文章内容来源于：安恒信息
通用代码审计思路：
1.根据敏感关键字回溯参数传递过程(逆向追踪)
? 检查敏感函数的参数，进行回溯变量，判断变量是否可控并且没有经过严格的过滤，这是一个逆向追踪的过程。
2.寻找可控参数，正向追踪变量传递过程(正向追踪)
? 跟踪传递的参数，判断是否存入到敏感函数内或者传递的过程中具有代码逻辑漏洞。
3.寻找敏感功能点，通读功能点代码(直接挖掘功能点漏洞)
? 根据自身经验判断在该应用中的哪些功能可能出现漏洞。
4.直接通读全文代码
敏感函数回溯审计：
通读全文代码
例子：
php弱类型
1.比较符号
== 先进行类型转化，再进行比较（弱比较）
=== 先比较类型，若类型不同直接返回不等（强比较）
Tips
Bool类型的true和任意字符串的弱类型相等
数字与字符串相比较，会将字符串转化为数字
若字符串以数字开头，则取开头数字作为转化结果，
若无则转化为0，若符合科学记数法的形式，则按照科学记数法来取
2.hash比较缺陷
如果采用
== 运算符比较哈希值，会面临上面讲的弱类型比较的问题，
即任何以’0e’ 开头的字符串都相等！
常见的md5
运算后以’0e’开头的字符串有：
QNKCDZO
s878926199a
s155964671a
s1885207154a
s1836677006a
s1184209335a
3.md5 sha1函数缺陷
当md5()函数与sha1()函数对参数进行加密处理时，
如果碰到一个数组，md5()函数会返回null
sha1()函数也是一样。
利用这个特性构造两个数组即可。
a[]=1即表示传入了一个数组
变量覆盖
1.parse_str导致的变量覆盖
parse_str( string KaTeX parse error: Expected 'EOF', got '&' at position 23: …_string[.array &?result] )
parse_str() 函数用于把查询字符串解析到变量中，
如果没有result参数，则由该函数设置的变量将覆盖已存在的同名变量，
如果设置了第二个变量result
变量将会以数组元素的形式存入到这个数组，作为替代。
2.X-Forwarded-For绕过指定地址
HTTP头添加X-Forwarded-For：
3.strops数组绕过NULL与ereg正则%00截断
知识点补充：
PHP strops()函数
定义和用法：
strops()函数查找字符串在另一字符串第一次出现的位置
注释：strops()函数对大小写敏感
? 该函数是二进制安全的
strpos(string,find,start)
| 数 | 描述 |
|---|---|
| string | 必需。规定要搜索的字符串。 |
| find | 必需。规定要查找的字符串。 |
| start | 可选。规定在何处开始搜索。 |
| 返回值： | 返回字符串在另一字符串中第一次出现的位置，如果没有找到字符串则返回 FALSE。**注释：**字符串位置从 0 开始，不是从 1 开始。 |
|---|---|
| PHP 版本： | 4+ |
ereg正则函数
字符串比对解析
int ereg(string pattern, string string, array [regs]);
本函数以 pattern 的规则来解析比对字符串 string。
比对结果返回的值放在数组参数 regs 之中，regs[0] 内容就是原字符串 string、regs[1] 为第一个合乎规则的字符串、regs[2] 就是第二个合乎规则的字符串，余类推。若省略参数 regs，则只是单纯地比对，找到则返回值为 true。
方法一：
既要是纯数字
又要有’ #biubiubiu’
strpos()找的是字符串，那么传一个数组给它
strpos()出错返回null,null!==false,
所以符合要求
所以输入nctf[]=
那为什么ereg()也能符合呢?
因为ereg()
在出错时返回的也是null,null!==false,
所以符合要求
方法二：
字符串截断
利用ereg()的NULL截断漏洞，绕过正则过滤
?nctf=1%00%23biubiubiu
模拟演练：
1.
?password=1337a
2.
?name[]=1&passsword[]=2
解析：sha1()函数默认的传入参数类型是字符串，当传入数组时均会返回false，通过判断。
3.
?a=240610708或?a=s878926199a