B站小迪安全笔记第4天-WEB源码拓展

前言：

WEB 源码在安全测试中是非常重要的信息来源，可以用来代码审 计漏洞也可以用来做信息突破口，其中 WEB 源码有很多技术需要简明分析。 比如：获取某 ASP 源码后可以采用默认数据库下载为突破，获取某其他脚本 源码漏洞可以进行代码审计挖掘或分析其业务逻辑等，总之源码的获取将为 后期的安全测试提供了更多的思路。

关于 WEB 源码目录结构 

关于 WEB 源码脚本类型

关于 WEB 源码应用分类

关于 WEB 源码其他说明

 数据库配置文件，后台目录，模版目录，数据库目录等

从网上下了很多网站源码，从文件后缀看出是拿什么搭建的，从文件名看出功能，admin是网站后台，data是数据，install是安装，template模板文件，member会员文件。在data文件中找config看数据库配置，然后可以去连接数据库去获取管理员账号密码  

ASP,PHP,ASPX,JSP,JAVAWEB 等脚本类型源码安全问题

看参考网站readthedocs.io，在语言框架那里面可以看到不同语言有不同的安全问题

社交，论坛，门户，第三方，博客等不同的代码机制对应漏洞

见图片

开源，未开源问题，框架非框架问题，关于 CMS 识别问题及后续等

见图片，cms识别可以通过人工观察，工具