swallow代码审计

Go代码审计学习（二）

文章目录环境搭建漏洞一：代码逻辑错误、没有做有效的鉴权漏洞二：目录穿越、任意文件读取漏洞三：条件竞争漏洞四：钩子函数执行命令参考链接环境搭建Gitea是从gogs衍生出的一个开源项目，是一个类似于Github、Gitlab的多用户Git仓库管理平台。1.4.0版本中有一处逻辑错误，导致未授权用户可以目录穿越、读写文件、最终导致执行命令。访问127.0.0.1：3000添加管理员的账号密码，其他选项
paidx0·2022-12-18 11:36

C#代码审计实战+前置知识

C#了解菜鸟教程：https://www.runoob.com/csharp/csharp-intro.htmlC#基于C和C++编程语言，是一个简单的、现代的、通用的、面向对象的编程语言，它是由微软（Microsoft）开发的，由Ecma和ISO核准认可的。C#是由AndersHejlsberg和他的团队在.Net框架开发期间开发的。C#是专为公共语言基础结构（CLI）设计的。CLI由可执行代码
鲨鱼饿死了·2022-12-18 11:35

【PHP代码审计】TP框架初次了解学习

文章目录TP框架介绍TP框架审计要点TP框架文件目录TP框架入口目录TP框架路由写法TP框架调试模式TP框架介绍ThinkPHP是为了简化企业级应用开发和敏捷WEB应用开发而诞生的。最早诞生于2006年初，2007年元旦正式更名为ThinkPHP，并且遵循Apache2开源协议发布。ThinkPHP从诞生以来一直秉承简洁实用的设计原则，在保持出色的性能和至简的代码的同时，也注重易用性。并且拥有众多
HanQi丶·2022-12-18 11:05

java代码审计--之--常用框架了解

框架框架：软件的半成品，为解决问题而指定的一套约束，在提供功能基础上进行扩充。框架中一些不能被封装的代码（变量），需要新建xml文件，在文件中添加变量内容。类库：没有封装逻辑MyBatis环境搭建导入jarCglib依赖的包动态代理包日志包MyBatis核心包驱动全局配置文件在src下新建全局配置文件(编写JDBC四个变量)引入DTD或schema实体类名+Mapper.xml编写需要执行的SQL
鲨鱼饿死了·2022-12-18 11:35

go post 参数_Go语言代码安全审计分享

由于Go语言代码审计资料较少，这里就把最近学习的对Vulnerability-goapp项目的审计过程分享一下。
weixin_39876145·2022-12-18 11:34

CodeQL 代码审计平台学习笔记

CodeQL是一款代码审计分析平台，它将Python、Go、JavaScript等语言解析生成语法树并存储到数据库中，之后通过QL语法进行代码审查与筛选。
vspiders·2022-12-18 11:04

Go代码审计学习笔记

Go代码审计免责声明本文档仅供学习和研究使用,请勿使用文中的技术源码用于非法用途,任何人造成的任何负面影响,与本人无关.环境搭建推荐goland配置远程debug调试,参考笔记goland远程调试相关工具
C-haidragon·2022-12-18 11:33

PHP代码审计18—PHP代码审计小结

文章目录一、前期准备1、工具准备2、审计环境准备二、了解系统架构1、使用了开发框架1)ThinkPHP框架2)laravel框架2、没使用开发框架三、参数过滤分析1、MVC模式下的过滤情况分析2、原生PHP模式下的过滤分析四、常见漏洞审计方法总结1、SQL注入2、XSS漏洞3、代码执行4、文件上传、删除、下载1)文件上传漏洞2）文件删除漏洞3）文件下载漏洞5、XXE漏洞6、SSRF漏洞五、相关审计
W0ngk·2022-12-18 11:03

