三未信安最近宣布了一个大动作，他们打算用26亿多的资金，包括1.7亿多的自有资金和9千万的超募资金，收购江南天安超过81%的股权。这笔交易完成后，江南天安将成为三未信安的控股子公司，预计将大大提升三未信安在密码行业的竞争力。不过，江南天安也面临不小的挑战，他们需要在未来三年内实现净利润的逐年增长，并且三年累计净利润要达到2023年净利润的315%，也就是6500万，否则三未信安有权不支付第三笔股权转让款。这次收购，无疑会给竞争对手带来不小的压力。
这次收购不仅是资金上的合作，更是两家公司在产品和市场上的强强联合。三未信安和江南天安都是密码行业的佼佼者，这次联手，无疑会在市场上掀起不小的波澜。对于江南天安来说，接下来的三年将是关键时期，他们需要加倍努力，才能达到预期的业绩目标。
近期很多小伙伴反馈面试过程中会问到很基础的HTTP协议之类的问题，总结好了来取吧，同步也都更新到星球的《web安全》中了
HTTP
一 、基础概念
请求和响应报文
客户端发送一个请求报文给服务器，服务器根据请求报文中的信息进行处理，并将处理结果放入响应报文中返回给客户端。
请求报文结构：
-
第一行是包含了请求方法、URL、协议版本； -
接下来的多行都是请求首部 Header，每个首部都有一个首部名称，以及对应的值。 -
一个空行用来分隔首部和内容主体 Body -
最后是请求的内容主体
GET http://www.example.com/ HTTP/1.1Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.9Accept-Encoding: gzip, deflateAccept-Language: zh-CN,zh;q=0.9,en;q=0.8Cache-Control: max-age=0Host: www.example.comIf-Modified-Since: Thu, 17 Oct 2019 07:18:26 GMTIf-None-Match: "3147526947+gzip"Proxy-Connection: keep-aliveUpgrade-Insecure-Requests: 1User-Agent: Mozilla/5.0 xxxparam1=1¶m2=2
响应报文结构：
-
第一行包含协议版本、状态码以及描述，最常见的是 200 OK 表示请求成功了 -
接下来多行也是首部内容 -
一个空行分隔首部和内容主体 -
最后是响应的内容主体
HTTP/1.1 200 OKAge: 529651Cache-Control: max-age=604800Connection: keep-aliveContent-Encoding: gzipContent-Length: 648Content-Type: text/html; charset=UTF-8Date: Mon, 02 Nov 2020 17:53:39 GMTEtag: "3147526947+ident+gzip"Expires: Mon, 09 Nov 2020 17:53:39 GMTKeep-Alive: timeout=4Last-Modified: Thu, 17 Oct 2019 07:18:26 GMTProxy-Connection: keep-aliveServer: ECS (sjc/16DF)Vary: Accept-EncodingX-Cache: HIT<!doctype html><html><head><title>Example Domain</title>// 省略...</body></html>
URL
HTTP 使用 URL（ U niform Resource Locator，统一资源定位符）来定位资源，它是 URI（Uniform Resource Identifier，统一资源标识符）的子集，URL 在 URI 的基础上增加了定位能力。URI 除了包含 URL，还包含 URN（Uniform Resource Name，统一资源名称），它只是用来定义一个资源的名称，并不具备定位该资源的能力。例如 urn:isbn:0451450523 用来定义一个书籍名称，但是却没有表示怎么找到这本书。
-
wikipedia：统一资源标志符 -
wikipedia: URL -
rfc2616：3.2.2 http URL -
What is the difference between a URI, a URL and a URN?
