前言Javascript (.js) 文件一般存储的是客户端代码，Javascript 文件可帮助网站执行某些功能，例如监视单击某个按钮的时间，或者当用户将鼠标移到图像上，甚至代表用户发出请求（例如检索信息）时。有时开发人员可以混淆他们的 javascript 代码，使人无法正常阅读，但是大多数类型的混淆是可以反混淆的;如果你是一个漏洞赏金猎人，你应该花一些时间从中寻找宝藏。如果运气好,可能会发现
转载
2023-10-19 13:00:45
14阅读
一.源代码审计系统 1.获得源码：大多数PHP程序都是开源的，找到官网下载最新的源码包。 2.安装网站：在本地搭建网站，一边审计，一边调试，实时跟踪各种动态变化。 3.网站结构：网站结构：浏览源码文件夹，了解该程序大致目录。入口文件：index.php、admin.php等文件一般是整个程序的入口，详细读一下index文件可以知道程序的架构，运行流程、包含哪些配置文件，包含哪些过滤文件以及包含哪些
转载
2023-09-01 08:14:42
34阅读
目录
1 JavaScript页面类I. 代码实现1.1 原生DOM API的安全操作1.2 流行框架/库的安全操作1.3 页面重定向1.4 JSON解析/动态执行1.5 跨域通讯II. 配置&环境2.1 敏感/配置信息2.2 第三方组件/资源2.3 纵深安全防护2 Node.js后台类I. 代码实现1.1 输入验证1.2 执行命令1.3 文件操
转载
2023-10-23 10:46:39
114阅读
# 如何实现一个 JavaScript 代码审计工具
作为一名刚入行的小白，你可能对如何创建一个 JavaScript 代码审计工具感到困惑。在这篇文章中，我将引导你完成整个流程，并提供具体的代码示例和说明。我们将采取结构化的步骤来确保你能够理解每个阶段。
## 流程概述
创建 JavaScript 代码审计工具的基本流程如下表所示：
| 步骤 | 描述
原创
2024-08-20 11:14:30
200阅读
我们先看一下C/C++和java的调试原理C/C++调试原理：目前比较流行的调试工具是 GDB 和微软的 Visual Studio 自带的debugger，在这种 debugger 中，首先，需要编译一个“ debug ”模式的程序，将调试语句编译到该程序中。其次，在调试过程中，debugger 将会深层接入程序的运行，掌握和
转载
2023-07-23 16:26:24
95阅读
简介审计系统分为网络审计、数据库审计、综合审计。 网络审计针对于网络协议进行审计，如http、smtp、pop3、vnc、RDP、Rlogin、SSH、Telnet等；数据库审计专门用于数据库操作审计，详细记录用户操作数据库的操作，并支持回放；综合审计则将网络审计和数据库审计功能进行综合，进行综合审计。 网络审计的功能网络安全审计系统针对互联网行为提供有效的行为审计、内容审计、
转载
2023-09-13 16:35:54
101阅读
01 简介JavaScript已经成为现代Web浏览器开发中最普遍的技术之一。之前在《PTES-信息收集》中讲到源代码审计也可能获取到一些敏感信息，但有的测试人员只审计html源代码，而忽略审计js文件里的源代码，今天我们就来讲一讲审计js文件都能获取到哪些信息。02 详解通过审计js文件源代码能获取到的信息，我个人将其分为以下四类：敏感信息、业务逻辑、加密算法、Ajax请求。敏感信息审计js文
转载
2023-11-07 23:02:06
0阅读
第一关暴力破解漏洞漏洞详情：暴力破解漏洞即我们平时所说的口令爆破（或跑字典），是采用大量的密 码进行批量猜解密码的一种恶意登录方式我们这里使用 burp 进行爆破首先抓取登录请求包*将数据包发送到 intruder 模块中载入相关密码字典点击 start attack 找到返回数据度不同的数据包发现密码是admin由于我们在验证过程中发现输入#等特殊字符会报错所以我们对源码进行一下审计代码审计&l
原创
2021-05-24 10:35:48
792阅读
