代码审计
关注
分享
扫一扫
文章平均质量分 66
代码审计学习之路
(∪.∪ )...zzz
这个作者很懒，什么都没留下…
展开
-
【PHP】——基础
这里写自定义目录标题定义php标记注释语句分隔符变量预定义变量可变变量变量传值常量系统常量魔术常量数据类型定义服务器端脚本编程语言php hypertext preprosessor静态网页动态网页：标志性符号 ？： 表示需要数据交互服务器 server软件提供服务IP ：internet protocolDNS 解析 IP和域名php标记<?php echo'hello'?>注释// 单行注释# 单行注释/* 多行注释*/语句分隔符;原创 2021-11-01 22:33:00 · 405 阅读 · 0 评论 -
【代码审计】52 TP5框架审计写法 代码追踪
目录TP5导图demo代码段 自写 和 规则写 分析hsycms-TP框架-不安全写法-未过滤追踪方法1：源码——入口文件——定位代码和地址——入口路由配合追踪方法2：调试模式信息获取——写法安全与否不安全写法：未全部引用内置过滤weipan21-TP框架-规则写法-内置过滤TP5导图demo代码段 自写 和 规则写 分析采用数据库监控工具数据是否被带入存在注入点 再针对规则写配置文件中开启自写，和常规注入一样 规则写，配置文件存在过滤，对版本有无相关漏洞，上网搜索原创 2021-07-21 16:58:33 · 625 阅读 · 0 评论 -
【代码审计】51 TP5框架、无框架 变量覆盖反序列化
别丧学就完了Metinfo-无框架-变量覆盖-自动审计或搜索phpmydmin-无框架-反序列化-自动审计或搜索Thinkphp5-有框架-搭建使用入口访问调试SQL等Metinfo-无框架-变量覆盖-自动审计或搜索phpmydmin-无框架-反序列化-自动审计或搜索Thinkphp5-有框架-搭建使用入口访问调试SQL等...原创 2021-07-21 11:58:10 · 456 阅读 · 0 评论 -
【代码审计】51 PHP项目类 RCE 文件包含和下载
@TOCxhcms-无框架-文件包含跨站-搜索或应用-include找核心代码分析输出函数功能点通过搜索关键字echo载入代码，找到后台，一般是admin测试XSS漏洞测试文件包含漏洞关键字：includeinclude_oncerequirerequire_once根据程序实现的功能猜测可能的漏洞：社交 交互：注入、跨站下载、上传，和文件相关的复制下载链接...原创 2021-07-14 22:08:01 · 622 阅读 · 5 评论 -
【代码审计】53 JAVA项目 注入、上传、搜索、插件挖掘
where are you now一、 Java web审计1. 审计前： 确定框架2. 是否存在拦截器二、例简易Demo段SQL注入及预编译IDEA审计插件FindBugs安装使用Fortify_SCA代码自动审计神器使用工具手动Ofcms后台SQL注入-全局搜索关键字Ofcms后台任意文件上传-功能点测试一、 Java web审计1. 审计前： 确定框架web.xml导入的jar包 pom.xml配置文件2. 是否存在拦截器通过查看web.xml确定是否存在相关拦截器二、例简原创 2021-07-22 11:40:33 · 174 阅读 · 1 评论