「作者简介」:冬奥会网络安全中国代表队,CSDN Top100,就职奇安信多年,以实战工作为基础著作 《网络安全自学教程》,适合基础薄弱的同学系统化的学习网络安全,用最短的时间掌握最核心的技术。
原理
代码执行漏洞是指 攻击者利用 将字符串转化成代码的函数 , 进行代码注入
触发点/检测
代码执行漏洞在Web端不容易发现,需要代码审计,重点在一些执行代码的函数,比如
eval();
assert();
exevute();
preg_replace();
防御
代码执行的防御分为三个方面 参数 , 函数 和 权限
使用addslashes()函数将参数转译,或使用黑白名单校验
禁用或减少使用执行代码的函数
以及限制Web用户的权限