PHP代碼審計練習四

一、登錄處sql注入 登錄的 戶名和密碼未進行任何過濾，造成sql注 playload用戶名輸 admin' or '1'='1'# 密碼隨意 成功登錄 二、登錄處可以暴力破解沒有做登錄錯誤次數嘗試和驗證碼，導致可以暴力破解 三、提交留言處存在xss  先檢測內容的長度 然後未做任何處理直接存儲，導致xss 測試 四、任意文件上傳 對於上傳文件只校驗http header的Content-Type

>>阅读原文<<