环境准备 1、数据库表 tb_brand 2、实体类 Brand 最后注意使用get、set方法和toString 二、实现功能 1、查询所有数据 2、添加数据 3、根据id修改 4、根据id删除
阅读更多...
【类与对象 -2】学习类的6个默认成员函数中的构造函数与析构函数

【类与对象 -2】学习类的6个默认成员函数中的构造函数与析构函数

目录 1.类的6个默认成员函数 2.构造函数 2.1概念 2.2特性 3.析构函数 3.1析构函数的概念 3.2特性 1.类的6个默认成员函数 如果一个类中什么成员都没有&#xff0c;简称为空类。 空类中真的什么都没有吗&#xff1f;并不是&#xff0c;任何类在什么都不写时&#xff0c;…
阅读更多...
红队学习笔记Day6 ---＞干货分享

红队学习笔记Day6 ---＞干货分享

今天看到这样的一个东西&#xff0c;好好好&#xff0c;有点恐怖&#x1f613;&#x1f613;&#x1f631;&#x1f631;&#x1f631;&#x1f631; 我就想网安是不是也有这种东西&#xff1f; 我来试试 icmp&#xff0c;RDP&#xff0c;arp&#xff0c;dhcp&#xff0c;nat&a…
阅读更多...
C语言系列-带有副作用的宏参数#和##命名约定宏替换的规则

C语言系列-带有副作用的宏参数#和##命名约定宏替换的规则

&#x1f308;个人主页: 会编辑的果子君 &#x1f4ab;个人格言:“成为自己未来的主人~” 目录 带有副作用的宏参数 宏替换的规则 宏函数的对比 #和## #运算符 ##运算符 命名约定 #undef 带有副作用的宏参数 当宏参数在宏的定义中出现超过一次的时候&#xff0c;如果…
阅读更多...
2024/2/19

2024/2/19

作业1&#xff1a;使用fread和fwrite完成两个图片文件的拷贝 代码&#xff1a; #include <myhead.h>int main(int argc, const char *argv[]) {FILE *fpNULL;//以只读的形式打开文件if(( fpfopen("./dashuai.bmp","r")) NULL){perror("fopen…
阅读更多...
【lesson62】网络通信UdpSocket版

【lesson62】网络通信UdpSocket版

文章目录 UdpSocketUdpServer.hppUdpServer类成员变量解释成员函数解释 UdpServer的实现ServerIinit的实现socketbindhtonsinet_addr具体实现 ServerStart的实现recvfromsendtontohsinet_ntoa具体实现 ~UdpServer函数实现UdpServer.hpp整体完整代码 UdpServer.ccUdpClient.ccTh…
阅读更多...
Java学习--黑马SpringBoot3课程个人总结-2024-02-12

Java学习--黑马SpringBoot3课程个人总结-2024-02-12

1.环境准备 出现报错 Vue 引入路径正确的&#xff0c;但一直报错&#xff1a; Already included file name ‘‘ differs from file name ‘‘ only in casing. 解决方案来自此链接 2.注册界面的搭建 代码如下 <script setup> import { User, Lock } from element-plus/…
阅读更多...
【C语言】通讯录（静态版本+动态版本）思路解析+完整源代码

【C语言】通讯录（静态版本+动态版本）思路解析+完整源代码

通讯录 由于代码比较长&#xff0c;为了增加可读性&#xff0c;分成了contact.h&#xff0c;contact.c&#xff0c;test.c&#xff0c;分别用来声明函数或者类型&#xff0c;实现函数功能&#xff0c;测试代码 contact.h 我们希望通讯录具有增加联系人&#xff0c;删除联系人…
阅读更多...
防火墙之firewalld基础

防火墙之firewalld基础

一、firewalld的简介 firewalld防火墙是Centos7系统默认的防火墙管理工具&#xff0c;取代了之前的iptables防火墙&#xff0c;也是工作在网络层&#xff0c;属于包过滤防火墙。 firewalld和iptables都是用来管理防火墙的工具&#xff08;属于用户态&#xff09;来定义防火墙的…
阅读更多...
css pointer-events 多层鼠标点击事件

css pointer-events 多层鼠标点击事件

threejs 无法滑动视角&#xff0c;菜单界面覆盖threejs操作事件。 pointer-events /* Keyword values */ pointer-events: auto; pointer-events: none; pointer-events: visiblePainted; /* SVG only */ pointer-events: visibleFill; /* SVG only */ pointer-events: visib…
阅读更多...
web基础及http协议 （二） apache

web基础及http协议 （二） apache

一、httpd 安装组成 http 服务基于 C/S 结构 1 .常见http 服务器程序 httpd apache&#xff0c;存在C10K&#xff08;10K connections&#xff09;问题 nginx 解决C10K问题lighttpd IIS .asp 应用程序服务器 tomcat .jsp 应用程序服务器 jetty 开源的servlet容器&#xf…
阅读更多...
Linux 驱动开发基础知识——LED 模板驱动程序的改造：设备树（十一）

Linux 驱动开发基础知识——LED 模板驱动程序的改造：设备树（十一）

个人名片&#xff1a; &#x1f981;作者简介&#xff1a;学生 &#x1f42f;个人主页&#xff1a;妄北y &#x1f427;个人QQ&#xff1a;2061314755 &#x1f43b;个人邮箱&#xff1a;2061314755qq.com &#x1f989;个人WeChat&#xff1a;Vir2021GKBS &#x1f43c;本文由…
阅读更多...
探索线性回归中的梯度下降法

探索线性回归中的梯度下降法

目录 前言1 梯度下降的基本思想2 梯度下降的公式3 梯度下降的步骤3.1 初始化参数3.2 计算梯度3.3 更新参数3.4 迭代更新 4 学习率的控制4.1 过大学习率的问题4.2 过小学习率的问题4.3 学习率的调整 5 批量梯度下降方法5.1 批量梯度下降&#xff08;Batch Gradient Descent&…
阅读更多...
代码随想录算法训练营DAY20 | 二叉树(7) （续）

代码随想录算法训练营DAY20 | 二叉树(7) （续）

一、LeetCode 236 二叉树的最近公共祖先 题目链接&#xff1a;236.二叉树的最近公共祖先https://leetcode.cn/problems/lowest-common-ancestor-of-a-binary-tree/description/ 思路&#xff1a;利用后序遍历是天然回溯过程、方便实现自底向上查找的原理&#xff0c;递归寻找公…
阅读更多...
基于SpringBoot的高校竞赛管理系统

基于SpringBoot的高校竞赛管理系统

基于SpringBoot的高校竞赛管理系统的设计与实现~ 开发语言&#xff1a;Java数据库&#xff1a;MySQL技术&#xff1a;SpringBootMyBatis工具&#xff1a;IDEA/Ecilpse、Navicat、Maven 系统展示 主页 个人中心 管理员界面 老师界面 摘要 高校竞赛管理系统是为了有效管理学校…
阅读更多...
书生开源大模型-第2讲-笔记

书生开源大模型-第2讲-笔记

1.环境准备 1.1环境 先克隆我们的环境 bash /root/share/install_conda_env_internlm_base.sh internlm-demo1.2 模型参数 下载或者复制下来&#xff0c;开发机中已经有一份参数了 mkdir -p /root/model/Shanghai_AI_Laboratory cp -r /root/share/temp/model_repos/inter…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023