欢迎您访问程序员文章站本站旨在为大家提供分享程序员计算机编程知识!
您现在的位置是: 首页  >  php教程

php str

程序员文章站 2024-01-21 10:01:40
...

最近研究了公司繁星网http://fanxing.kugou.com的代码,看看有没有什么漏洞,包括xss漏洞,敏感字符过滤漏洞,尝试对用户留言的代码进行了研究。 发现json_decode函数对包含反斜杠“\”的json数据进行解码时会抛出异常,这是之前未发现的,当然,对某些式的

最近研究了公司繁星网http://fanxing.kugou.com的代码,看看有没有什么漏洞,包括xss漏洞,敏感字符过滤漏洞,尝试对用户留言的代码进行了研究。

发现json_decode函数对包含反斜杠“\”的json数据进行解码时会抛出异常,这是之前未发现的,当然,对某些格式的数据,比如\u22\u3e,不会抛出异常。

当研究到str_replace函数时,发现该函数竟然是二进制安全的,因为无论你输入字符串的任何格式,它都可以匹配到并进行替换。


哈哈,最后搞了很久还是没找到漏洞,最后公司收到http://www.wooyun.org/网站团队的漏洞提醒,发现竟然是上传文件漏洞,对上传文件名并没有进行任何的过滤,真是无语了,低级错误,是谁写的代码,拉出去受刑。。。,我竟然没想到要去研究上传模块,哎。


繁星网的代码量很大,不过脉络清晰,还有待于继续研究。