代码审计之csrf,ssrf

目录CSRF(Cross-siterequestforgery)跨站请求伪造csrf原理：CSRF流程图CSRF漏洞的利用CSRF修复建议SSRF(服务器端请求伪造)原理类型：危害寻找SSRF漏洞：二:从URL关键字中寻找SSRF的绕过验证SSRF漏洞利用SSRF漏洞修复建议:CSRF(Cross-siterequestforgery)跨站请求伪造csrf原理：攻击者盗用了你的身份，以你的名义向第
willowpy·2022-12-18 11:33

phpmvc框架开发入门-代码审计基础学习

第一阶段定义核心类定义单入口，创建所需要的文件夹。在KUAIXUEPHP下创建index.php里面载入单入口定义核心类KUAIXUEPHP.php1.设置常量2.创建目录3.载入必须的文件4.执行应用类设置index.php和admin.php两个不同的模式，用户和管理员admin.php';print_r($arr);echo'';通过加载文件来执行函数，利用框架的扩展性。初始化框架准备之C函
jing！·2022-12-18 11:32

如何让代码审计更快速？

以前安服仔只要测试一些系统，而如今，不仅打的了攻防，做得了代码审计，还得能写出一手好的ppt，更要会测试各种系统。而money还是那个money，内卷只会提高技术水平。
墨菲安全·2022-12-18 11:02

【安全工具】浅谈编写Java代码审计工具

介绍笔者是大四学生，初涉安全的萌新，如果文章有错误之处还请大佬指出！最初考虑采用纯正则等方式匹配，但这种方式过于严格，程序员编写的代码有各种可能的组合于是尝试自行实现Java词法分析和语法分析，稍作尝试后发现这不现实，一方面涉及到编译原理的一些算法，另外相比C语言等，Java语言本身较复杂，不是短时间能搞定的，深入研究编译原理背离了做审计工具的目的后来找到了几种解决方案：Antlr,JavaCC,
IT老涵·2022-12-18 11:01

Go代码审计学习（一）

/profile/edit/upload/post/timeline/timeline/searchpost/adminconfirm/adminlogin/adminusersCSRF网上有关Go的代码审计好少哇
paidx0·2022-12-18 11:30

php代码审计系列教程,Virink主讲的PHP代码审计实战视频课程

1.1、检查数据是否可用接口开发检查数据是否可用作为注册功能的辅助。1.1.1、功能分析请求的url：/user/check/{param}/{type}参数：从url中取参数响应的数据：json数据。TaotaoResult，封装的数据校验的结果为true：表示成功，数据可用，false：失败，数据不可用。业务逻辑：1.1.2、Dao1.1.3、Service先在taotao-sso-inter
君小竹·2022-12-17 18:23

代码审计系列篇一之代码审计学习思路

学习代码审计要熟悉三种技术,分四部分走一：编程语言1：前端语言html/javascript/dom元素使用主要是为了挖掘xss漏洞jquery主要写一些涉及到CSRF脚本使用的或者DOM型XSS,JSON
热爱、学习·2022-12-17 18:53

ctf 图片 php_PHP代码审计之CTF系列(1)

PHP代码审计之CTF系列(1)采用githubyaofeifly师傅的PHP练习。每个内容均采用docker。
象外·2022-12-17 18:22

php代码审计系列教程,PHP代码审计工具——Rips详细使用教程

一、代码审计工具介绍代码审计工具可以辅助我们进行白盒测试，大大提高漏洞分析和代码挖掘的效率。在源代码的静态安全审计中，使用自动化工具辅助人工漏洞挖掘，一款好的代码审计软件，可以显著提高审计工作的效率。
阿卜罗·2022-12-17 18:22

暗月php代码审计系列教程,暗月PHP代码审计教程

replyreload+=\’,\’+93193;这是一部关于PHP代码审计的课程，学习挖掘漏洞，适合有一定PHP基础的WEB安全爱好者学习。
啊哒小吴13777670590·2022-12-17 18:22

