基础入门-HTTP 数据包&Postman 构造&请求方法&请求头修改&状态码判断
1.web服务流程：
2.request请求 （get和post最为常见）
参数解释：
参数作用：
User-Agent（UA 头）：设备平台 - 电脑和手机访问，不同设备访问的UA头都不一样，网页返回的数据、页面可能也有所差别（电脑和手机）
Cookie：身份替换 - 有时替换cookie可以进入不同用户登录的页面
get请求 – 常规请求
结构：
作用：向特定资源发出请求（请求指定页面信息，并返回实体主体）
post请求 – 用户登录
结构
作用：向指定资源提交数据进行处理请求（提交表单、上传文件），又可能导致新的资源的建立或原有资源的修改
head请求
与服务器索与 get 请求一致的相应，响应体不会返回，获取包含在小消息头中 的原信息（与get请求类似，返回的响应中没有具体内容，用于获取报头）
put请求
向指定资源位置上上传其最新内容（从客户端向服务器传送的数据取代指定文档的内容），与post的区别是put为幂等，post为非幂等
trace请求
回显服务器收到的请求，用于测试和诊断。trace是http8种请求方式之中最安全的
delete – 请求服务器删除页面
请求服务器删除 request-URL 所标示的资源
option – 允许客户 端查看服务器性能
返回服务器针对特定资源所支持的 HTML 请求方法或web服务器发送测试服务器功能
connect
HTTP/1.1 协议中能够将连接改为管道方式的代理服务器
3.response响应
参数解释：
响应状态码：
分类：
1、数据是否正常
2、文件是否存在
3、地址自动跳转
4、服务提供错误
详细状态：
1xx:指示信息—表示请求已接收，继续处理。
2xx:成功—表示请求已经被成功接收、理解、接受。
3xx:重定向—要完成请求必须进行更进一步的操作。
4xx:客户端错误—请求有语法错误或请求无法实现。
5xx:服务器端错误—服务器未能实现合法的请求。
200 OK： 客户端请求成功
301 redirect： 页面永久性移走
302 redirect： 页面暂时性移走，服务器进行重定向跳转，具有被劫持的安全风险
400 BadRequest： 由于客户端请求有语法错误，不能被服务器所理解
401 Unauthonzed： 请求未经授权
403 Forbidden： 服务器收到请求，但是拒绝提供服务
404 NotFound： 请求的资源不存在，例如：输入了错误的URL
500 InternalServerError： 服务器发生了不可预期的错误，无法完成客户端的请求
503 ServiceUnavailable： 服务器当前不能够处理客户端的请求
以文件判断：
200 文件存在
404 文件不存在
403 文件夹存在
500 可能存在可能不存在
3xx 可能存在可能不存在
例：
/zb_system/ 403
/zb_system/admin/index.php 200
/zb_system/admin/ 200(为什么不是403) 指引–> /zb_system/admin/index.php
3xx响应：
- 容错处理 网站访问错误就自动跳转到某个页面 不存在
- 访问某个文件 自动触发跳转 存在
使用实例： 目录扫描
目录扫描原理，字典爆破，根据状态码判断文件或目录是否存在
4.postman工具
api接口测试工具，发包改包
5.其他问题：
不同设备访问百度的页面不一样
请求包UserAgent字段不同
sqlmap有注入点却注入不了 –> 数据包问题
sqlmap -u
www.xiaodi8.com/x.php?id=1不存在 默认sqlmap访问头部进行注入找到数据包
www.xiaodi8.com/x.php?id=1sqlmap -r data.txt 存在 采用自己提交的数据包进行访问