Bluecmsv1.6代码审计中，有哪些细节点需要注意以防范潜在的安全风险？

本文共计3438个文字，预计阅读时间需要14分钟。

前言：之前一直想学习一下代码审计，但之前一代代码审计确实比较难入门，真是一块难啃的骨头。但是没有方法，现在有时间了，可以学一下。我看网上大家推荐的都是从bluecms1.6开始的。

前言

之前一直说想学一下代码审计，但是由于懒还有代码审计确实比较难入门，真是一块难啃的骨头。但是没办法，现在有时间了学一下。我看网上大佬推荐的都是从bluecms1.6进行代码审计入门的，我们也来看看。

思路

思路其实就都差不多，大家也能搜到，就没什么好说的了，就以下几种嘛

• 根据敏感关键字回溯参数传递过程。

• 查找可控变量，正向追踪变量传递过程。

• 寻找敏感功能点，通读功能点代码。

• 直接通读全文代码。

反正明面话是说大家选一个自己最喜欢的思路就行，哈哈哈！但是我相信很多人还有一脸懵逼，我一个小白我哪知道选哪个。作为我也是小白刚入门，我说说我的思路，大家可以参考参考。

1. 基本拿到源码首先看一下目录结构，看出来是什么类型，什么框架
2. 看一下index.php，一般再开头都会有引用文件，然后进入引用的公共文件看看一些过滤函数呀，稍微优点印象进行，因为等会看正文的时候还是会回来再看看的。然后看看数据库的配置文件呀，有没有可能数据库就是gbk编码呢，这样是不是可以考虑以下有没有宽字节注入呢。
3. 其实没有捷径可以走，我是通过seay代码审计工具扫描之后，一个文件一个文件的进行审计的，这个虽然比较费时间，但是却能够很好的打下基本功。

好了bluecms都是网上各位大佬审计烂了，哈哈哈！我就不说明什么目录结构解释了，相信大家一搜都有。