Vaudit白盒PHP代码审计笔记
文章摘要：
本文主要介绍了Vaudit审计系统的安装、代码结构、功能列表以及漏洞审计。Vaudit审计系统在安装过程中存在重新安装漏洞，可能导致敏感信息泄露。系统代码结构包括管理员和用户两大模块，具有注册、登录、修改信息、发表留言等功能。在漏洞审计部分，发现了命令注入、SQL注入、存储型XSS、验证码绕过、任意文件读取、文件包含、越权和二次注入等多个安全问题。针对这些问题，文章提供了相应的解决方法和原理分析，为系统的安全加固提供了参考。
PHP
未读
PHP魔术方法和oop
本文为OOP（面向对象编程）入门教程，主要介绍了以下内容：
1. **OOP概述**：介绍了类和对象的概念，类是具有相同属性和行为的实体，对象是类的实例。
2. **类定义**：通过代码示例讲解了类的定义，包括访问修饰符（public, protected, private），属性和方法的声明。
3. **继承**：阐述了继承的概念，如何通过extends关键字让一个类复用另一个类的属性和方法，并指出不同访问修饰符在继承中的表现。
4. **魔术方法**：介绍了PHP中的魔术方法，如`__construct()`, `__destruct()`, `__call()`等，它们在特定情况下被自动调用。
5. **序列化和反序列化**：解释了如何通过`serialize()`和`unserialize()`函数将对象转化为可存储或传输的字符串，以及如何从这些字符串恢复对象。
文章以代码示例和简洁描述贯穿全文，适合初学者理解面向对象编程的基本概念和操作。
PHP
未读
PHP序列化和反序列化
本文主要介绍了PHP面向对象的基础知识，包括类的定义、访问修饰符、静态方法等，并详细阐述了魔术方法及其在反序列化中的应用。指出了反序列化漏洞的利用前提，即需要用户可控的输入点及类中存在危险的魔术方法。文章进一步介绍了POP（面向属性编程）的概念，以及如何构建调用链来实现命令执行。
此外，文章还讲解了phar反序列化漏洞的原理和利用条件，包括phar文件的结构以及如何生成和触发phar反序列化漏洞。通过实例代码展示了如何构造phar文件和利用该漏洞执行代码。
总结来说，文章深入浅出地讲解了PHP反序列化漏洞的相关知识，为理解和防范此类安全漏洞提供了详细的指导。