用户
搜索
  • TA的每日心情
    郁闷
    8 小时前
  • 签到天数: 223 天

    连续签到: 2 天

    [LV.7]常住居民III

    管理员

    Security Personnel

    Rank: 9Rank: 9Rank: 9

    146

    主题

    1298

    帖子

    4671

    魔法币
    收听
    0
    粉丝
    76
    注册时间
    2015-11-4

    幽默灌水王突出贡献专家顾问团春秋巡逻热心助人奖

    zusheng 管理员 Security Personnel 幽默灌水王 突出贡献 专家顾问团 春秋巡逻 热心助人奖 楼主
    发表于 2016-12-20 11:22:01 1216170
    第二期传送门:i春秋社区第二期技术专题—Python黑客


    一、前言
    php代码审计如字面意思,对php源代码进行审查,理解代码的逻辑,发现其中的安全漏洞。如审计代码中是否存在sql注入,则检查代码中sql语句到数据库的传输 和调用过程。

    入门php代码审计实际并无什么门槛要求,只需要理解基础的php语法规则,以及理解各种类型漏洞的出现原因则可以开始尝试审计php源代码。通常的漏洞演示中sql语句会直接传入php自带的函数传入数据库执行,但在实际的软件项目中,通常以面向对象的思想进行编程,则会涉及各种形式的封装,调用,以及不同风格的框架,在这个条件下,只需要保持耐心跟踪其调用过程即可。

    另外关于代码审计的思路而言,一种是通读代码逐行分析逻辑,另外一种是通过正则快速定位一些问题函数,再反向定位调用过程。这两种方式也对应代码审计的工具主流的实现思路,一种是通过语法分析的过程发现漏洞,另一者是定位问题函数实现。

    不管什么方式,重点还是实战阅读代码,累积经验。

    以上为个人观点,谨慎吸收。

    二、基础知识要求

    PHP语法
    主流漏洞原理

    三、入门阅读 & 参考

    《代码审计入门总结》:http://bbs.ichunqiu.com/thread-8954-1-1.html
    《php手册》:http://php.net/manual/zh/
    《代码审计:企业级Web代码安全架构》:https://read.douban.com/ebook/16642056/

    四、审计实战

    基础系列
    基础系列中的4篇文章基本是通过一些直观的小案例来让人理解从用户的交互到代码的执行这个过程中漏洞是以什么形式存在的,又是如何被利用的,初学者阅读这几篇文章可以让人更加快速的理解代码审计的过程,以及基本的审计思路。

    常见WEB漏洞原理分析及利用方式——SQL注入篇 :
    http://bbs.ichunqiu.com/thread-12694-1-1.html

    常见WEB漏洞代码层原理分析及利用方式——文件操作漏洞篇 :
    http://bbs.ichunqiu.com/thread-13008-1-1.html

    常见WEB漏洞代码层原理分析及利用方式之Php代码执行篇 :
    http://bbs.ichunqiu.com/thread-13465-1-1.html

    高级系列
    高级系列的几篇其实就代码审计的整个大的领域来说并不算高级,但是都有其特色,并且大部分是从真实的软件项目开始讲解,可以让初学者理解实战中可能会遇到的一些问题,以及实战中的思考过程。

    代码审计之绕过后台权限限制,继续sql注入:
    http://bbs.ichunqiu.com/thread-10102-1-1.html

    代码审计之突破路径限制删除文件:
    http://bbs.ichunqiu.com/thread-8979-1-1.html

    代码审计之任意用户密码找回漏洞:
    http://bbs.ichunqiu.com/thread-10497-1-1.html

    代码审计之伪全局机制使用不当导致的致命后果:
    http://bbs.ichunqiu.com/thread-11390-1-1.html

    代码审计之绕过addslashes总结:
    http://bbs.ichunqiu.com/thread-10899-1-1.html

    mel 和 bees系列都是指定了对某个实际软件项目的审计,初学者可以跟随作者的脚步进行挖掘,联系,其他的类型则是一些杂乱的文章。

    Melcms分析集合

    代码审计就该这么来 Mlecms Getshell:
    http://bbs.ichunqiu.com/thread-13703-1-1.html

    代码审计就该这么来2 Mlecms 注入:
    http://bbs.ichunqiu.com/thread-13714-1-1.html

    {代码审计思路} (通读+审计) Mlecms(中危漏洞/不简单):
    http://bbs.ichunqiu.com/thread-11510-1-1.html

