weixin_53884648的博客

学习前人审计思路逐步锻炼php审计能力。源码放入phpstudy中配置好网站访问/install进行安装。整体只是找了部分，比如sql注入和xss还有好几处，感觉对于代码这块真是很没有耐心去看。但通过对别人复现的还是自己理解的，多练习，学习，应该能学点东西吧。加油！！！

在代码审计中有很多关于代码执行的函数，需要对上面的函数有一定的了解和印象，在实际中再次遇到上述函数时可以马上想起该函数和代码执行或者RCE有关，然后在进一步分析传入的参数是否可控,从而才有可能找到该漏洞。首先要对函数有一定的了解，自己尝试手动敲代码，让自己对这些函数加深一些印象。

在PHP中还有很多函数可以造成命令执行，但在代码审计中常见的命令执行危险函数已经给大家列出，PHP代码审计中只要多留意这些函数且该函数的参数是可以被我们所控制，这是命令执行漏洞存在的关键。其实命令执行和代码执行都是一样的，命令执行可以通过调用代码执行的函数实现代码执行，代码执行也可以通过调用命令执行的函数来实现命令执行。

（内容用于学习审计相关知识！！）用于学习java代码审计。

描述：在做一个产品安全测试时，最想的就是尽可能的找出所有的问题，不让产品带着问题发布，尽管目前在国家的倡导下站点都要进行相关的安全产品的部署，但产品本身存在问题，就会给攻击者攻击降低了门槛，除了开发产品种代码引起的安全问题，我们还要关注各种组件安全问题，在公布相关问题后及时更新官方版本。最后代码审计还是需要耐心的去看参数的引用情况，这方面还要共勉进行学习。整体文章应该还要加入一个漏扫工具使用和漏洞验证的。这里就不进行漏扫了。

xhcms内容管理系统的渗透测试和代码审计学习

学习审计开源的CMS来练习代码审计