Javan's blog

审计前准备

1.网站结构

浏览源码文件夹，了解程序的大致目录

2.入口文件

index.php、admin.php文件一般是整个程序的入口，详细读一下index文件可以知道程序的架构、运行流程、包含那些配置文件，包含哪些过滤以及包含那些安全过滤文件，了解程序的业务逻辑。

3.配置文件

一般类似config.php等文件，保存一些数据库相关信息、程序的一些信息。先看看数据库编码，如果是gbk则可能存在宽字节注入。如果变量的值引用双引号、则可能存在双引号解析代码执行的问题。

3.过滤功能

通过详读公共函数文件和安全过滤文件等文件，清晰掌握用户输入的数据，哪些被过滤，哪些无过滤，在哪被过滤了，如何过滤的，能否绕过过滤的数据。过滤的方式是替换还是正则？有没有GPC？有没有

使用addslasher()处理