代码审计

参考链接

• 代码安全审计之道 - evilpan
  https://evilpan.com/2022/01/22/code-audit/
• 年轻人如何挖掘第一个RCE
  https://paper.seebug.org/1809/
• 国家标准|GB/T 39412-2020
  http://openstd.samr.gov.cn/bzgk/gb/newGbInfo?hcno=29AD7403B273C5B82911B7F26D484B9C

准备工作

• 下载源码
  获取不开源系统的程序、源码容易挖到漏洞
• 搭建环境
• 反编译

自动化工具

• Codeql
• 查看pom依赖
  GitHub - jeremylong/DependencyCheck
  https://github.com/jeremylong/DependencyCheck
• 洞见IAST

审计流程

• 静态分析
• 动态分析
• fuzz
• 记笔记
• 补丁对比
• 复现旧漏洞

常见漏洞

• sql注入
• 文件上传下载、文件包含
• 反序列化
• 水平越权
• 垂直越权
• 路径遍历
• 路径穿越
• 表达式注入漏洞
  OGNL表达式注入漏洞
  SpEL表达式注入漏洞
• XSS
• CSRF
• SSRF
• 命令执行
• 变量覆盖漏洞
• SSTI(服务器模板注入)
• 硬编码密码
• 逻辑漏洞
• 解压缩文件
  路径穿越
  符号链接
  压缩炸弹
• 请求走私
• hop-by-hop
• 其他
  采用统一身份认证后，原有的登录接口没有删除

其他

代码审计的很重要的一点是可以看到几层代码调用。

代码审计需要深入学习一门语言作为基础，java、php、go等。