PHP代码审计（十一）

最新推荐文章于 2023-03-11 20:31:50 发布
最新推荐文章于 2023-03-11 20:31:50 发布
阅读量70 收藏
点赞数
分类专栏： 读书笔记 # PHP代码审计
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/YUKIDDDD/article/details/118936252
版权

第11章 业务功能安全设计

11.1 验证码

11.1.1 验证码绕过

  • 不刷新直接绕过
  • 暴力破解
  • 机器识别
  • 打码平台

11.1.2 验证码资源滥用

11.2 用户登录

11.2.1 撞库登录

  • 用户名和密码错误次数无限制
  • 单时间段内用户的密码错误次数现在
  • 单时间段内IP登录错误次数限制

11.2.2 API登录

11.3 用户注册

11.4 密码找回

11.5 资料查看与修改

11.6 投票/积分/抽奖

11.7 充值支付

11.8 私信及反馈

11.9 远程地址访问

11.10 文件管理

11.11 数据库管理

11.12 命令/代码执行

11.13 文件/数据库备份

11.14 API

YUKIDDDD
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
【代码审计】--- php代码审计方法
qq_43168364的博客
02-11 4658
代码审计需要掌握的点 PHP编程语言的特性和基础 Web前端编程基础 漏洞形成原理 代码审计思路 不同系统、中间件之间的特性差异 代码审计思路 方法一 ---- 检查敏感函数的参数，然后回溯变量，判断变量是否可控，并且有没有经过严格的过滤，这是一个逆向追踪的过程 方法二 ---- 找出哪些文件在接收外部传入的参数，然后跟踪变量的传递过程，观察是否有变量传入到高危函数里面，或者传递的过程是否有逻辑漏洞，这是一种正向追踪的方式 方法三 ---- 直接挖掘功能点漏洞，根据自身经验判断该类应用通常在哪些功能中
PHP代码审计工具RIPS
zero
10-10 1167
在Centos7操作系统中安装rips并使用rips进行代码审计工作 # 安装依赖 yum install httpd.x86_64 php-devel.x86_64 php.x86_64 php-mysql.x86_64 php-soap.x86_64 php-xml.x86_64 php-xmlrpc.x86_64 php-ldap.x86_64 php-cli.x86_64 -y # 下载rips并解压至Web目录 unzip rips-0.55.zip -d /var/www/html/ mv r
PHP代码审计基础知识
热门推荐
网络安全
04-07 7万+
本文章主要是PHP代码审计的一些基础知识，包括函数的用法，漏洞点，偏向基础部分，个人能力有限，部分可能会出现错误或者遗漏，读者可自行补充。 代码执行# 代码执行是代码审计当中较为严重的漏洞，主要是一些命令执行函数的不适当使用。那么，常见的能够触发这类漏洞的函数有哪些呢？ eval()# 想必大家对eval()函数应该并不陌生，简而言之eval()函数就是将传入的字符串当作 PHP 代码来进行执行。 eval( string $code) : mixed 返回值# eval() 返回 NULL，除非在
PHP代码审计18—PHP代码审计小结
W0ngk，一个安全菜鸡，一直在模仿，尚未有超越。
08-25 2917
阶段性小结
PHP代码审计 -- 文件上传
qq_46635165的博客
12-15 994
工具&环境 工具：Seay源代码审计系统，文本编辑器一个 环境：phpstudy，网站源码是 zbzcms 步骤 1， 将zbzcms网站源码放入phpstudy，根据网站安装引导完成网站搭建； 2，打开Seay，新建项目 --> 选择网站源码 --> 自动审计，审计完成后点击 漏洞描述对审计结果进行排序，方便结果查看： 3,审计完成，关注存在文件上传这一类，对结果进行观察，一般存在文件上传的地方存在upload,include,up等关键词，然后再看，发现也有文件上传在admin目录
php代码审计
Scorpio_m7
02-10 1689
php代码审计相关
Seay代码审计工具
最新发布
tpriwwq的专栏
03-11 2205
Seay能够发现SQL注入、代码执行、命令执行、文件包含、文件上传、绕过转义防护、拒绝服务、XSS跨站、信息泄露、任意URL跳转等漏洞，基本上覆盖常见PHP漏洞。
PHP代码审计16—ThinkPHP代码审计入门
W0ngk，一个安全菜鸡，一直在模仿，尚未有超越。
08-23 1716
thinkPHP框架入门与简单审计分析
PHP代码审计-2
weixin_45720618的博客
12-18 2232
PHP代码审计-2
代码审计思路之PHP代码审计
kali_Ma的博客
01-13 2320
