PHP代码审计练习三

这次审计的是星空个人博客系统XKLog(PHP) 0.7.244 1.安装文件第二步博客名称和个人签名存在xss   直接获取参数信息没有进行任何过滤   2、XFF处sql注入 报错型 记录获取的IP是直接通过http header 的xff中获取   登录时会记录IP地址然后存储   所以没有任何过滤   所以报错了   3、XFF处的XSS漏洞   在线列表中也是会调用XFF的IP地址 同样

>>阅读原文<<