    beescms分析集合

    【代码审计初探】beescms v4.0_R SQL:
    http://bbs.ichunqiu.com/thread-12635-1-1.html

    对Beescms SQL注入漏洞的进一步思考:
    http://bbs.ichunqiu.com/thread-13606-1-1.html

    代码审计就该这么来3 beescms getshell:
    http://bbs.ichunqiu.com/thread-13977-1-1.html

    Beecms任意文件删除:
    http://bbs.ichunqiu.com/thread-14540-1-1.html

    其他

    PHP代码审计:Null 字符问题:
    http://bbs.ichunqiu.com/thread-4349-1-1.html

    一个CMS案例实战讲解PHP代码审计入门:
    http://bbs.ichunqiu.com/thread-16775-1-1.html

    PHP代码审计储存XSS形成防御加利用篇:
    http://bbs.ichunqiu.com/thread-10532-1-1.html

    ZZCMS的代码审计:
    http://bbs.ichunqiu.com/thread-14684-1-1.html

    另外要提的一点是,不同语言编写的web应用其实都有相似性,当你熟练了解一门语言的代码审计过程后其实便可以进一步扩展到别的语言。你会发现基本原理是相似的,当然不同还是存在的,比如其中的addslashes和null的文章便是如此,它是php这门语言独有的问题,其他还有的一些差异在这里不细说明。

    五、i春秋课程推荐

    PHP代码审计实战:
    http://www.ichunqiu.com/course/54473

    六、代码审计工具推荐

    RIPS
    它能检查出XSS ,sql注入,敏感信息泄漏,文件包含等常见漏洞;能够采用正则方式扫描代码发现漏洞;也可以采用自定义的语法扫描代码发现问题。

    下载链接:http://rips-scanner.sourceforge.net/

    参考文章
    工具推荐:三款自动化代码审计工具:http://bbs.ichunqiu.com/thread-16776-1-1.html

    七、关联阅读

    Mybatis框架下SQL注入漏洞面面观:
    http://bbs.ichunqiu.com/thread-12574-1-1.html

    如何用grep对PHP进行代码审计:
    http://bbs.ichunqiu.com/thread-16779-1-1.html

    python 安全编码&代码审计:
    http://bbs.ichunqiu.com/thread-16770-1-1.html

    结语
    本帖旨在帮助大家更好更系统的学习代码审计,大家有任何建议望不吝赐教,

    提问福利:
    本帖邀请了几位擅长代码审计的作家坐镇,他们将尽其所能为大家解决一切学习中的困惑,所以大家在本帖里学习的时候有任何疑问都可在本帖内容提出,我们会在24小时内为大家解决!
    分别是以下几位大佬:@索马里的海贼 、@ohlinge 、@情痴 、@傀儡

    下期技术专题调研:
    我们将在这两天确定下周的技术专题,大家有想学习的指定的技术可以留言申请,我们会根据需求来调整策划专题,感谢大家支持啦!







    Hacking the earth
    发表于 2016-12-20 12:39:40
    新手学习的福音啊
    使用道具 举报 回复
    发表于 2016-12-20 14:01:19
    前排围观大佬
    使用道具 举报 回复
    占楼提问贴
    使用道具 举报 回复
    发表于 2016-12-21 12:22:51
    表哥,客气了。。。我是小白,来学习的
    我是一只来自深山里的小僵尸。 --傀儡
    使用道具 举报 回复
    发表于 2016-12-21 13:13:48
    傀儡 发表于 2016-12-21 12:22
    表哥,客气了。。。我是小白,来学习的

    有学到想要的东西吗?不知是否对能力提升有帮助呢?
    使用道具 举报 回复
    发表于 2016-12-21 14:52:39
    整理的很全面,非常感谢
    使用道具 举报 回复
    发表于 2016-12-21 17:52:42
    厉害了
    使用道具 举报 回复
    发表于 2016-12-21 17:58:49
    难怪要回复,这很给力!
    使用道具 举报 回复
    发表于 2016-12-29 15:29:04

    满满的干货,谢谢
    使用道具 举报 回复
    发表于 2016-12-29 20:30:39
    本帖最后由 疾风py 于 2016-12-29 20:33 编辑

    楼主,四,审计实战,基础后面的——文件操作漏洞,2,4是一样的内容,2全一些。
    使用道具 举报 回复
    发表于 2016-12-30 09:14:16
    疾风py 发表于 2016-12-29 20:30
    楼主,四,审计实战,基础后面的——文件操作漏洞,2,4是一样的内容,2全一些。 ...

    感谢提醒,应该是整理的时候忘记删除这个了
    Hacking the earth
    使用道具 举报 回复
    白白 i春秋-白帽高手 i春秋首席鉴黄师----白白 突出贡献 专家顾问团 春秋巡逻 春秋游侠 核心白帽 白帽高手 春秋达人 幽默灌水王
    12#
    发表于 2017-1-1 10:40:26
    嘻嘻嘻   终于有时间了   可以好好在论坛  get点知识了
    跟着小白走钻戒戴满手,只要鹏鹏在世界充满爱
    I春秋网络基本功、网络分析交流QQ群: 133837215
    使用道具 举报 回复
    发新帖
    您需要登录后才可以回帖 登录 | 立即注册