点击蓝字关注我们前言代码审计总要遇到命令执行或者说RCE，打CTF的过程中难免不会碰见，毕竟PHP是世界上最好的语言，总结一下命令执行函数E.g.1 <?php  error_reporting(0);&...

在一个类中，非静态成员变量对每一个对象都会有一个特定的值，在初始化非静态变量的时候是不分配内存的，只有创立对象后才会分配，而且不同对象之间的同名非静态变量是可以不同的;当用static修...

Metinfocms命令执行前话：米拓企业建站系统是一款由长沙某公司自主研发的免费开源企业级CMS，该系统拥有大量的用户使用，及对该款cms进行审计，如果利用CNVD-2021-01930进行进一步深入，其危害...

0X00 前言Java中的Fastjson曾经爆出了多个反序列化漏洞和Bypass版本，而在.Net领域也有一个Fastjson的库，作者官宣这是一个读写Json效率最高的的.Net 组件，使用内置方法JSON.ToJSON可以快速序...

0x01代码审计的基本概念和流程1、代码审计的定义和背景Java代码审计是指对Java应用程序代码的分析，以确定是否存在安全漏洞和风险，并提出修复建议的过程。Java应用程序的开发在近年来已经成为...

一、什么是从finally块中return?Java中的finally一般与try一起使用，在程序进入try块之后，无论程序是因为异常而中止或其它方式返回终止的，finally块的内容一定会被执行。代码在finally块中有...

一、什么是对XML外部实体引用的不当限制?该软件处理的XML文档可能包含带有URI的XML实体，这些URI可以解析为超出预期控制范围的文档，从而导致产品将不正确的文档嵌入其输出中。XML文档可以选择...

网站目录├── addons（这个是个空目录）├── admin.php（后台入口）├── app（审计重点）├── extend（该cms的一些插件）├── favicon.ico（网站图标）├── index.php（前台入口）...

没有什么能消除所有的错误，在编写的代码中也是如此。平均而言，所有代码都有错误。其中一些错误影响较小，有些会导致意外提前终止，少数会导致资源消耗失控。一些错误会导致安全漏洞，让用户做...

一、什么是使用过时方法缺陷?代码使用了不推荐使用的或已经过时的方法，这表明该代码没有得到积极地审查或维护。随着编程语言的发展，由于以下原因，方法有时会过时：1、语言进步2、更深入理解...