糖小喵

最近通达OA爆出来了好多洞，看看最近的任意伪造用户登录审计和复现吧。poc及环境：链接：https://pan.baidu.com/s/12XUjY3bKJVQrZlBEZAwnzA提取码：1u7z复制这段内容后打开百度网盘手机App，操作更方便哦安装好出现登录界面漏洞点出现在logincheck_code.php中 这个可以对照补丁前后而知...

xss关于XSS的代码审计主要就是从接收参数的地方和一些关键词入手。PHP中常见的接收参数的方式有$_GET、$_POST、$_REQUEST等等，可以搜索所有接收参数的地方。然后对接收到的数据进行跟踪，看看有没有输出到页面中，然后看输出到页面中的数据是否进行了过滤和html编码等处理。也可以搜索类似echo这样的输出语句，跟踪输出的变量是从哪里来的，我们是否能控制，如果从数据库中取的...

ThinkPHP简介ThinkPHP 是一个免费开源的，快速、简单的面向对象的 轻量级PHP开发框架 ，创立于2006年初，遵循Apache2开源协议发布，是为了敏捷WEB应用开发和简化企业应用开发而诞生的。ThinkPHP从诞生以来一直秉承简洁实用的设计原则，在保持出色的性能和至简的代码的同时，也注重易用性。并且拥有众多的原创功能和特性，在社区团队的积极参与下，在易用性、扩展性和性能方...

代码审计，顾名思义就是检查源代码中的安全缺陷。通过自动化工具或着人工审查的方式，对程序源代码逐条进行检查和分析，发现源码缺陷引发的安全漏洞，需要提供代码修订措施和修复建议。以下为php代码审计的一般方法：1。逐条读代码 2。敏感函数回溯(使用工具审计)3。定向功能分析下面进行逐一介绍：1。 逐条读代码：通过对整个项目的代码进行阅读，从而发现问题，这种方法是最全面的，但也...

Windows下搭建环境：在计算机E:(根据自身计算机情况)盘下创建Wamp目录分别将Apache、PHP、MySQL等环境解压到Wamp目录下并创建WWW目录进入Apache中的conf目录中修改httpd.conf中的以下变量值 Apache根目录 未被占用的端口号 添加站点根目录变量 添加索引文件值终端控制台进入到Apache bin目录执...