代码安全审计之道

代码安全审计之道代码审计是每个安全研究员都应该掌握的技能。但是网上对于代码审计的介绍文章却比较匮乏。
有价值炮灰·2022-12-17 18:52

暗月php代码审计系列教程,0day漏洞挖掘之暗月PHP代码审计_IT教程网

第01节-PHP审计环境、审计工具、审计平台介绍与安装第02节-代码审计中常用代码调试函数与注释第03节-代码审计涉及到的超全局变量第04节-代码审计命令注入第05节-代码执行注入第06节-XSS反射型漏洞第
温卡龙·2022-12-17 18:52

mvc php 代码审计,代码审计从入门到放弃系列篇一之代码审计学习思路

学习代码审计要熟悉三种技术,分四部分走一：编程语言1：前端语言html/javascript/dom元素使用主要是为了挖掘xss漏洞jquery主要写一些涉及到CSRF脚本使用的或者DOM型XSS,JSON
dfnmigc·2022-12-17 18:52

PHP代码审计系列(一) 基础：方法、思路、流程

工具Fotify|代码审计静态扫描工具，商业化静态代码扫描工具，误报率相对较低。seay|源代码审计工具PHPStorm|是PHP编程语言开发的集成环境。
st3pby·2022-12-17 18:22

PHP代码层,PHP代码审计基础-初级篇

对于php代码审计我也是从0开始学的，对学习过程进行整理输出沉淀如有不足欢迎提出共勉。
小婷哥·2022-12-17 18:22

php代码审计系列教程,Virink主讲的PHP代码审计实战视频课程 PHP代码安全检测教程 共15课...

C:\wwwroot\xuebawang.net\public\index.php(0.76KB)C:\wwwroot\xuebawang.net\thinkphp\start.php(0.74KB)C:\wwwroot\xuebawang.net\thinkphp\base.php(2.66KB)C:\wwwroot\xuebawang.net\thinkphp\library\think\Lo
一悦·2022-12-17 18:22

PHP代码审计9—代码执行漏洞

文章目录一、代码执行漏洞基础1、漏洞原理与种类2、漏洞检测3、常见防御方法二、Drupal远程代码执行漏洞分析1、系统架构分析2、简单漏洞分析2、漏洞复现三、帝国CMS代码执行漏洞分析1、漏洞分析2、漏洞利用四、参考资料一、代码执行漏洞基础1、漏洞原理与种类漏洞原理：代码执行漏洞的原理其实也相对简单，就是因为我们传入的数据被当做了代码来执行。这往往是由于开发人员没有很好的控制用户输入的内容所导致的
W0ngk·2022-12-17 18:21

PHP代码审计系列（二)

PHP代码审计系列（二）本系列将收集多个PHP代码安全审计项目从易到难，并加入个人详细的源码解读。此系列将进行持续更新。strcmp比较字符串源码如下0；如果两者相等，返回0。
tpaer·2022-12-17 18:51

PHP代码审计系列（三)

PHP代码审计系列（三）本系列将收集多个PHP代码安全审计项目从易到难，并加入个人详细的源码解读。此系列将进行持续更新。
tpaer·2022-12-17 18:51

【代码审计】—PHP

工具seay源代码审计系统phpstudy——搭建环境前言//原文：【小迪安全】Day50代码审计-PHP无框架项目SQL注入挖掘-哔哩哔哩点击进入查看全文>https://www.bilibili.com
haoaaao·2022-12-17 18:20

总结下ThinkPHP的代码审计方法

简介ThinkPHP是国内著名的php开发框架，基于MVC模式，最早诞生于2006年初，原名FCS，2007年元旦正式更名为ThinkPHP。本文主要分析ThinkPHPv3的程序代码，通过对ThinkPHPv3的结构分析、底层代码分析、经典历史漏洞复现分析等，学习如何审计MVC模式的程序代码，复现ThinkPHPv3的系列漏洞，总结经验，以后遇到ThinkPHPv3的代码能够独立审计，抓住重点。
kali_Ma·2022-12-17 18:20

PHP代码审计系列（一）

PHP代码审计系列（一）本系列将收集多个PHP代码安全审计项目从易到难，并加入个人详细的源码解读。此系列将进行持续更新。
tpaer·2022-12-17 18:20

