原理
代码执行漏洞是指 攻击者利用 将字符串转化成代码的函数 , 进行代码注入
触发点/检测
代码执行漏洞在Web端不容易发现,需要代码审计,重点在一些执行代码的函数,比如
eval();
assert();
exevute();
preg_replace();
防御
代码执行的防御分为三个方面 参数 , 函数 和 权限
使用addslashes()函数将参数转译,或使用黑白名单校验
禁用或减少使用执行代码的函数
以及限制Web用户的权限
原理
代码执行漏洞是指 攻击者利用 将字符串转化成代码的函数 , 进行代码注入
触发点/检测
代码执行漏洞在Web端不容易发现,需要代码审计,重点在一些执行代码的函数,比如
eval();
assert();
exevute();
preg_replace();
防御
代码执行的防御分为三个方面 参数 , 函数 和 权限
使用addslashes()函数将参数转译,或使用黑白名单校验
禁用或减少使用执行代码的函数
以及限制Web用户的权限
