网站代码审计及方法

最新推荐文章于 2023-08-06 19:41:56 发布

三块五的咸菜干

最新推荐文章于 2023-08-06 19:41:56 发布

阅读量1.1k

点赞数

本文链接：https://blog.csdn.net/weixin_44720762/article/details/92605118

版权

本文探讨了网站代码审计的重要性，从入口文件和配置文件分析开始，揭示可能的安全隐患如宽字节注入和双引号解析。介绍了审计方法，包括通读全文法、敏感函数参数回溯法和定向功能分析法。同时提到了RIPS这样的PHP源代码审计工具，用于辅助检测XSS、SQL注入等漏洞，但强调了人工审查的必要性。

摘要由CSDN通过智能技术生成

网站由网页构成，各个网页都有它自己的脚本文件（php文件）
入口文件：index.php admin.php ,这些文件一般是整个程序的入口，详细读一下index文件就可以知道程序的架构、运行流程、包含哪些配置、包含哪些过滤文件以及包含哪些安全过滤文件、了解程序的业务逻辑
配置文件：config.php
一般都保存一些数据库的相关信息，程序的一些信息。数据库编码，如果是gbk则可能存在宽字节注入，如果变量的值用双引号。则可能存在双引号解析代码执行的问题。
过滤功能
通过详读公共函数文件和安全过滤文件等文件，清晰掌握永恒输入的数据，哪些被过滤，哪些无过滤，在哪里过滤，过滤的方式是什么，
在这里插入图片描述

config.php:
php-config 是一个简单的命令行脚本用于获取所安装的 PHP 配置的信息。

在编译扩展时，如果安装有多个 PHP 版本，可以在配置时用 --with-php-config 选项来指定使用哪一个版本编译，该选项指定了相对应的 php-config 脚本的路径。
在这里插入图片描述
审计方法：
顾名思义就是检查源代码中的安全缺陷，检查程序源代码是否存在安全隐患，或者有编码不规范的地方，通过自动化工具或者人工审查的方式，对程序