漏洞复现
未读
Laravel远程代码执行(CVE-2021-3129)漏洞复现
本文详细介绍了Laravel远程代码执行漏洞(CVE-2021-3129)的复现过程。首先，概述了漏洞的原因，即Laravel的Ignition组件在Debug模式下，对file_get_contents()和file_put_contents()函数的不安全使用。接着，详细分析了漏洞的利用过程，包括环境搭建、漏洞存在判别、漏洞代码分析、漏洞利用步骤等。最后，进行了漏洞复现，并提出了修复建议。整体来说，本文内容丰富，对漏洞的利用和复现过程进行了深入分析，有助于读者了解该漏洞的原理和防范方法。
代码审计
未读
熊海CMS白盒PHP代码审计实战
本文是对熊海CMS系统进行代码审计的实战分析，主要包括了以下漏洞的发现与修复建议：SQL注入、文件包含、XSS（反射型与存储型）、后台登录绕过、CSRF以及任意文件下载等。建议在处理用户输入时进行严格过滤和验证，避免直接拼接SQL语句；对文件包含进行路径限制，防止目录跳转；增加CSRF token验证；对敏感操作进行权限控制；采用预处理语句和绑定参数的方式执行SQL查询，提升系统的安全性。同时，文章强调了代码审计的重要性，并对相关安全措施进行了详细阐述。
Vaudit白盒PHP代码审计笔记
文章摘要：
本文主要介绍了Vaudit审计系统的安装、代码结构、功能列表以及漏洞审计。Vaudit审计系统在安装过程中存在重新安装漏洞，可能导致敏感信息泄露。系统代码结构包括管理员和用户两大模块，具有注册、登录、修改信息、发表留言等功能。在漏洞审计部分，发现了命令注入、SQL注入、存储型XSS、验证码绕过、任意文件读取、文件包含、越权和二次注入等多个安全问题。针对这些问题，文章提供了相应的解决方法和原理分析，为系统的安全加固提供了参考。
PHP
未读
PHP魔术方法和oop
本文为OOP（面向对象编程）入门教程，主要介绍了以下内容：
1. **OOP概述**：介绍了类和对象的概念，类是具有相同属性和行为的实体，对象是类的实例。
2. **类定义**：通过代码示例讲解了类的定义，包括访问修饰符（public, protected, private），属性和方法的声明。
3. **继承**：阐述了继承的概念，如何通过extends关键字让一个类复用另一个类的属性和方法，并指出不同访问修饰符在继承中的表现。
4. **魔术方法**：介绍了PHP中的魔术方法，如`__construct()`, `__destruct()`, `__call()`等，它们在特定情况下被自动调用。
5. **序列化和反序列化**：解释了如何通过`serialize()`和`unserialize()`函数将对象转化为可存储或传输的字符串，以及如何从这些字符串恢复对象。
文章以代码示例和简洁描述贯穿全文，适合初学者理解面向对象编程的基本概念和操作。
PHP
未读
PHP序列化和反序列化
本文主要介绍了PHP面向对象的基础知识，包括类的定义、访问修饰符、静态方法等，并详细阐述了魔术方法及其在反序列化中的应用。指出了反序列化漏洞的利用前提，即需要用户可控的输入点及类中存在危险的魔术方法。文章进一步介绍了POP（面向属性编程）的概念，以及如何构建调用链来实现命令执行。
此外，文章还讲解了phar反序列化漏洞的原理和利用条件，包括phar文件的结构以及如何生成和触发phar反序列化漏洞。通过实例代码展示了如何构造phar文件和利用该漏洞执行代码。
总结来说，文章深入浅出地讲解了PHP反序列化漏洞的相关知识，为理解和防范此类安全漏洞提供了详细的指导。