二、HTTP 方法
客户端发送的 请求报文 第一行为请求行，包含了方法字段。
GET
获取资源
当前网络请求中，绝大部分使用的是 GET 方法。
HEAD
获取报文首部
和 GET 方法类似，但是不返回报文实体主体部分。
主要用于确认 URL 的有效性以及资源更新的日期时间等。
POST
传输实体主体
POST 主要用来传输数据，而 GET 主要用来获取资源。
更多 POST 与 GET 的比较请见第九章。
PUT
上传文件
由于自身不带验证机制，任何人都可以上传文件，因此存在安全性问题，一般不使用该方法。
PUT /new.html HTTP/1.1Host: example.comContent-type: text/htmlContent-length: 16<p>New File</p>
PATCH
对资源进行部分修改
PUT 也可以用于修改资源，但是只能完全替代原始资源，PATCH 允许部分修改。
PATCH /file.txt HTTP/1.1Host: www.example.comContent-Type: application/exampleIf-Match: "e0023aa4e"Content-Length: 100[description of changes]
DELETE
删除文件
与 PUT 功能相反，并且同样不带验证机制。
DELETE /file.html HTTP/1.1OPTIONS
查询支持的方法
查询指定的 URL 能够支持的方法。
会返回 Allow: GET, POST, HEAD, OPTIONS 这样的内容。
CONNECT
要求在与代理服务器通信时建立隧道
使用 SSL（Secure Sockets Layer，安全套接层）和 TLS（Transport Layer Security，传输层安全）协议把通信内容加密后经网络隧道传输。
CONNECT www.example.com:443 HTTP/1.1
TRACE
追踪路径
服务器会将通信路径返回给客户端。
发送请求时，在 Max-Forwards 首部字段中填入数值，每经过一个服务器就会减 1，当数值为 0 时就停止传输。
通常不会使用 TRACE，并且它容易受到 XST 攻击（Cross-Site Tracing，跨站追踪）。
-
rfc2616：9 Method Definitions
三、HTTP 状态码
服务器返回的 响应报文 中第一行为状态行，包含了状态码以及原因短语，用来告知客户端请求的结果。
| 状态码 | 类别 | 含义 |
|---|---|---|
| 1XX | Informational（信息性状态码） | 接收的请求正在处理 |
| 2XX | Success（成功状态码） | 请求正常处理完毕 |
| 3XX | Redirection（重定向状态码） | 需要进行附加操作以完成请求 |
| 4XX | Client Error（客户端错误状态码） | 服务器无法处理请求 |
| 5XX | Server Error（服务器错误状态码） | 服务器处理请求出错 |
1XX 信息
-
100 Continue ：表明到目前为止都很正常，客户端可以继续发送请求或者忽略这个响应。
2XX 成功
-
200 OK
-
204 No Content ：请求已经成功处理，但是返回的响应报文不包含实体的主体部分。一般在只需要从客户端往服务器发送信息，而不需要返回数据时使用。
-
206 Partial Content ：表示客户端进行了范围请求，响应报文包含由 Content-Range 指定范围的实体内容。
3XX 重定向
-
301 Moved Permanently ：永久性重定向
-
302 Found ：临时性重定向
-
303 See Other ：和 302 有着相同的功能，但是 303 明确要求客户端应该采用 GET 方法获取资源。
-
注：虽然 HTTP 协议规定 301、302 状态下重定向时不允许把 POST 方法改成 GET 方法，但是大多数浏览器都会在 301、302 和 303 状态下的重定向把 POST 方法改成 GET 方法。
-
304 Not Modified ：如果请求报文首部包含一些条件，例如：If-Match，If-Modified-Since，If-None-Match，If-Range，If-Unmodified-Since，如果不满足条件，则服务器会返回 304 状态码。
-
307 Temporary Redirect ：临时重定向，与 302 的含义类似，但是 307 要求浏览器不会把重定向请求的 POST 方法改成 GET 方法。
4XX 客户端错误
-
400 Bad Request ：请求报文中存在语法错误。
-
