经验心得

第一次帮客户做这个PHP代码审计系统Demo时,用Python+Flask搭了Web框架,MySQL 存审计结果。项目核心是把PHP代码转成正反 Tree结构和Graph图,最后咱们可以通过比对正常与异常语法树找漏洞。刚开始解析PHP语法总出错,调了好久正则匹配规则才顺。用Graph 可视化展示调用关系,漏洞点标红很直观。虽然覆盖的漏洞类型有限,但把静态分析,树形结构比对这些思路落地了,实际测几个样本时真揪出了SQL漏洞,这过程还挺锻炼对代码结构的敏感度。

Logo

Agent 垂直技术社区,欢迎活跃、内容共建。

更多推荐