1.代碼審計開始篇
首先代碼審計要從漏洞原理開始，需要了解基本漏洞的產生原理，比如SQL注入、XSS、XXE、反序列化、溢位等等(推薦《Web安全深度決議》認識基本漏洞就夠了),當然還有業務流程方面的一些漏洞，比如業務流程跳躍、認證缺陷等，
2.第一篇先從最近本的漏洞開始，借助審計靶場，
2.1靶場環境搭建
至此準備作業已經完成
注：如果Tomcat啟動后正常是一些亂碼，如果沒有啟動起來，前端是無法訪問的，
2.2訪問前端
（瀏覽器訪問本地地址，127.0.0.1/）
可以按照地址連接配置，建議第四種方法，
http://breakthesecurity.cysecurity.org/2015/03/hacking-java-web-applications.html
2.3先拿反射型XSS舉例
，下次咱們再細聊每一個漏洞
2.4前端測驗舉例
這個前端測驗區域，可以看到是一個搜索輸入框，所以真實的業務場景中多數XSS漏洞也在某些有回顯的地方存在，我們在實際做代碼審計的作業時，可能無法跑起來程式也就無法查看前端的場景，所以存在漏洞的代碼原理就需要掌握了，（原理部分需要一個章節一個章節的介紹）
提醒大家實際測驗時不要在使用alert(1),基本被過濾了，推薦使用
下面展示一些 行內代碼片，
<img/%00/src=“worksinchrome:prompt(1)”/%00/οnerrοr=‘eval(src)’>，結果如上圖所示，
2.5打開下載的靶場代碼
轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/141990.html
標籤：其他