401 Unauthorized ：该状态码表示发送的请求需要有认证信息（BASIC 认证、DIGEST 认证）。如果之前已进行过一次请求，则表示用户认证失败。
-
403 Forbidden ：请求被拒绝。
-
404 Not Found
5XX 服务器错误
-
500 Internal Server Error ：服务器正在执行请求时发生错误。
-
503 Service Unavailable ：服务器暂时处于超负载或正在进行停机维护，现在无法处理请求。
四、HTTP 首部
有 4 种类型的首部字段：通用首部字段、请求首部字段、响应首部字段和实体首部字段。
各种首部字段及其含义如下（不需要全记，仅供查阅）：
通用首部字段
| 首部字段名 | 说明 |
|---|---|
| Cache-Control | 控制缓存的行为 |
| Connection | 控制不再转发给代理的首部字段、管理持久连接 |
| Date | 创建报文的日期时间 |
| Pragma | 报文指令 |
| Trailer | 报文末端的首部一览 |
| Transfer-Encoding | 指定报文主体的传输编码方式 |
| Upgrade | 升级为其他协议 |
| Via | 代理服务器的相关信息 |
| Warning | 错误通知 |
请求首部字段
| 首部字段名 | 说明 |
|---|---|
| Accept | 用户代理可处理的媒体类型 |
| Accept-Charset | 优先的字符集 |
| Accept-Encoding | 优先的内容编码 |
| Accept-Language | 优先的语言（自然语言） |
| Authorization | Web 认证信息 |
| Expect | 期待服务器的特定行为 |
| From | 用户的电子邮箱地址 |
| Host | 请求资源所在服务器 |
| If-Match | 比较实体标记（ETag） |
| If-Modified-Since | 比较资源的更新时间 |
| If-None-Match | 比较实体标记（与 If-Match 相反） |
| If-Range | 资源未更新时发送实体 Byte 的范围请求 |
| If-Unmodified-Since | 比较资源的更新时间（与 If-Modified-Since 相反） |
| Max-Forwards | 最大传输逐跳数 |
| Proxy-Authorization | 代理服务器要求客户端的认证信息 |
| Range | 实体的字节范围请求 |
| Referer | 对请求中 URI 的原始获取方 |
| TE | 传输编码的优先级 |
| User-Agent | HTTP 客户端程序的信息 |
响应首部字段
| 首部字段名 | 说明 |
|---|---|
| Accept-Ranges | 是否接受字节范围请求 |
| Age | 推算资源创建经过时间 |
| ETag | 资源的匹配信息 |
| Location | 令客户端重定向至指定 URI |
| Proxy-Authenticate | 代理服务器对客户端的认证信息 |
| Retry-After | 对再次发起请求的时机要求 |
| Server | HTTP 服务器的安装信息 |
| Vary | 代理服务器缓存的管理信息 |
| WWW-Authenticate | 服务器对客户端的认证信息 |
实体首部字段
| 首部字段名 | 说明 |
|---|---|
| Allow | 资源可支持的 HTTP 方法 |
| Content-Encoding | 实体主体适用的编码方式 |
| Content-Language | 实体主体的自然语言 |
| Content-Length | 实体主体的大小 |
| Content-Location | 替代对应资源的 URI |
| Content-MD5 | 实体主体的报文摘要 |
| Content-Range | 实体主体的位置范围 |
| Content-Type | 实体主体的媒体类型 |
| Expires | 实体主体过期的日期时间 |
| Last-Modified | 资源的最后修改日期时间 |
ending
一个人走的很快，但一群人才能地的更远。吉祥同学学安全这个星球🔗成立了3个月左右，已经有300+的小伙伴了，如果你是网络安全的学生、想转行网络安全行业、需要网安相关的方案、ppt，戳链接🔗（内有优惠卷）快加入我们吧。系统性的知识库已经有：《Java代码审计》 ++《Web安全》++《应急响应》++《护网资料库》++《网安面试指南》
原文始发于微信公众号（吉祥学安全）：重磅！三未信安1.7亿收购江南天安，密码江湖起波澜
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论