漏洞一 后台文件读取漏洞
漏洞分析：该漏洞主要是由于模板引擎解析未过滤导致的。
登录后台-模板管理-编辑模板
模板文件相互引用是十分常见的，这里我们可否将模板文件引用改为其他关键文件呢？
譬如：web.config
修改完成后，生成页面。我们查看下前台页面的情况
数据库关键信息都读取出来了，同理可以查看其他重要文件。
漏洞二 SQL注入漏洞
在审计源代码的时候发现了这一处。
我们查找下源代码：
果然，应该是忘记过滤了，直接上SQLMAP测试下：布尔的盲注
代码审计之DTCMS V5.0后台
2023-05-25
443
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《
阿里云开发者社区用户服务协议》和
《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写
侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介：
代码审计之DTCMS V5.0后台
目录
相关文章
|
存储
安全
前端开发
代码审计系统 Swallow 开发回顾
做甲方安全建设,SDL是一个离不开的话题,其中就包含代码审计工作,我从最开始使用编辑器自带的查找,到使用fortify工具,再到后来又觉得fortify的扫描太慢影响审计效率,再后来就想着把fortify集成到自己的业务系统中去
164
0
0
|
SQL
监控
安全
|
安全
PHP
数据库
【代码审计】后台Getshell的两种常规姿势
0x00 前言
在早些年刚接触web安全的时候，基础套路都是找注入--找后台--找上传点--找数据库备份--Getshell，然而在代码审计的角度，也存在类似的基本操作。
这里结合代码实例介绍白盒Getshell的两种常规姿势：写入配置文件Getshell、模块安装Getshell。
1561
0
0
|
9月前
|
SQL
云安全
安全
怎么做好代码审计
代码审计，顾名思义，是一种对软件源代码进行系统性的检查和分析过程，旨在发现源代码中的安全缺陷、性能问题以及其他可能存在的缺陷。这是一种重要的软件质量保障手段，尤其在安全领域中占据着举足轻重的地位。
175
1
1
|
Shell
网络安全
PHP
|
SQL
安全
关系型数据库
【PHP代码审计】——开启你的代码审计生涯
感觉最近的网络安全学习遇到了瓶颈，因为我是学习的web安全，所以自然最先学习的就是熟悉owtop10漏洞，并且我当前的专业是软件工程，所以各种计算机语言都接触过，但都学的不深，所以网安学习越深入就越感觉代码能力的重要性，所以我决定将当前的重心转到代码审计上，了解漏洞形成原因的同时，增加自己对php语言的理解，加油
305
0
0
|
SQL
安全
网络安全
对网站api接口漏洞渗透测试过程
某一客户的网站,以及APP系统数据被篡改,金额被提现,导致损失惨重,漏洞无从下手,经过朋友介绍找到我们,我们随即对客户的网站服务器情况进行大体了解.建议客户做渗透测试服务.模拟攻击者的手法对网站存在的数据篡改漏洞进行检测与挖掘,就此渗透测试服务的过程进行记录与分享.
4122
0
0
|
SQL
移动开发
供应链
网站代码审计漏洞查找技术是如何炼成的？
常常许多人问过那样一个难题，网络黑客是确实那么强大吗？就现阶段来讲，在黑客游戏或影视剧中，网络黑客所展现的工作能力与实际是相差无异的（黑客帝国此类种类以外）。唯一的差别是影视剧中的主人公可以瞬间控制供电系统，导致大城市电力工程偏瘫。走在路上任意监听所有人。
384
0
0
|
SQL
安全
Java
热门文章
最新文章
1
deepseek部署的详细步骤和方法，基于Ollama获取顶级推理能力！
2
讨论阶段性给予客户交付物所引发的风险问题
3
Linus Torvalds将中国亮相LinuxCon + ContainerCon + CloudOpen
4
DispatcherServlet与初始化主线
5
网络安全研究人员发现新漏洞：或成另一个WannaCry
6
Swift中常量和变量的声明
7
[20160516]adrci purge.txt
8
Docker Secure Deployment Guidelines
9
Eclipse没有权限操作rt.jar包中的sun包，导致sun.net.ftp.FtpClient引用报错
10
Learning Cocos2d-x for WP8（9）——Sprite到哪，我做主
1
去中心化存储：数据存储的新范式
117
2
AI 赋能混合云运维：告别手工操作，迈向智能自愈！
116
3
从Excel到大数据：别让工具限制你的思维！
110
4
Go 切片导致 rand.Shuffle 产生重复数据的原因与解决方案
97
5
基于SVPWM矢量控制的无速度传感器电机控制系统simulink建模与仿真
34
6
基于小波变换和峰值搜索的光谱检测matlab仿真,带GUI界面
38
7
DragAnything：视频PS来了！开源AI控制器让视频「指哪动哪」：拖拽任意物体轨迹，多对象独立运动一键生成
41
8
FoloUp：比HR更懂岗位需求！开源语音面试平台爆火：1份岗位需求生成100问，语音AI追问逻辑漏洞
29
9
KTransformers：告别天价显卡！国产框架让单卡24G显存跑DeepSeek-R1 671B大模型：推理速度飙升28倍
320
10
基于深度学习的路面裂缝检测算法matlab仿真
24