搜索

[22226] 2021-08-06_代码审计相关知识与资料分享

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-08-06_代码审计相关知识与资料分享 代 码 审 计 相 关 知 识 与 资 料 分 享 L e m o n S e c   2 0 2 1 - 0 8 - 0 6 以 下 文 章 来 源 于 系 统 安 全 运 维   ， 作 者 三 个 大 石 头 每 日 分 享 好 工 具 每 日 分 享 好 工 具 软 件 代 码 审 计 是 在 一 个 编 程 中 对 源 代 码 旨 在 发 现 错 误 、 安 全 漏 洞 或 违 反 编 程 约 定 的 项 目 。 它 是 防 御 性 程 序 设 计 范 例 ， 它 试 图 在 软 件 发 软 件 代 码 审 计 是 在 一 个 编 程 中 对 源 代 码 旨 在 发 现 错 误 、 安 全 漏 洞 或 违 反 编 程 约 定 的 项 目 。 它 是 防 御 性 程 序 设 计 范 例 ， 它 试 图 在 软 件 发 布 之 前 减 少 错 误 。 布 之 前 减 少 错 误 。 C 、 、 C + + 、 、 p h p 源 代 码 是 最 常 见 的 审 计 代 码 ， 因 为 许 多 高 级 语 言 ， 如 源 代 码 是 最 常 见 的 审 计 代 码 ， 因 为 许 多 高 级 语 言 ， 如 P y t h o n ， 具 有 较 少 的 潜 在 易 受 攻 击 的 函 数 （ 例 如 ， ， 具 有 较 少 的 潜 在 易 受 攻 击 的 函 数 （ 例 如 ， 不 检 查 边 界 的 函 数 ） 不 检 查 边 界 的 函 数 ） 代 码 检 查 是 审 计 工 作 中 最 常 用 的 技 术 手 段 ， 实 际 应 用 中 ， 采 用 “ 自 动 分 析 + 人 工 验 证 ” 的 方 式 进 行 。 通 常 检 查 项 目 包 括 : 系 统 所 用 开 源 框 架 、 源 代 码 设 计 、 错 误 处 理 不 当 、 直 接 对 象 引 用 、 资 源 滥 用 、 A P I 滥 用 、 后 门 代 码 发 现 等 ， 通 常 能 够 识 别 如 下 代 码 中 的 风 险 点 ： 跨 站 脚 本 漏 洞 、 跨 站 请 求 伪 装 漏 洞 、 S Q L 注 入 漏 洞 、 命 令 执 行 漏 洞 、 日 志 伪 造 漏 洞 、 参 数 篡 改 、 密 码 明 文 存 储 、 配 置 文 件 缺 陷 、 路 径 操 作 错 误 、 资 源 管 理 、 不 安 全 的 A j a x 调 用 、 系 统 信 息 泄 露 、 调 试 程 序 残 留 、 第 三 方 控 件 漏 洞 、 文 件 上 传 漏 洞 、 远 程 命 令 执 行 、 远 程 代 码 执 行 、 越 权 下 载 、 授 权 绕 过 漏 洞 。   个 人 认 为 ， 作 为 一 个 要 入 门 代 码 审 计 的 人 ， 审 计 流 程 应 该 从 简 单 到 困 难 ， 逐 步 提 升 。 因 此 我 建 议 大 家 的 审 计 流 程 为 个 人 认 为 ， 作 为 一 个 要 入 门 代 码 审 计 的 人 ， 审 计 流 程 应 该 从 简 单 到 困 难 ， 逐 步 提 升 。 因 此 我 建 议 大 家 的 审 计 流 程 为 — — D V W A — — b l u e C M S — — 其 他 小 众 其 他 小 众 C M S — — 框 架 。 同 时 做 总 结 ， 搞 清 楚 漏 洞 原 理 。 框 架 。 同 时 做 总 结 ， 搞 清 楚 漏 洞 原 理 。   1 、 常 见 的 代 码 审 计 工 具 、 常 见 的 代 码 审 计 工 具 1 ） 、 F o r t i f y   S C A 2 ） 、 C h e c k m a r x   C x S u i t e 3 ） 、 3 6 0 代 码 卫 士 4 ） 、 ） 、 P H P 代 码 审 计 工 具 代 码 审 计 工 具 — — R i p s 参 考 ： h t t p s : / / w w w . j i a n s h u . c o m / p / c d 1 c b 6 6 e 4 d 7 d 5 ） 、 ） 、 s e a y 代 码 审 计 （ 常 用 ） 代 码 审 计 （ 常 用 ） 参 考 ： h t t p s : / / w w w . o s c h i n a . n e t / p / s e a y 6 ） 、 ） 、 S o n a r Q u b e 系 统 安 全 运 维 系 统 安 全 运 维   . 机 器 猫 学 安 全 /   每 日 分 享 ， 绝 不 偷 懒 入 门 可 参 考 ： h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / w e b / 1 6 6 6 0 2 . h t m l h t t p s : / / c l o u d . t e n c e n t . c o m / d e v e l o p e r / a r t i c l e / 1 4 5 0 5 3 6 h t t p s : / / b l o g . c s d n . n e t / b y l f s j / a r t i c l e / d e t a i l s / 1 0 2 7 3 1 9 5 h t t p s : / / b l o g . c s d n . n e t / m 0 _ 3 7 7 1 1 9 4 1 / a r t i c l e / d e t a i l s / 9 7 9 5 4 7 3 4 ? u t m _ t e r m = % E 4 % B B % A 3 % E 7 % A 0 % 8 1 % E 5 % A E % A 1 % E 8 % A E % A 1 % E 9 % A 1 % B 9 % E 7 % 9 B % A E % E 6 % 8 0 % B B % E 7 % B B % 9 3 & u t m _ m e d i u m = d i s t r i b u t e . p c _ a g g p a g e _ s e a r c h _ r e s u l t . n o n e - t a s k - b l o g - 2 ~ a l l ~ s o b a i d u w e b ~ d e f a u l t - 3 - 9 7 9 5 4 7 3 4 & s p m = 3 0 0 1 . 4 4 3 0
参 考 ： h t t p s : / / w w w . c n b l o g s . c o m / q i u m i n g c h e n g / p / 7 2 5 3 9 1 7 . h t m l 7 ） 、 ） 、 C o b r a 参 考 ： h t t p s : / / z h u a n l a n . z h i h u . c o m / p / 3 2 3 6 3 8 8 0 8 ） 、 ） 、 k i w i 参 考 ： h t t p s : / / g i t h u b . c o m / a l p h a 1 e 0 / k i w i   分 享 一 波 在 学 习 过 程 中 收 集 的 资 料 公 众 号 后 台 发 送 公 众 号 后 台 发 送 “ 代 码 审 计 代 码 审 计 ” 即 可 获 取 资 料 包 。 希 望 对 各 位 大 佬 有 用 ， 一 起 学 习 哈 。 即 可 获 取 资 料 包 。 希 望 对 各 位 大 佬 有 用 ， 一 起 学 习 哈 。   每 日 坚 持 分 享 好 工 具 好 资 源 ， 麻 烦 各 位 师 傅 文 章 底 部 给 点 个 每 日 坚 持 分 享 好 工 具 好 资 源 ， 麻 烦 各 位 师 傅 文 章 底 部 给 点 个 “ 再 看 再 看 ” ， 感 激 不 尽 ， 感 激 不 尽
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理