五十一:代码审计-PHP框架MVC类上传断点调试挖掘
知识点1:
关键字搜索:(函数,键字,全局变量等)
文件上传,$_FILES,move_uploaded_file等
应用功能抓包:(任何可能存在上传的应用功能点)前台会员中心,后台新闻添加等可能存在上传的地方
没有文件后缀 判断MIME类型
知识点2∶
MVC开发框架类: https 😕 / www.cnblogs.com/ wsybky/p/8638876.html
断点调试,phpstorm不需要看懂代码,只需跟着跳点走。
知识点3∶
Thinkphp框架:https: / / sites.thinkphp.cn/1556331
演示案例:
PHP文件上传全局变量$_FILES
PHPStorm+xdebu断点调试演示
Beescms无框架后台任意文件上传
Finecms基于前台MVC任意文件上传
搜索$_FILES->后台中心->上传图像->跟踪代码->逻辑判断
业务功能分析-→>会员中心->上传图像->跟踪代码-→>逻辑判断
搜索文件上传->会员中心->上传图像->跟踪代码->逻辑判断