一、Web 核心构成
1. 定义
基于 HTTP/HTTPS 协议，通过浏览器访问的全球多媒体信息服务系统。
2. 四大核心
- 客户端：设备 + 浏览器 / 小程序，发起请求、渲染展示内容
- 服务器：远程专用系统，存储资源、处理请求、返回对应数据
- 网络协议：HTTP/HTTPS，客户端与服务器的通信规则（桥梁）
- Web 资源：html、图片、视频、接口数据等，访问的核心内容载体
3. Web 服务器
核心枢纽（软件 / 软硬件结合），能力包含：存储 Web 资源 + 接收 HTTP/HTTPS 请求 + 返回对应资源。
4. 完整访问流程
URL 输入 → DNS 解析为服务器 IP → TCP 三次握手建连接 → 发送 HTTP/HTTPS 请求 → 服务器处理返回响应 → 浏览器解析渲染展示
二、三大 Web 服务器核心对比与漏洞防护
1. 核心参数对比表
| 维度 | IIS（Internet Information Services） | Nginx | Apache HTTP Server |
|---|---|---|---|
| 所属厂商 / 性质 | 微软开发，闭源商业软件 | 开源软件（Igor Sysoev 团队发起） | 开源软件（Apache 软件基金会） |
| 支持系统 | 仅支持 Windows 系统（如 Windows Server） | 跨平台 | 跨平台 |
| 核心特性 | 深度集成.NET 生态，自带图形化管理界面，支持 ASP.NET、ASP 等微软脚本 | 轻量高效，内存占用低，高并发处理能力强，擅长反向代理、负载均衡 | 模块化设计灵活，兼容性强，支持多种脚本（PHP、Perl 等）和扩展 |
| 典型应用场景 | 1. 部署 ASP.NET、ASP 等微软技术栈项目 2. 企业内网 Windows 环境下的管理系统 | 1. 高流量网站（电商、视频平台）的静态资源服务 2. 需支撑万级以上并发连接的场景 | 1. 中小型网站（博客、企业官网）的动态内容服务 2. 对兼容性要求高、需适配多种脚本的项目 |
| 技术栈适配 | 优先适配.NET Framework/.NET Core、ASP 等 | 适配所有主流技术栈（无明显偏向） | 适配 PHP、Perl、Python 等脚本语言 |
2. 各自高危漏洞与防护
（1）IIS6.0（解析漏洞，极高危）
- 成因：分号截断（
test.asp;.jpg解析为 ASP）；默认解析.asa/.cer/.cdx为 ASP - 风险：轻松绕过过滤，执行恶意 ASP，控制 Windows 服务器
- 防护：升级至 IIS7.0+；禁用危险后缀；过滤文件名分号；上传目录只读禁执行
（2）Nginx（解析漏洞，高危）
- 成因：
xxx.php/xxx.jpg被解析为 PHP；配置空格导致解析异常 - 风险：同 Apache，反向代理架构中影响整个业务系统
- 防护：严格 PHP 解析正则配置；上传目录禁 PHP 解析；升级版本
