作为一名在校大学生，除去学校所学知识，还有许多课余时间自学的知识，现在通过博文的方式记录下来并且进行分享，有不足之处请多多指出！

一、学习笔记部分

前后端分离

前端：JS框架，API传输数据（使用接口传输，前后端两个网页）

前端只用于显示页面，后端在其他域名下，使用后台管理软件来指向前端网站

• 前端页面大部分不存在漏洞
• 后端管理大部分不在同域名
• 获取权限可能不会影响后端 

因为采用了JS这类语言，从语言特性来说很少存在漏洞。

思路：找后台地址，找框架历史漏洞，都没有的话就只能从其他方面入手

集成环境搭建

宝塔+PHPstudy

打包环境直接搭建

问题/拿到权限后的差异：

宝塔：

文件管理 锁定目录

命令执行 无法执行

PHPstudy

文件管理 锁定目录

命令执行 无法执行

IIS

与其他的也不同，需要系统管理命令来管理

DOCKER容器

虚拟化技术，非物理环境。可以加载镜像，使用他人封装好的镜像来配置

有一个虚拟空间，网络安全测试者的操作都在虚拟空间进行，不会影响真磁盘

反制办法：DOCKER逃逸

建站分配站

在托管网站使用模板直接套用，域名是平台分配的，并非自己的域名

对这种网站做安全测试没有意义，测的是平台

如何识别：可以通过域名查询

一般来说是不会有贵重信息，因为没有东西是自己的。

二、心得总结

通过这节课的学习，对于前后端分离问题有了更加明确的意识，且在IDE搭建问题上有了更清晰的认知，比如对于IIS和宝塔的区别。

分配站则是第一次听说，涨了很多见识，并且明白了对于网络安全测试人员来说测试分配站是毫无意义的。

DOCKER以前听说过，但了解并不多，这次搞懂了虚拟化环境的问题。

总的来说，这节课的内容不少，但是理论知识更多，我应该多去实践一下。