代码审计

### 0x01 匿名用户 提问：目前学习完了web存在的基础漏洞，想要提高代码审计能力，能通过白盒审计找出相关漏洞。

我的情况：php特性和反序列化这块做了很多题，方便自己去理解。目前在审laravel框架 Thinkphp框架的几个RCE漏洞 但是感觉吃力 甚至有点抵触代码审计。

我的问题：请问如何才能提高审计能力呢？是从 简单的框架 逐渐上升难度吗？有什么好的方法吗？想听听师傅们的见解

回答: 你好，感谢你的提问，抱歉先前才看到。

不清楚你是否拥有PHP的开发经验，如果是没有开发经验而是直接切入代码审计的话，就需要大量的代码阅读来充实基础，这点从你的提问中可以看出来，你应该是具备的。如果你是关注PHP语言的话，建议可以多去学习下PHP语言的函数特性，因为随着不同的版本一些函数本身就存着问题，有些时候有奇效。

再者，PHP的Web框架主流是MVC的结构，这个你需要去了解下，还有MVC的演变过程。当然，所说的这些都是偏开发，但它会让你有一个良好的基础。在深入一点就是自己去尝试用PHP或者PHP的主流框架去写一个博客，或者CMS的站。这样你能从编写功能中了解到常用函数的组合使用，反向的知道在某个功能或某段代码中存在的潜在脆弱设计。还有PHP的默认配置文件、中间件的服务配置也很重要，需要去了解，这就需要大量的场景去充实了。举个栗子，比如 GitHub - c0ny1/upload-labs: 一个想帮你总结所有类型的上传漏洞的靶场 这个项目，你去搜一下他的writeup，部署在不同的环境下bypass的方式不同，有的还需要利用的win系统的特性。

TP和laravel已经很面向对象设计了，也是OOP如果你能理解OOP对你也是有一定的成长。从简单的框架往上升级也是可行的，但过程中你不要被那么野CMS系统的代码设计给误导了，应为他们的设计很乱，每个人写的不同就是一套不同的代码（涉及到商用的问题）。所以，要读代码多看代码，当你审计一套不能本地部署及调试的时候，这个真的很重要。

当然，这些是纯个人技术上的建议。如果是偏专业、审计服务的那种，建议你看看国标比如《GBT 38674-2020(信息安全技术 应用软件安全编程指南)》、《GBT 34946-2017 C#语言源代码漏洞测试规范》、《GBT 34944-2017 Java语言源代码漏洞测试规范》、《GBT 34943-2017 C:C  语言源代码漏洞测试规范》，这种偏标准化能够更好更系统的提升你审计方面的技术水平。

## 0x02 iv0nne 提问：良哥，请教个问题，干渗透两年了，python还可以，之前是做ios开发转过来的，最近想学习代码审计，有没有必要从开发开始学起，是学php好还是java好一些，谢谢

### 回答

学java应该会比php有前途，大厂用java的多，但就代码审计而言，语言其实没那么重要，重要的还是对安全漏洞成因的理解，再加上一些能阅读代码的能力，做什么语言的代码审计就没那么重要了，一通百通

### 讨论

荒城：觉得非常好的建议，回味无穷。

![](/media/202201/2022-01-17_094112_125702.png)

iv0nne：搜噶。大多数代码都看得懂，就是审计起来不知道怎么入手
myh0st 回复 iv0nne：可以研究研究哪些代码审计的工具是什么流程
Umask 回复 iv0nne：审计入手从几个方面，1.例如先搜索危险函数是否有使用，阅读危险函数是否有利用空间
2.从功能点入手，例如上传点，输入输出的点

## 0x03 奋斗哥 提问：代码审计都是怎么入门到进阶啊

### 讨论

Phorse：法师有一本叫《代码审计》的书，先把这本书撸一遍，然后找一些几年前的，别人审出来的洞看一遍，推荐雨神的常见php漏洞，手机不好放链接，应该搜得到。
之后就可以自己审一些简单的代码了，一些几年前的小cms，再然后就是学各种框架，尤其是thinkphp5。大概学一个月，就可以审一些应用级的cms了。慢慢积累半年经验，接下来就是那些成熟的cms，wordpress，这种一般只能指望插件出洞，框架本身很难出洞。
php审计的路子大概就是这样，但其实代码审计不止于此，java,python,c#,go。只要是开源的，就都在代码审计的范畴中。
鄙人太菜。。。就说这么点。。。
2018/3/7
0x584A：刚搬完家，来说说我的体会。
至少分四个阶段学习：
1，理论部分，常见的漏洞类型及分类，各中间件组合易产生的漏洞都要知道（OWASP TOP 10及其他）。
2，实践部分，结合理论部分能复现的均复现一次，至少要在手上过三四遍加深记忆。
3，阅读代码，制定或参考渗透测试脑图，对审计的代码做功能划分，寻找出上述两条相近或一致的场景。
4，阅读大量的代码，不局限在已掌握的编程语言中。

总结起来就一句话：无他,但手熟尔。
2018/3/8
turn it up：PHP就是个坑啊.放弃PHP了，专心搞JAVA

## 0x04 wh01sr00t 提问：想问一下良哥，想提高php代码审计能力，有没有好的经验和方法介绍一下。星球里发过的有关php代码审计的文章都写的很好，如何利用这些好点子在实践中取得成效呢？最近在审一款设备的php脚本，之前有公开的cve是说信息泄露，但是再没有更多细节了，想问对于信息泄露方面该从哪些方面考虑？

### 回答

1，先熟悉这套系统都有哪些功能，做一下黑盒测试
2，测试中可以相对应看功能如何实现，用户的输入做了哪些处理，看对应的处理函数是否可以绕过
3,信息泄漏通常是权限控制的问题，用两个不同的账号访问同一个页面，然后替换session来看是否有越权的漏洞。

代码审计相关的我没做过，所以让有经验的来聊一下吧！

### 讨论

冰刀 回复 wh01sr00t：seay法师写了本代码审计的书 百度上能下到pdf 写的很详细，另外在很多安全类网站可以搜 代码审计 有很多资源，边看边学，另外编程语言是基础， 能更好理解整个程序的逻辑 这个很重要。 我代码审计也暂时学习不深，不能讲解太多。