这个我没记过,但...
未加入『代码审计』知识星球的用户只能查看少量内容,且不能下载附件。 加入『代码审计』知识星球即可查看所有内容。
@Destiny: p神,想问一下,在PHP代码审计中有没有什么方法能动态的调试我当前所访问的页面?也就是能否实现我访问什么功能就动态调试到响应的代码呢?
有。安装xdebug以后,就可...
@路人甲: p神,想跟你提个建议,如果觉得建议不成熟,可以无视^_^ 总是看你们在圈子里讨论某个技术细节,但是说实话,我,包括很多圈子里的人,我估计都是看不懂的,要想提高圈子整体的水平,还是多发一些小众cms的整体审计思路文章,并给出思考过程,这样,我们就可以一步一步跟着大神的思路,去实践,去练习,练习的次数多了,也会对代码审计有更多的感悟
这个现象很...
@S4b0r: 黑盒测试出一个执行代码漏洞,ger参数:phpinfo() 可以直接回显。eval($_POST[xxx] ) 无效 linux系统不存在安全狗 抓包看了下http 没有显示aliyun jiasule 之类的值。个人猜测应该没有waf 应该是函数执行过滤了什么。 如何突破,各位表哥。
遇到这种情况,最好的就是一点点排除,看WAF究竟拦截的什么关键字。我会先?e=eval,如果不拦截我...
@下辈子想做头猪: 请问joomla的phpmailer远程命令执行您有重现过吗?Security Announcements
@wonderkun: phithon师父,我有个东西不明白:
$_GET[a]($_POST[b])
当传入a=assert 就是后门
当a=eval就是报错说eval不是函数。
难道eval真不是函数,是一个语句,像echo一样?
...