00×0 前言 最近也是边挖src边审计代码，总结下最近的php代码审计的一些思路，我一般按照顺序往下做，限于能力水平，可能会有不对或者欠缺的地方，希望各位师傅能够指导。 00×1 前期工作,需要的工具（我使用的) PHPStorm|是PHP编程语言开发的集成环境。 Fotify|代码审计静态扫描工具，商业化静态代码扫描工具，误报率相对较低。 seay|源代码审计工具 CodeQl | 高效的QL非商业的开源代码自动化审计工具。 xcheck| Xcheck 是一款静态应用安全测试工具，旨在及时发现业务代码
PHP代码审计文档.zip
11-02
第19课：PHP代码审计之会话认证漏洞mp4 第18课:PHP伪协议mp4 第17课:PHP弱类型mp4 第16课：PHP代码审计之反序列化漏润mp4 第15课：PHP代码审计之变量盖漏洞mp4 第14课PHP代码审计之任意文件读取及删除漏洞mp4 第13课...
PHP代码审计教学视频
01-28
PHP代码审计入门教学视频，对新手代码审计比较友好。对一些常规的漏洞（sqli、XSS、变量覆盖、PHPSTROM使用等等）都有非常详细的介绍
php代码审计入坑实践.pdf
07-30
总的来说，PHP代码审计是一个复杂但至关重要的过程，它涉及到理解代码逻辑、寻找潜在的安全风险，以及利用工具进行自动化辅助。这篇文章为初学者提供了一个实用的起点，通过实践操作来提升对代码审计的理解。然而，...
PHP 代码审计神器rips
07-04
综上所述，RIPS作为一款强大的PHP代码审计工具，利用全局数据流图分析技术，有效地帮助开发者识别并预防安全漏洞。通过深入理解RIPS的工作原理和使用方法，开发者可以更好地保护自己的PHP应用，提高软件的安全性，...
PHP代码审计音频文件.zip
11-02
任务19：PHP代码审计之会话认证漏洞mp4 任努18:PHP伪协议mp4 任务17:PHP弱类型mp4 任务16：PHP代码审计之反序列化漏润mp4 任务15：PHP代码审计之变量盖漏洞mp4 任务14PHP代码审计之任意文件读取及删除漏洞mp4 任务13...
黑客攻防技术宝典（一）
YUKIDDDD的博客
06-27 2830
第一章 web应用程序安全与风险1.1 web应用程序发展历程1.1.1 web应用程序常见功能1.1.2 web应用程序的优点1.2 web应用程序安全1.2.1 “本站点是安全的”1.2.2 核心安全问题：用户可提交任意输入1.2.3 关键问题因素1.2.3 新的安全边界1.2.5 web应用程序安全的未来1.3 小结 1.1 web应用程序发展历程 1.1.1 web应用程序常见功能 购物 社交网络 银行服务 web搜索 拍卖 博彩与投机 博客 web邮件 交互信息 1.1.2 web应用程序的优
细说PHP（四）
YUKIDDDD的博客
07-10 1514
第4章 PHP的流程控制结构4.1 分支结构4.1.1 单一条件分支结构（if）4.1.2 双向条件分支结构（else从句）4.1.3 多向条件分支结构（elseif子句）4.1.4 多向条件分支结构（switch语句）4.1.5 巢状条件分支结构4.2 循环结构4.2.1 while语句4.2.2 do...while循环4.2.3 for语句4.3 特殊的流程控制语句4.3.1 break语句4.3.2 continue语句4.3.3 exit语句 4.1 分支结构 4.1.1 单一条件分支结构（if）
内网安全攻防（一）
YUKIDDDD的博客
08-01 1058
第1章 内网基础知识1.1 内网基础知识 1.1 内网基础知识 内网也指局域网，是指在某一区域内由多台计算机互连而成的计算机组 工作组 将不同的计算机按功能进行分组就产生了工作组的概念。 计算机可以随意加入或退出工作组 工作组里所有计算机都是对等的 工作组中的计算机可以互相共享资源 域（Domain） 域是一个有安全边界的计算机集合 域的安全管理机制更加严格，用户要访问域内的资源，必须以合法的身份登录域 用户对域内的资源权限取决于用户身份 单域 在一个域内，一般要有至少两台域服务器，一台作为
黑客攻防技术宝典（十）
YUKIDDDD的博客
06-30 961
第10章 测试后端组件10.1 注入操作系统命令10.1.1 危险函数10.1.2 查找OS命令注入10.1.3 防止OS命令注入10.2 操作文件路径10.2.1 路径遍历漏洞10.2.2 文件包含漏洞10.3 注入XML解释器10.3.1 注入XML外部实体10.3.2 注入SOAP10.3.3 查找并利用SOAP注入10.3.4 防止SOAP注入10.4 注入后端HTTP请求10.4.1 服务器端HTTP重定向10.4.2 HTTP参数注入10.5 注入电子邮件10.5.1 操纵电子邮件标头10.5.
PHP代码审计：代码执行漏洞深度剖析
"php代码审计-代码执行.pdf" 这篇文档主要探讨了PHP代码审计中的一个重要主题——代码执行，这是渗透测试中常见的安全问题。通过代码审计，开发者和安全专家可以识别并修复潜在的安全漏洞，防止恶意攻击者利用这些...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值