.NET高级代码审计（第一课）XmlSerializer反序列化漏洞
0X00 前言 在.NET 框架中的 XmlSerializer 类是一种很棒的工具，它是将高度结构化的 XML 数据映射为 .NET 对象。XmlSerializer类在程序中通过单个 API 调用来执行 XML 文档和对象之间的转换。转换的映射规则在 .NET 类中通过元数据属性来表示，如果程序 ...
程序员文章站2023-02-24代码分享：用Python编写的多协议弱密码审计工具集
代码分享：用Python编写的多协议弱密码审计工具集。前几天与大家分享了我自己用C++实现的用于企业内部环境的ssh弱密码审计工具。在实际的工作中，我们还需要对多种常见的协议定期进行弱密码
程序员文章站2022-09-17网络运营渗透测试 网站代码审计等基础方法篇
这几天整理了下网站渗透测试中基础部分的第三节,我们SINE安全渗透工程师对代码安全审计,手工渗透测试检查代码的危险漏洞方法,找出安全问题重点,配合工具扫描来达到测试漏洞的目的,本测试重点仅限于客户授权才能操作,切记忽非法尝试入侵！以下方法只是提供网站安全检测的具体参考意见。
程序员文章站2022-07-18.NET高级代码审计（第四课） JavaScriptSerializer反序列化漏洞
0X00 前言 在.NET处理 Ajax应用的时候，通常序列化功能由JavaScriptSerializer类提供，它是.NET2.0之后内部实现的序列化功能的类，位于命名空间System.Web.Script.Serialization、通过System.Web.Extensions引用，让开发者 ...
程序员文章站2022-07-11IT编程.NET高级代码审计（第二课） Json.Net反序列化漏洞
0X00 前言 Newtonsoft.Json，这是一个开源的Json.Net库，官方地址：https://www.newtonsoft.com/json ，一个读写Json效率非常高的.Net库，在做开发的时候，很多数据交换都是以json格式传输的。而使用Json的时候，开发者很多时候会涉及到几个 ...
程序员文章站2022-07-10IT编程CTF-Web14（涉及PHP代码审计——不走寻常路的绕过）
14.程序逻辑问题 分析：查看源代码：初了解（可略）： 1.mysql_fetch_array() 中可选的第二个参数 result...
程序员文章站2022-07-04自动化代码审计
0x00 前言 大概去年的时候就想写这样一篇文章，最近看到老外写的一个ppt，于是就有了这篇文章，随便看看就好，价值不是很大。 测试一个应用程序是否存在漏洞
程序员文章站2022-07-01基于Spring Data的AuditorAware审计功能的示例代码
spring data提供支持审计功能：即由谁在什么时候创建或修改实体。spring data提供了在实体类的属性上增加@createdby，@lastmodifiedby
程序员文章站2022-06-30php代码审计比较有意思的例子
代码审计比较有意思的例子貌似是去年 ecshop支付漏洞偶然出来的一个例子，感觉不错。分享下 复制代码 代码如下:
程序员文章站2022-06-30IT编程.NET高级代码审计（第三课）Fastjson反序列化漏洞
0X00 前言 Java中的Fastjson曾经爆出了多个反序列化漏洞和Bypass版本，而在.Net领域也有一个Fastjson的库，作者官宣这是一个读写Json效率最高的的.Net 组件，使用内置方法JSON.ToJSON可以快速序列化.Net对象。让你轻松实现.Net中所有类型(对象,基本数据 ...
程序员文章站2022-06-28IT编程PHPCheckstyle代码审计与Subversion钩子脚本
PHP代码审计方面的软件越来越多了，PHPCheckstyle算是最近比较活跃的一个。通过SVN钩子脚本的方式来调用PHPCheckstyle，可以强制代码必须符合预先设定的编码标准（比如PE
程序员文章站2022-06-28Cobra - 代码安全审计系统
为什么我们需要一款代码审计系统? 公司越来越大，开发人员也越来越多。每个研发人员的安全素质都不一样，虽然在公司核心项目上可以采取 框架层安全防护 ，但各类新项目太多，无法做到每个项目都使用相
程序员文章站2022-06-28打造自己的php半自动化代码审计工具
0x00 PHP扩展进行代码分析（动态分析） 一.基础环境 #!bashapt-get install php5apt-get install php5-devapt-get install apacheapt-get install mysql 二.使用PHPTracert ...
程序员文章站2022-06-15审计署关于内部审计工作的规定 代码审计系列第一节
程序员文章站2022-06-14浅谈PHP自动化代码审计技术，浅谈php自动化审计
浅谈PHP自动化代码审计技术，浅谈php自动化审计原文出处： exploit 欢迎分享原创到伯乐头条0×00 由于博客实在没什么可以更新的了，我就把目前做的事情总结一下，当做一篇博客，主要是谈一谈项目中所运用的一些技术。目前市面上有不少PHP的自动化审计工具，开源的有RIPS、Pixy，商业版本...
程序员文章站2022-06-12PHP代码审计基础-初级篇
对于php代码审计我也是从0开始学的，对学习过程进行整理输出沉淀如有不足欢迎提出共勉。对学习能力有较高要求，整个系列主要是在工作中快速精通php代码审计，整个学习周期5天 ，建议花一天时间熟悉php语法。 我是直接phpstudy2019一键搭建小白首选 所谓工欲善其事必先利其器，找一款适合自己的p ...
程序员文章站2022-06-11【PHP代码审计】那些年我们一起挖掘SQL注入-8.全局防护盲点的总结下篇
0x01 背景 现在的WEB应用对SQL注入的防护基本都是判断GPC是否开启，然后使用addlashes函数对单引号等特殊字符进行转义。但仅仅使用这样的防护是存在很多盲点的，接上篇 http://www.waitalone.cn/php-code-audit-6.html ，这里介绍另外两种...
程序员文章站2022-06-10代码审计-php命令执行
作者：小刚一位苦于信息安全的萌新小白帽，记得关注给个赞，谢谢本实验仅用于信息防御教学，切勿用于其它用途php命令执行前言返回执行结果无返回执行结果命令执行小技巧1.在命令执行过程中，我们会遇到空格被删除或者替换的情况2.在命令执行过程中，我们会进行多条命令执行防范措施前言近期在学习php的代码审计，...
程序员文章站2022-06-09【PHP代码审计】那些年我们一起挖掘SQL注入-7.全局防护盲点的总结下篇
0x01 背景 现在的WEB应用对SQL注入的防护基本都是判断GPC是否开启，然后使用addlashes函数对单引号等特殊字符进行转义。但仅仅使用这样的防护是存在很多盲点的，接上篇http://www.cnbraid.com/2016/04/29/sql5/，这里介绍另外两种情况。 盲点...
程序员文章站2022-06-03经验分享：如何用grep对PHP进行代码审计
这是一个常见的误解— 企业需要购买复杂和昂贵的软件来发现应用程序中安全漏洞；而这些专门的软件应用程序，无论是黑盒或白盒，开源或商业，都能很快的发现安全漏洞。 事实是：所有这些专业的漏洞扫描工具都有其特定的优势和劣势。有些可能是 ASP 为中心的，而其他工具更倾向于 PHP 。开发团队可能会因...
程序员文章站2022-06-02