介绍Python代码审计方法多种多样，但是总而言之是根据前人思路的迁移融合扩展而形成。目前Python代码审计思路，呈现分散和多样的趋势。Python微薄研发经验以及结合实际遇到的思路和技巧进行总结，以便于朋友们的学习和参考。反序列化审计实战反序列化漏洞在Python代码审计中属于常见高危漏洞之一，它的危害性根据执行环境略有不同，本地和远程分别为7.2和10的评分。通过评分也可得知漏洞危害是显而易
转载
2023-08-12 19:54:07
20阅读
你是否觉得有时候人类的思考模式很像正则匹配？本文包括以下几个部分：1、为什么我觉得可以用这个工具(个人认为)2、我为什么写这个工具3、工具的实现思路4、工具的升级思路5、源代码的 github 地址6、使用测试7、最后说两句为什么我觉得可以用这个工具(个人认为)通过审计源代码，也就是查看源代码，来发现其中存在的隐患，代码审计需要对被审计的语言有充分的了解，不仅是能读懂源代码，还要了解语言本身的缺陷
转载
2023-10-07 16:43:40
257阅读
为什么使用日志？... 或者用打印(Print)?
日志的两个目的：
1.诊断日志： 记录与应用程序操作相关的日志。例如，用户遇到的报错信息，可通过搜索诊断日志获得上下文信息。
2.审计日志： 为商业分析而记录的日志。从审计日志中，可提取用户的交易信息，并结合其他用户资料构成用户报告或者用来优化商业目标。
打印(Print)?
大多数情
转载
2024-02-22 12:11:32
91阅读
SQL注入安全的做法：stmt = "SELECT * FROM table WHERE id=?"connection.execute(stmt, (value,))不安全的做法："SELECT * FROM table WHERE id=""SELECT * FROM table WHERE id=%s""SELECT * FROM table WHERE id={0}".format(val
转载
2023-09-26 15:35:50
61阅读
(一)OS命令注入主要是程序中通过Python的OS接口执行系统命令，常见的危险函数有os.system,os.popen,commands.getoutput,commands.getstatusoutput,subprocess等一些接口。例如：def myserve(request,fullname):os.system('sudo rm -f %s'%fullname)，fullname是
转载
2023-09-20 22:12:21
9阅读
目前市面上，专门做IT审计堡垒机的厂商有很多，他们的产品都有一个特点，那就是基本上每台的售价都在20万以上。像我们做技术的，不可能每次待的公司都是大公司，那么在小公司，是不太可能投资20多万买一台硬件的堡垒机来使用，但是我们如果要规范我们的技术人员的行为规范，那么对技术人员的操作进行审计又是必不可少的，那这个时候我们应该怎么办？审计接触过python的人都应该知道，python有个很强大的模块叫做
本文转自wooyun知识库0x00 摘要Python由于其简单，快速，库丰富的特点在国内使用的越来越广泛，但是一些不好的用法却带来了严重的安全问题，本文从Python源码入手，分析其语法树，跟踪数据流来判断是否存在注入点。关键词： Python 注入 源码 语法树0x01 引言Python注入问题是说用户可以控制输入，导致系统执行一些危险的操作。它是Python中比较常见的安全问题，特别是把pyt
转载
2024-02-28 15:34:00
45阅读
0x00 前言大概去年的时候就想写这样一篇文章，最近看到老外写的一个ppt，于是就有了这篇文章，随便看看就好，价值不是很大。测试一个应用程序是否存在漏洞的思路总结起来无非 黑盒 和白盒 ，或者两者结合。黑盒的思路简单概括即是 通过异常输入判断程序是否存在漏洞，白盒即是 通过审阅程序代码来了解程序逻辑来判断漏洞。我这里想说的思路是结合两者的特性来完成整个过程的自动化。如果要你用一句话来概括一下白盒的
转载
2024-04-02 16:05:05
42阅读
曾今向前辈请教过，如何学习代码审计；曾今向大牛问起过，如何学好代码审计……得到的答案总是出乎的一致：多读，多审，多写；php，python，java；变量，函数，框架；赋值，传递，覆盖；……只要用心，就能学好。其实很多看起来很专的技术，只要把心静下来，用心去学习--总结--沉淀，就一定不会差。1、前言作为【一起玩蛇】系列的文章，突发奇想到python代码审计。纵观目前主流的代码审计，关于审计PHP
转载
2023-09-04 10:40:32
5阅读
曾今向前辈请教过，如何学习代码审计；曾今向大牛问起过，如何学好代码审计……得到的答案总是出乎的一致：多读，多审，多写；php，python，java；变量，函数，框架；赋值，传递，覆盖；……只要用心，就能学好。其实很多看起来很专的技术，只要把心静下来，用心去学习--总结--沉淀，就一定不会差。1、前言作为【一起玩蛇】系列的文章，突发奇想到python代码审计。纵观目前主流的代码审计，关于审计PHP