PHP代码审计系列（四）

PHP代码审计系列（四）本系列将收集多个PHP代码安全审计项目从易到难，并加入个人详细的源码解读。此系列将进行持续更新。
tpaer·2022-12-17 18:50

PHP代码审计（四）

第4章漏洞挖掘与防范4.1SQL注入漏洞4.1.1挖掘经验4.1.1.1普通注入4.1.1.2编码注入4.1.1.3espcms搜索注入4.1.2漏洞防范4.1.2.1gpc/runtime魔术引号4.1.2.2过滤函数和类4.1.2.3PDO预编译4.2XSS漏洞4.2.1挖掘经验4.2.1.1反射型XSS4.2.1.2存储型XSS4.2.1.3骑士cms存储型XSS4.2.2漏洞防范4.2.2
YUKIDDDD·2022-12-17 18:50

蜻蜓：GitLab结合fortify实现自动化代码审计实践

一、背景在甲方做安全的同学可能会有一项代码审计的工作，通常需要从gitlab把代码拉取下来，然后使用代码审计工具进行扫描，然后对结果进行人工确认；在这个流程中需要做的事情比较繁琐，比如说gitlab如何配置
·2022-12-14 16:48

白盒代码审计工具——CodeQL的安装与使用学习【持续更新】

CodeQL安装与使用学习该文章参考以下文章，总结提炼而成：CodeQL从入门到放弃白盒审计工具codeql的安装（踩坑）CodeQL基础知识PS：（有待更新linux平台的CodeQL安装扫描板块）CodeQL简介Github为了解决其托管的海量项目的安全性问题，收购了CodeQL的创业公司，并宣布开源CodeQL的规则部分，这样全世界的安全工程师就可以贡献高效的QL审计规则给Github，帮助
mainnnnn·2022-12-12 00:13

垂直越权漏洞的修复

（一）越权以及垂直越权越权访问漏洞指应用在检查授权时存在纰漏，使得攻击者在获得低权限用户账户后，可以利用一些方式绕过权限检查，访问或者操作到原本无权访问的高权限功能，在实际的代码审计中，这种漏洞往往很难通过工具进行自动化监测
邓不利东·2022-12-09 13:36

PHP代码审计入门篇

前言官方文档：php.netphp官方文档是非常详情，好用的，在遇到不清楚作用的函数时可以进行查询白盒测试做代码审计最主要的知识是要去了解一个漏洞应该有哪些防御方式，因为大部分的漏洞都是因为修复没有做的全面
FreeBuf_·2022-12-07 02:34

CTFshow 代码审计

目录CTFshow代码审计web301-sql注入web302-sql注入+web303-弱口令+sql注入web304-同上web305-反序列化web306-mvcweb307-mvc+web308
Sn_u·2022-12-07 00:05

java运行环境配置

intellijidea踩坑指南最近搞php审计搞得有些多了，所以打算尝试一下java来尝尝鲜，然后下载了一个jeecms打算搭一个网站，发现总是各种出错，而且光是搭建好也不太行，总得代码审计吧？
二哈它爸·2022-12-06 14:51

phpbugs代码审计第三题多重加密答案错误

phpbugs多重加密这题官方给的答案是错的，网上给的也是错的，麻烦别直接拿给的答案来抄好吗？就想纠正一下别误导别人了源码如下:where)){$this->select($this->where);}}functionselect($where){$sql=mysql_query('select*fromuserwhere'.$where);//函数执行一条MySQL查询。return@mysq
tpaer·2022-12-04 07:42

Java代码审计——URL 跳转漏洞

目录（一）URL跳转漏洞简介（二）URL重定向1．通过ModelAndView方式2．通过返回String方式3．使用sendRedirect方式4．使用RedirectAttributes方式5．通过设置Header来进行跳转（三）URL跳转漏洞审计（四）修复小结（一）URL跳转漏洞简介URL跳转漏洞也叫作URL重定向漏洞，由于服务端未对传入的跳转地址进行检查和控制，从而导致攻击者可以构造任意一
jinyouxin·2022-12-02 14:46

