代码审计

【代码审计】star7th/showdoc:v3.2.4 Phar反序列化写webshell目录漏洞速览复现微步在线X情报社区-威胁情报查询_威胁分析平台_开放社区主要就是两步，sql注入拿到用户token，再以用户身份上传恶意phar包打phar反序列化

Polar Web【中等】反序列化一个经典的反序列化问题，本文采用PHP代码辅助生成序列字符串的方式生成 Payload 来进行手动渗透。

Commons-Collections篇-CC1链小白基础分析学习Apache Commons工具包中有⼀个组件叫做 Apache Commons Collections ，其封装了Java 的 Collection(集合) 相关类对象，它提供了很多强有⼒的数据结构类型并且实现了各种集合工具类，Commons Collections被⼴泛应⽤于各种Java应⽤的开发，而正是因为在大量web应⽤程序中这些类的实现以及⽅法的调用，导致了反序列化漏洞的普遍性和严重性 Apache Commons Collections中有⼀个特殊的接口，其中有⼀个实现该接口的类可以通过调用

PHP开发中的不安全反序列化序列化是开发语言中将某个对象转换为一串字节流的过程，转换后的字节流可以方便存储在数据库中，也可以方便在网络中进行传输。而反序列化则是将数据库取出的字节流或从网络上接收到的字节流反向转换为对象的过程。概念虽如此，但不同的开发语言的序列化和反序列化的过程又略有不同。

CTF题型 php://filter特殊编码绕过小汇总它的存在是数据流和控制流的“中间人”，有点类似我们抓包工具Burp的感觉，我们可以人为进行操控更改数据流应用范围/特征关键词比如readfile(),file(),file_get_content(),include()

Java安全反序列化(4) CC1链-LazyMap版实验环境:存在漏洞的版本 commons-collections3.1-3.2.1 jdk 8u71之后已修复不可利⽤

Java安全反序列化(3) CC1链-TransformedMap版本文尝试从CC1的挖掘思路出发，理解CC1的实现原理Commons Collections：Java中有一个Collections包，内部封装了许多方法用来对集合进行处理，CommonsCollections则是对Collections进行了补充，完善了更多对集合处理的方法，大大提高了性能。

[BJDCTF2020]----EzPHP查看题目，右键源代码，发现GFXEIM3YFZYGQ4A=，base64解码：1nD3x.php访问1nD3x.php，代码审计，一步一步分析

5、DVWA代码审计(2)无

6、wuzhicms代码审计后台

PHP代码审计基础知识本文章主要是PHP代码审计的一些基础知识，包括函数的用法，漏洞点，偏向基础部分，个人能力有限，部分可能会出现错误或者遗漏，读者可自行补充。

SQL Server注入之攻防技战法语句只适合>=2005爆当前数据库名：爆其他数据库名：再爆其他数据库：爆MSSQL的默认数据库爆数据库所有表（只限于mssql2005及以上版本）

红队攻防实战之DC2使用nmap工具可以发现开放了80端口，网页服务器但是可以看出做了域名解析，所以需要在本地完成本地域名解析。

Fortofy扫描安全漏洞解决——Unreleased Resource: Streams未释放资源漏洞问题描述：大部分 Unreleased Resource 问题只会导致一般的软件可靠性问题，但如果攻击者能够故意触发资源泄漏，该攻击者就有可能通过耗尽资源池的方式发起 denial of service 攻击。

信通院供应链安全&软件应用安全评估近几年，信通院发布了供应链安全和软件应用安全相关的一些标准以及评估模型，同时开展企业评估认证工作。这些也正是在安全形势日益严峻，且国内企业迫切需要自己国家的安全相关标准的评估和认证，也便于对企业进行供应链安全建设、软件应用安全建设成果的评估。这些评估模型和认证主要包括：

展望2024年供应链安全2023年是开展供应链安全，尤其是开源治理如火如荼的一年，开源治理是供应链安全最重要的一个方面，所以我们从开源治理谈起。我们先回顾一下2023的开源治理情况。我们从信通院《2023年中国企业开源治理全景观察》发布的信息。信通院调研了来自七个行业、105家企业的开源软件治理能力，受到供应链安全传导的作用，2023年互联网、软件和信息服务企业均开启了开源治理活动。当然整体而言，本次调研占比较高的是金融、通信、互联网行业，以中大型企业为主。

MISRA C++ 2008 标准解析MISRA C++ 2008是《汽车专用软件的C++语言编程指南》，是针对C++语言的安全编码标准，适用C++ 03标准，是汽车行业公认的C++语言编码规范，目的是在研发生命周期早期发现软件中的缺陷，预防成本投入会大幅度降低投产后的售后维护成本。

MISRA C 2012 标准浅析MISRA(The Motor Industry Software Reliability Association)，汽车工业软件可靠性联会； 1994年，英国成立。致力于协助汽车厂商开发安全可靠的软件的跨国协会，其成员包括：AB汽车电子、罗孚汽车、宾利汽车、福特汽车、捷豹汽车、路虎公司、Lotus公司、MIRA公司、Ricardo公司、TRW汽车电子、利兹大学和福特VISTEON汽车系统公司。

CWE/SANS TOP 25 2022我整理了CWE/SANS TOP25 2022年的这25类缺陷，分类适合的开发语言，其实主要是C/C++语言的缺陷相对于Java、PHP、Python、C#等更高级的语言的不同，所以分为适合C/C++语言和其它语言。但是大家不要纠结，例如SQL难道C/C++语言程序没有吗？答案肯定是有，但是相对出现较少，而且C、C++语言程序大家关心的更多是运行时缺陷，而不是安全漏洞，因为C/C++语言应用的场景大多是在嵌入式环境下，驱动硬件设备等，物理隔绝的情况比较多，更多关心的程序本身的是否导致异常，而不是被外界攻

极客大挑战2023 Web方向题解wp 全最后排名 9/2049。玩脱了，以为28结束，囤的一些flag没交上去。我真该死啊QAQ前言：这次极客平台太安全了谷歌不给抓包，抓包用burp自带浏览器。