1 前言现在一般的web开发框架安全已经做的挺好的了，比如大家常用的django，但是一些不规范的开发方式还是会导致一些常用的安全问题，下面就针对这些常用问题做一些总结。代码审计准备部分见《php代码审计》，这篇文档主要讲述各种常用错误场景，基本上都是咱们自己的开发人员犯的错误，敏感信息已经去除。2 XSS未对输入和输出做过滤，场景：def xss_test(request):
转载
2024-04-01 10:50:52
27阅读
## 审计可以用Python怎么运用？
### 引言
审计是指对组织、系统、程序、活动等进行独立的、系统的、目标性的评估和检查，以确定其符合规定的标准和要求。而Python是一种简单易学、功能强大的编程语言，广泛应用于各种领域。本文将探讨如何使用Python进行审计，并通过一个具体的问题来展示解决方案。
### 问题描述
假设我们有一个电子商务网站，我们希望对用户的购物行为进行审计。具体而
原创
2024-01-05 03:41:01
132阅读
文章目录搭建和配置CMS项目ThinkCMF验证码加载失败口令问题关于框架学习代码审计 搭建和配置CMS项目 访问开源社区gitee.com，搜索ThinkCMF，找到https://gitee.com/eded/thinkcmf?_from=gitee_search，下载ThinkCMF 2.2.3版本到本地。 对文件夹进行重命名，复制到Mac的Web目录，先直接访问thinkcmfv2
转载
2023-08-18 18:30:13
2阅读
源码都粘贴出来，有点长，但是真正改动的就只有几行环境配置：我的另一片博客推荐用指令安装，然后下载相应的源码（我们需要源码里的demo）,源码版本与安装的版本最好一样。我安装的是2.2，下载的是2.1，之前无脑用1.7一直报错。#用源码安装后进入终端用以下指令查看paramiko的版本
>>> import paramiko
>>> paramiko.__vers
转载
2023-11-13 14:47:43
145阅读
python常用用法书写习惯和用法1. 打印含有变量的语句坏习惯好习惯2. 判断条件3. 文件读写坏习惯好习惯4. 较多位数数字写法（下划线）易混淆的运算符^和**5. debug 程序的方式坏习惯好习惯6. 可变类型参数坏习惯好习惯扩展7. 字典遍历与推导式8.借助元组解包9. 统计程序运行时间10. 检查类型的方式 书写习惯和用法1. 打印含有变量的语句坏习惯def case 1(name,
转载
2023-09-28 14:20:59
50阅读
通用类I. 代码实现1.1 加密算法1.1.1 【必须】避免使用不安全的对称加密算法1.2 程序日志1.2.1 【建议】对每个重要行为都记录日志1.2.2 【建议】禁止将未经验证的用户输入直接记录日志1.2.3 【建议】避免在日志中保存敏感信息1.3 系统口令1.3.1 【必须】禁止使用空口令、弱口令、已泄露口令1.3.2 【必须】口令强度要求1.3.3 【必须】口令存储安全1.3.4 【必须】禁
转载
2024-05-28 13:20:27
34阅读
环境准备：phpstudy来搭建web服务、sublime作为代码编辑器（notepad++和phpstorm等都可以）、fortity和rips：静态扫描工具、beyond compare文本比较工具、seay代码审计工具。挖掘思路：敏感函数回溯参数。高效，通过搜索敏感函数的关键字，快速挖掘想要的漏洞。但是难以发现逻辑漏洞。通读全文代码。观察目录结构，根据文件名去看代码。例如upload、adm
转载
2023-07-05 14:25:43
71阅读
一、审计报告概念： 审计报告，即为所得税汇算。是指通过税务师事务所对企业账务处理及纳税情况进行审查，纠正和调整纳税申报金额的一项业务。审计完成后，税务师事务所将对审计结果出具审计报告。 二、做审计报告的好处： 1.可弥补亏损，减少税款支出 企业所得税法规定，企业发生亏损时，可在连续五个年度内弥补亏损、企业要弥补亏损，通常税务局会要求企业提供审计报告。 2.正确申报企业所得税
转载
2023-10-31 21:06:10
0阅读
# Python审计基础指南
在现代软件开发中，审计（Audit）是确保代码质量、数据安全与合规性的重要步骤。对于初学者来说，理解怎样在Python程序中进行审计并不复杂。本文将通过几个简单的步骤带领你完成Python审计的实现。
## 流程概述
首先，我们需要明确审计的整个流程，下面的表格详细列出了实现Python审计的步骤：
| 步骤 | 描述 |
|------|------|
|
审计？审计到底都在干嘛？为什么那么累？接下来的日子里，我来讲一讲，审计究竟在干什么。投标——中标——签合同——做审计计划——做底稿一般入职以后，我们的生活节奏就是预审——年审——Q1——中期——复习CPA——Q3——预审……循环往复，以上循环，不是每个审计都会经历的。比如有些人没有做过Q(季度的商定程序)。所有幸福的审计都一样,不幸的审计各有个的不幸。我入职的时候还听说过有人idle能复习考试，我
转载
2023-10-25 21:49:34
129阅读