代码审计-2 SQL注入

代码审计之SQL注入审计流程ThinkPHP框架ThinkPHP的路由PbootCMSPbootCMS留言处存在SQL注入代码分析ThinkPHP框架ThinkPHP是一个快速、兼容而且简单的轻量级国产
深白色耳机·2022-12-01 14:24

php代码审计

前言官方文档：php.netphp官方文档是非常详情，好用的，在遇到不清楚作用的函数时可以进行查询白盒测试做代码审计最主要的知识是要去了解一个漏洞应该有哪些防御方式，因为大部分的漏洞都是因为修复没有做的全面
·2022-11-30 06:53

逻辑漏洞挖掘

这类漏洞不同于常见WEB漏洞，常见WEB漏洞都可以总结为一定的范式，而逻辑漏洞不行逻辑漏洞出现的原因也是有很多种，需要有一定个人经验积累才能在代码审计过程中发现此类漏洞挖掘思路
sinat_40572875·2022-11-29 17:14

防供应链攻击和物理攻击方法

攻击者采取信息整合，如代码审计、社工、维护账号登录等各种手段攻击目标系统。供应商的安全防护问题主要有以下几个。
m0_73803866·2022-11-28 15:03

Java代码审计基础——RMI原理和反序列化利用链

目录（一）何为RMI（二）、RMI的模式与交互过程0x01设计模式0x02交互过程0x03Stub和Skeleton（三）简单的RMIDemo1、Server2、Registry3、Client补充——动态类加载机制几个函数(四）RMI通信机制0x01、客户端与注册中心（1099端口）建立通讯0x02、客户端新起一个端口与服务端建立TCP通讯0x03客户端与注册中心（1099端口）通讯0x04客户
jinyouxin·2022-11-28 12:50

【代码审计-PHP】审计方法、敏感函数、功能点

目录一、软件分析二、手动分析方法一：静态分析方法二：动态分析一、软件分析seay自动代码审计数据库监控脚本二、手动分析方法一：静态分析第一步：危险函数第二步：函数的判断语句分析第三步：函数值的传递过程第四步
黑色地带(崛起)·2022-11-26 19:26

Java代码审计手册（2）

此文为转载翻译文章（可能会出现错误）目录潜在的XPath注入（XPATH_INJECTION）找到Struts1端点（STRUTS1_ENDPOINT）找到Struts2端点（STRUTS2_ENDPOINT）找到了Spring端点（SPRING_ENDPOINT）禁用SpringCSRF保护（SPRING_CSRF_PROTECTION_DISABLED）SpringCSRF无限制请求映射（SP
隐秘且伟大·2022-11-24 00:32

【推荐】网络安全学习路线和资料分享

测试，细分下来，又有渗透（也就是所谓的web），逆向（也就是所谓的二进制，主要是代码审计方面的内容），pwn，安卓/ios攻防，黑/灰产研究等，集大成者为APT攻防。
没更新就是没更新·2022-11-23 16:09

0基础入门，大年龄转行做网安到底行不行？

网络安全是一个很大的概念，包含的东西也很多，比如web安全，系统安全，二进制安全，无线安全、数据安全、移动安全、工控安全、渗透测试，ctf，售前售后，运维安全，样本分析、代码审计、密码算法、等保测评等等等等等等
没更新就是没更新·2022-11-23 16:39

代码审计工具之Fortify安装以及初步使用

目录1FortifyFortify工具介绍1FortifyFortify工具介绍FortifySCA是一个静态的、白盒的软件源代码安全测试工具。它通过内置的五大主要分析引擎：数据流、语义、结构、控制流、配置流等对应用软件的源代码进行静态的分析，分析的过程中与它特有的软件安全漏洞规则集进行全面地匹配、查找，从而将源代码中存在的安全漏洞扫描出来，并给予整理报告。安全编码规则中的规则分析受支持语言的核心
JF_Adm0616·2022-11-23 11:24
上一页 14 15 16 17 18 19 20 21 下一页
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他