UWA 最新版本2.x组合拳
现在好像很流行发代码审计的帖子？我也来一发
UWA 2.X (Universal Website AsThis) ，是如斯(AsThis)基于 PHP
和 MySQL 开发的通用建站系统，程序简洁、灵活而具备强大的扩展性，他将是您轻松建站的
首选利器。
样本下载地址
链接：http://pan.baidu.com/s/1eQIjPZW
密码：ax6o
Ps：现在很多刚学习代码审计的基友们都有这样一个问题 就是看了无数文章却没有动手试验的东西 所以仅以个人名义提倡代码审计贴留下源码下载地址如有条件可留下demo地址方便大家学习。
首先先放过黑盒测试 进行白盒（由于已提供源码 故本例中用图片方式贴出）
撸出代码 因为要打组合拳 所以从路径开始收集。
#01 未验证访问导致路径泄漏
记得某位大牛说过 任何来自用户的数据都是不可信的，但是应该还有一句 任何来自用户的访问都应该有验证
同样 本例中出现数个此类错误 不仅在审计中注意 在编写php程序时也应注意
问题出现在
/core/lib/core/App.class.php
在继承父类时并未验证父类是否已class 而导致直接访问出错
相关文章
图文推荐
- 文章
- 推荐
- 热门新闻