cookie
是大多数web应用程序所依赖的HTTP协议的一次关键组成部分，攻击者常常通过它来利用web应用程序中的漏洞，服务器使用cookie机制向客户端发送数据，客户端保存cookie ，并将其返回给服务器，与其他类型的请求参数（存在于URL查询字符串或消息主体中）不同，随后的每一个请求都会继续重新向服务器提交cookie
服务器使用set - cookie 响应消息头发布cookie
cookie 一般由一个名/值 构成，但也可以包含任何不含空格的字符串，可以在任何服务器响应中使用几个set - cookie 消息头，发布多个cookie 并可在同一个cookie 消息头中用分号分隔不同的cookie，将他们全部返回给服务器。
set -cookie 消息头还包括以下任何可选属性，用它们控制浏览器处理cookie 的方式。
expriee 用于设定cookie的有效时间，这样会使得浏览器将cookie保存在永久性的储存中，在随后的浏览器中会话中重复利用，直到到期时间为止。如果没有设定这属性，那么cookie 仅用在当前的浏览器会话中。
domain 用于指定cookie的有效域，这个域必须会和收到的cookie 域相同，或是它们的父域。
path 用于指定cookie 的有效url 路径。
secure: 如果设置这个属性，仅存在HTTPS请求中提交cookie。
状态码
http响应消息都必须在第一行中包含一个状态码，说明请求的结果，根据代码的第一个数字，可将代码分为以下5类。
1 - 提供信息
2 - 请求被成功提交
3 - 客户端被重定向到其他资源
4 - 请求包含某种错误
5 - 服务器执行请求时遇到错误
列出参透测试员在攻击web 应用程序时最有可能遇到的状态码及相关的原因短语。
100 continue：当客户提求包含一个主体请求完成时，讲发送这个响应，表示应受到请求消息头，客户端应继续发送主体请求完成后，再由服务器返回另一个响应。
200 ok: 表示成功提交请求，响应主体中包含请求结果。
201 created ：PUT请求的响应返回这个状态码，表示请求已经成功提交。
301 Moved permanently :将浏览器永久重定到另外一个在localtion 消息头中指定的URL，以后客户端应使用新的URL替换原始的URL。
302 Found ： 将浏览器永久重定到另外一个location 消息头中指定的URL客户端应在随后请求中恢复使用原始的URL。
400 bad request ：提交了一个无效的http请求，错误请求，请求中有语法问题，或不能满足请求。
401 unauthorized：服务器在许可请求要求http 进行身份验证，WWW-authentic 消息头消息说明所支持的身份验证类型。
403 forbidden ： 本状态码指出，不管是否通过身份验证，禁止任何人访问被请求的资源。
404 not found：本状态码表示所请求的资源并不存在。
405 method not allowed ：表示指定的URL不支持请求中的使用方法，例：如果试图不支持put方法使用该方法，就会收到这个状态码。
414 request URL too long ：表示请求中URL过长，服务器无法处理。
500 internal senver error ：表示服务器请求时遇到错误，当提交无法预料的输入，在应用程序中处理过程中造成无法处理的错误时，通常会收到此状态码，应仔细检查服务器响应的所有内径。
503 service unavailable ：表示尽管web服务器运转正常，并且能够响应请求，但服务器访问的应用程序还是无法做出响应进行核实是否执行了某种行为而造成的这结果。
HTTPS
http使用普通的非加密tcp 作为其传输机制，因此，外在网络适当的位置的攻击者能够截取这个机制，HTTPS 本质上和http一样的都属于应用层协议，但是HTTPS 通过安全传输机制--安全套接层--日传送数据，可以通过网络传输的所有数据的隐密性与完整性，显著降低非入侵拦截攻击的可能性。