PHP代码审计汇总.pptxVIP

;目 录;什么是代码审计？ 由具备丰富的编码经验并对安全编码及应用安全具有很深刻理解的安全服务人员，根据一定的编码规范和标准，针对应用程序源代码，从结构、脆弱性以及缺陷等方面进行审查，最终输出代码审计报告，完善应用程序，提升自身安全水平 怎么做代码审计？（从发现安全漏洞维度出发） 具备哪些知识点 （运行环境搭建、熟悉开发语言、各类函数应用） 了解常用漏洞产生成因 （SQL、xss、上传漏洞、LFI、代码执行、CSRF等等） 漏洞调试 （断点输出、变量跟踪、漏洞关键函数） 高级应用漏洞（奇技淫巧应用：二次注入、截断注入、条件竞争、二次攻击、黑白盒fuzz等) Poc编写（数据包构造、语言类型） ;代码审计带来的好处？ 发现更多“隐蔽”的安全漏洞 企业合规性要求 提升企业整体安全水平 提升企业安全开发编码规范 ;目 录; ; ; ; ; ;Xss Discuz!7.X系列一处问题可导致反射型XSS /bugs/wooyun-2010-084097 THINKSNS某功能高危跨站 /bugs/wooyun-2012-013686 dedecms某处XSS打后台 /bugs/wooyun-2014-072397 SQL注入 DedeCMS最新版前台SQL注射