纯人工审核耗时太大，一般采用工具+人工的形式本次要用的工具和资源：链接：https://pan.baidu.com/s/1aYniv90iu5GbSnvj8Pt_sA?pwd=g6x6 提取码：g6x6 --来自百度网盘超级会员V5的分享常见的工具：fortify, checkbugs博主用的是fortify, pojie教程在zip文件里面代码审计的通用思路1、通读全文代码，从功能函数代码开始阅
原创
2023-08-02 19:52:13
160阅读
点赞
http://www.freebuf.com/vuls/87138.html
转载
精选
2015-12-04 15:22:44
642阅读
通过源代码，知道代码如何执行，根据代码执行中可能产生的问题来寻找漏洞渗透测试->找漏洞bug->技术、衔接问题代码执行漏洞PHP中可以执行代码的函数，常用于编写一句话木马，可能导致代码执行漏洞漏洞形成原因：客户端提交的参数，未经任何过滤，传入可以执行代码的函数，造成代码执行漏洞。常见代码执行函数：eval()、assert()、preg_replace()、create_functio
转载
2021-09-26 23:08:00
571阅读
2评论
代码审计介绍代码审计简介代码审计是一项对软件源代码进行系统性、深入性的安全检查和评估的过程。其主要目的是通过分析和评估来发现潜在的安全漏东、性能问题和其他缺陷，从而帮助开发人员及时修复这些问题，提高软件系统的安全性和稳定性。代码审计在软件开发中的重要性不言而喻。随着信息技术的飞速发展，软件应用程序已经渗投到日常生活的方方面面。然而，人为因素和复杂的开发环境导致每个应用程序的源代码都可能隐藏着安全漏
原创
2024-09-07 00:05:15
430阅读
点赞
ame': 'adminzzz','password': 'zzzaddsadsadsaasd','
原创
2022-10-27 02:12:15
492阅读
简单来说，代码评审就是由不是写代码的人来对代码进行仔细、系统的检查代码评审有助于发现程序中的bug，规范代码，但更重要的是，这是程序员之间相互交流、学习的良好途径比如说在Google，必须有人为你的代码进行评审并签字，你才能将其推送到总仓库里代码评审（包括自己写代码）时的一些原则：DRY（Don’t Repeat Yourself）不要出现重复的或十分相似的代码 因此，Ctrl + C， Ctrl
转载
2024-01-02 15:58:05
93阅读
iis7网站监控，输入自己的域名，就可以立马看到自己是不是遭遇JS劫持了，并且查询结果都是实时的，可以利用查询结果来更好的优化我们的网站。
以下情况，应用程序很容易受到js劫持的：
（1）讲js对象用作数据传输格式
（2）处理机密数据
转载
2024-08-18 20:15:30
39阅读
0x01 Java WebBug 本地漏洞靶场搭建1.1 所需环境服务器版本：9.0.52.0（我用的是Tomcat9，你也可以考虑用作者使用的Tomcat7） jdk8版本：jdk8_112 数据库版本：Mysql 5.7.33 运行工具：IDEAJavaEE 编写的漏洞靶场下载地址：https://github.com/mysticbinary/WebBug1.2 包含如下漏洞，以及修复方案暴
转载
2024-03-08 20:30:09
806阅读
一、写在前面 刚刚入职，适应了几天后抓紧开始学习，毕竟学无止境且自己太菜了…… 面试的时候，负责人问了我一些关于Java代审的问题，不过之前接触的更多是php的代审。熟悉代审的小伙伴们大概都清楚，两者就不是一个难度等级……而且网上目前好像也没有一个比较系统的java代审学习路线和视频，在这里就慢慢摸索吧，学一点就记录一点，也希望哪一位大佬看到后，可以call我一下，哪怕点一点学习路线也好，实在
转载
2023-12-18 11:00:15
21阅读
最近在做bugku中代码审计的题目，发现了web题目中存在着大量的php漏洞以及弱类型函数的绕过问题，现在借着bugku中的题目来统一的整理一下。希望通过整理可以温故而知新。第一题：extract变量覆盖 焦点：extract($_GET)<?php $flag='xxx'; extract($_GET); if(isset($shiyan)) { $content=trim(file_
转载
2024-03-06 21:19:03
35阅读
