PHP代码审计入门指南

https://www.yuque.com/burpheart/phpaudit

作者

白帽酱 (橙子酱)(i@rce.moe)

简介

这本指南包含了我在学习过程中整理出的一些技巧和对漏洞的一些理解

这本指南仍在在编写完善中

如果发现有遗漏或者是错误的地方 欢迎大家提issue

目录:

• PHP代码审计入门指南

• 序言

• PHP审计基础

  • ⚒ 工具准备
  • PHP代码审计思路
  • VS CODE 常用快捷键
  • 💉 PHP用户可控输入速查表
  • 🧬 PHP敏感函数速查表
  • 🩹 PHP原生过滤方法
  • PHP动态调试-Xdebug安装配置

• PHP常见漏洞

  • 命令注入
  • 代码注入
  • 文件包含
  • SQL注入
  • 文件操作
  • XSS
  • SSRF
  • CSRF
  • XXE
  • 反序列化
  • LDAP注入
  • 其他漏洞

• PHP常见框架

  • [TODO]
  • Thinkphp
  • Laravel
  • Codeigniter
  • Yii
  • Cakephp

• PHP审计实例

  • [TODO]

• PHP特性利用

  • [TODO]

• PHP审计扩展

  • PHP商业源码提取
  • 浅谈PHP源代码保护方案&受保护PHP代码の解密还原

• 附录

  • changelog

  • PHP弱类型

  • 扩展阅读

  • 🎉 总结

  • 🔗 参考

changelog

2021-12-12

1. 弃用gitbook 改用语雀
2. 补充 其他漏洞 页面 小幅度修整页面格式

2021-12-20

1. 文件操作 函数补充
2. 增加扩展阅读页面
3. 增加PHP源码解密

2021-12-28

PHP源码解密页面完成

2022-03-10

补充其他漏洞