1.网站程序发展
web1.0 网站是别人的，只能是随便看看
web2.0网站是朋友的，可以进行交流了
web3.0网站是自己的，可以实现买卖交流。
静态内容阶段：web有大量的文档构成，web被看作成超文本共享文件服务器。
CGI程序阶段：用户浏览器（有交互过程），这个阶段增加了一些变成API，通过API编写内容可以向用户提供一些变化的内容。
脚本语言阶段：服务器出现了ASP、PHP、JSP、ColdFusion等支持session的脚本语言技术。浏览器出现了JavaScript（让网站更绚丽）等技术。
瘦客户端应用阶段：
厚客户端应用阶段--->B/S架构，只要有网络，随时随地都可以访问。
2.web应用安全问题：
web应用常见的安全漏洞：
不安全的身份验证措施，这类漏洞包括应用程序登陆机制中的各种缺陷，可能会使攻击者破解保密性不强的密码，发动蛮力攻击或完全避开登录。
不完善的访问控制措施，设计的情况包括，应用程序无法为数据和功能提供全面保护，攻击者可以查看其他用户保存在服务器中的敏感信息，或者执行特权操作。（防护措施：防火墙、跳板机）
SQL注入：攻击者可通过这一漏洞提交专门设计的输入，干扰应用程序与后端数据库的交互活动。攻击者从应用程序中提取任何数据，破坏逻辑结构，或者在数据库服务器指令上执行操作。
跨站点脚本：攻击者利用该漏洞攻击应用程序的其他用户、访问其信息、代表他们执行未授权操作，或者想起发动攻击。
信息泄露：应用程序泄露敏感信息，攻击者利用这些敏感信息通过有缺陷的错误处理或其他行为攻击应用程序。（让网站中的信息轻易的被人捕捉到）
例如：网站访问路径会显示出用户名，id，所以为了防止信息泄露，网址中的id值会变成一段乱码，让攻击者看不懂，也能调取信息。
跨站点请求伪造：利用这种漏洞，攻击者诱使用户在无意中使用自己的用户权限对应用程序执行操作。恶意web站点利用该漏洞，通过受害用户与应用程序交互，执行用户并不打算执行的操作。
web服务器（卡cpu资源），用户访问量大了--web服务代码中有病毒代码信息。（发现后，跟开发人员沟通、确认是否是而已植入进来的）
3.高风险漏洞数据：
弱口令漏洞
SQL注入漏洞
密码重用漏洞
任意文件上传漏洞
远程代码执行漏洞
源代码信息漏洞
任意文件下载漏洞
存在入侵痕迹
越权访问
登陆可暴力拆解漏洞
旁注漏洞
文件写入任意漏洞
SSL技术：
关键问题因素：
不成熟的安全意识
独立开发：web应用程序由合作公司或企业自己员工独立开发，通常将新代码与第三方组件进行自定义拼凑，这种情况下，每个应用程序都不相同，并可能包含其独有的缺陷，与按照行业标准架构部署的形成鲜明对比。
欺骗性的简化：
漏洞相关的网站，攻防学习网站
www.anquanquan.info
https://link-base.org/
4.网络渗透学习思路
先知道如何攻击的，才能知道如何防范
黑客攻击一个网站的思路：
踩点：明确攻击目标，确定目标是否能够被攻击
扫描：需要评估系统监听服务，找到最有希望攻克的途径，扫描开放端口，常用nmap，ping
查点：识别系统上合法用户保护力度，这是更具侵入性的探测。
访问：收集到足够的数据，胸有成竹地尝试访问目标系统，通过向受害人发送木马或有害链接，apt通常从这里开始，一旦打开有害文件或链接，受害人的系统就会充满零日攻击。
提升特权：如果上一步得到的仅是对普通用户的访问权限，这时攻击者就会寻求对系统的完全控制。
窃取信息：再次进行信息窃取，确定目标系统的机制和途径，数据和文件都是从该环境提起。
掩踪灭迹：完全控制系统后，为避免被系统管理员发现，攻击者就会掩盖访问痕迹。（在堡垒机中及时保存后留下一些痕迹的）
创建后门：然后在系统中留下后门和陷阱，为下次入侵留下便利和条件。
拒绝服务：如果受侵者无法获得访问权限，但又志在必得，很可能利用这一招，使用提早就准备好的漏洞代码使目标系统瘫痪。
为避免黑客攻击网站，相关的技术如下：信息收集，网络扫描......