Day1 常规Web架构以及测试会遇到的问题

网站四大件：操作系统、中间件、数据库和源码。四者放在一起。

一、网站搭建：

        由于网站的子域名、目录和端口号可能对应不同的网站程序，所以我们进行资产收集要包含这三个方面。子域名枚举、目录和端口号扫描。

二、中间件：

1. 身份验证，在一些页面设置权限，其他人访问需要输入运行网站电脑的账号密码。所以有时候访问一些网页会跳出来身份验证；
2. 目录权限，禁用不影响网站运行的目录，比如放image的，你传上去解析不了，没有权限；
3. 解析规则，限制一些危险路径的解析，比如../../etc/passwd解析不了。

三、数据库

本地一致

四、源码

1. 类型：有开源可见的，也有闭源不可见的。不可见有加密或者语言特性导致的。比如java文件打开是乱码，需要反编译。
2. 结构组成：包含数据库目录、后台目录和文件目录。建立数据库的时候会自动生成数据库配置文件到源码某个目录下的。要是有人黑了你的服务器，但是忘记清理日志，就可以通过数据库日志来溯源。后台目录比如/admin。
3. 路由访问：访问路径会设置路由，就是有时候你上传马子到上面，你知道它就在那个路径下面，但是访问不到。