CodeQL 简介通常认为，CodeQL 是一个开源的代码分析平台或者说漏洞扫描工具，其通过介入代码编译过程（编译型语言）或者进行静态程序分析（解释型语言）来获取程序代码的语义信息…
代码审计，是检查源代码中的安全缺陷，检查程序源代码是否存在安全隐患，或者有编码不规范等，对程序源代码逐条进行检查和分析。本篇文章为总结人工代码审计过程中，注入型漏洞需要关注的风险参…
在这里分享一下通过拖取 DataCube 代码审计后发现的一些漏洞，包括前台的文件上传，信息泄露出账号密码，后台的文件上传。当然还有部分 SQL 注入漏洞，因为 DataCube …
声明：请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，文章作者不为此承担任何责任。合法渗透，本文章内容…
一、前言这个oa系统有个前提，就是/resource目录下专门存储静态文件，是不解析的，想要文件上传就需要利用目录穿越到代码所在的/C6目录下面二、思路历程咱们findstr搜索下…
环境配置phpstudy+php5.6.9搭建成功后进行写入测试代码application/index/controller/Index.php<?phpnamespace …
前言距离上次编写文章已经过了很久很久... 本篇文章是从去年七月份挖掘后提交CNVD通过, 并等待厂商修复漏洞后, 时隔9月, 才分享出来的. 因为笔者在其中挖掘到多处前台漏洞, …
关于BugsyBugsy是一款功能强大的代码安全漏洞自动化修复工具，该工具本质上是一个命令行接口工具，可以帮助广大研究人员以自动化的形式修复代码中的安全漏洞。Bugsy是Mobb（…
1.背景一转眼2024年了，小帅的朋友----小胖今年就要毕业了，作为一个计算机科学与技术的大学生，在本科毕业的时候都会贡献出一套学生管理系统这样的毕业设计留给自己的母校，而小帅一…
本次审计为初学.NET审计，代码也并不是很多，因此采用通读的方式审计，由于本身并不会开发，所以代码基本都是边读边查（不得不说AI是真香）。.NET程序审计一般需要注意的文件如下：.…