分类 代码审计 下的文章

记一次审计 xiaocms 的过程


周末在家刚吃完晚饭,基友 DM 叫我一起来审计 xiaocms 系统,也不知道他是受到啥刺激了。正好,除了 Code Review 公司项目代码及框架代码,未审计过其他系统,就当拿来练手了。

代码审计的目的是发现代码中存在的缺陷,并对其进行修复或利用(灰盒测试)。通常是在本地部署一套环境,并进行反复调试直至发现缺陷。

首选需要知道目标代码具备那些功能模块,针对性的对相关模块进行审计排查。其次需要通读带目标代码,知道其功能类的加载顺序、目录结构、方法文件及配置文件路径。


审计 tinyshop 中风险


本文作者:0x584A

审计该 CMS 中的内容只涉及到前台,后台中有存安全问题但对我来说没什么意义,所以没有过多的关注,感兴趣的朋友可以自己动动手。

因为本身已经做了一定的安全加固,本次审计并没挖掘出高危漏洞。但存在几个可以对网站造成危害的安全风险,在此仅做为思路分享给大家参考学习。


审计某开源商城中的漏洞大礼包


首先这个 CMS 并不怎么出名,拿来当审计样板却很合适。给我的感觉是适合初级水平升中级之间的过程,也算是对上一篇审计文章的后续文了。

审计的版本为: 20180206 发布的免费版 2.0 。另外图很多,建议 PC 端体验更佳!

分析环境及入口

图中的 URL 会出现两个,这是因为部分在公司审计的,部分是周末在家审计的。