代码审计 * sql注入 ** 变量未过滤导致 *** http://www.test404.com/post-811.html - $_SERVER变量未过滤，请求头中X_FORWARDED_FOR,CLIENT_IP,HTTP_HOST,ACCEPT_LANGUAGE - 传入的参数未强制转为i ...
分类：
Web程序 时间：
2017-01-27 23:00:18
阅读次数：
401
addslashed() 添加反斜杠 stripslashed() 去掉反斜杠 get_magic_quotes_gpc() 判断是否开启gpc expode(".",$array) 分割成数组 is_numeric() 判断是否为数字 sizeof() 判断长度 trim() 去处字符串开头和末尾 ...
分类：
其他好文 时间：
2017-01-27 22:15:26
阅读次数：
531
0x00概况说明 0x01报错注入及利用 环境说明 kali LAMP 0x0a 核心代码 现在注入的主要原因是程序员在写sql语句的时候还是通过最原始的语句拼接来完成，另外SQL语句有Select、Insert、Update和Delete四种类型，注入也是对这四种基本操作的拼接产生的。接下来笔者将 ...
分类：
数据库 时间：
2017-01-26 14:48:02
阅读次数：
629
概述 输入验证和输出显示 3 2.1 命令注入 4 2.2 跨站脚本 4 2.3 文件包含 5 2.4 代码注入 5 2.5 SQL注入 6 2.6 XPath注入 6 2.7 HTTP响应拆分 6 2.8 文件管理 6 2.9 文件上传 7 2.10 变量覆盖 7 2.11 动态函数 7 会话安全 ...
分类：
Web程序 时间：
2017-01-20 20:40:18
阅读次数：
527
刚开始接触代码审计，写点基本功，分享下新手心得。下面是测试的代码，也有注释本地搭建暗转wamp，能支持PHP文件的加载，然后用NOTEPAD++编写，就可以运行最后比较的输出结果 ...
分类：
其他好文 时间：
2017-01-17 16:57:56
阅读次数：
206
作者：坏蛋链接：https://zhuanlan.zhihu.com/p/24472674来源：知乎著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。 一、前言 php代码审计如字面意思，对php源代码进行审查，理解代码的逻辑，发现其中的安全漏洞。如审计代码中是否存在sql注入，则 ...
分类：
Web程序 时间：
2017-01-01 21:43:12
阅读次数：
272
开篇我要说下,在《代码审计：企业级Web代码安全架构》这本书中讲十种MYSQL显错注入,讲的很清楚。 感兴趣请去读完,若处于某种原因没读还想了解,那请继续往下。 1、count,rand,floor 函数解释： count：是用来统计表中或数组中记录的一个函数。 rand：调用可以在0和1之间产生一 ...
分类：
数据库 时间：
2017-01-01 18:11:31
阅读次数：
562
进攻即是最好的防御，这句话同样适用于信息安全的世界。这里罗列了19个合法的来练习黑客技术的网站，不管你是一名开发人员、安全工程师、代码审计师、渗透测试人员，通过不断的练习才能让你成为一个优秀安全研究人员。以下网站希望能给各位安全小伙伴带来帮助！若有其他的补充和推荐，欢迎给小编留言（排名不分先后） 国 ...
分类：
Web程序 时间：
2016-12-29 16:49:01
阅读次数：
228
作者：索马里的海贼 来源：ichunqiu 本文属i春秋原创奖励计划，未经许可禁止转载！ 前言 前些日子测试漏洞碰上了安全狗，一直做代码审计没什么实战经验 被虐的不要不要的。找了一些网上的方法，基本上封的封有限制的有限制，没什么通用的好方法（当然也可能是我找的姿势不对）。昨天有点时间就特地看了下安全 ...
分类：
其他好文 时间：
2016-12-23 11:45:15
阅读次数：
375
一、前言 php代码审计如字面意思，对php源代码进行审查，理解代码的逻辑，发现其中的安全漏洞。如审计代码中是否存在sql注入，则检查代码中sql语句到数据库的传输 和调用过程。 入门php代码审计实际并无什么门槛要求，只需要理解基础的php语法规则，以及理解各种类型漏洞的出现原因则可以开始尝试审计 ...
分类：
Web程序 时间：
2016-12-21 16:25:59
阅读次数：
252
