本套课程在线学习（网盘地址，保存即可免费观看）地址：
https://pan.quark.cn/s/339649262da5
本次课程全面讲述了代码审计的重要性和执行过程，着重讲解了在实战中快速审计的技巧及其应用场景，尤其强调了在特定情况下，利用代码审计技术突破点的重要性。讲师提出了代码审计不仅能识别系统的薄弱环节，还能指出漏洞位置，对安全攻击或防御具有重要意义。课程涵盖了高效获取目标系统源码的方法，第三方依赖包的审计，以及通过源码网站、框架比对、源码下载平台等多种方式获取源码进行研究。特别讨论了Maven项目管理和构建中的安全审计，以及在Spring Boot框架下进行安全审计的策略与方法。此外，还涉及了SQL注入、文件上传漏洞和XSS攻击的检测与审计技巧，以及如何通过多种方式获取源码并进行有效的安全审计。整场讲座不仅理论知识丰富，而且提供了实用的审计工具和方法，旨在提升学生在面对复杂安全挑战时采取有效快速审计策略的能力，增强网络安全技能。
00:00 - 关于是否在春节期间继续课程讨论与作业评价
教师询问学生对于在春节期间是否继续课程的意见，并考虑将剩余课程安排在节前完成。同时，教师对学生的作业进行了评价，表扬了部分同学的优秀作品并指出需改进之处。
11:19 - 实战中的快速审计：代码审查技巧与应用
本次课程重点讲解了实战中的快速审计技巧及其应用场景，特别强调了在特定情况下如无法通过传统方法入侵系统时，应如何利用代码审计技术作为突破点。讲师提出，代码审计不仅可以帮助识别系统的薄弱环节，还能直接指出存在漏洞的位置，为进一步的安全攻击或防御提供依据。此外，还讨论了高效获取目标系统源码的方法，包括使用特定工具进行分析，并通过非法手段提取系统特征以进行审计。课程旨在教授学生如何在面对复杂安全挑战时采取有效的快速审计策略，提高他们的网络安全技能。
19:18 - 判断一个网站是否为CMS的方法
可以通过搜索引擎搜索网站title并查看结果数量及来源多样性来初步判断其是否为CMS系统。此外，分析网站源代码、利用开源框架进行比对以及通过源码下载平台获取源码进行研究是进一步确认网站性质的有效手段。
31:27 - 探讨获取和审计源码的多种方法
介绍了通过源码网站、拖源码、购买官方源码以及同站目录扫描等方式获取源码的方法，并讨论了手工审计和使用代码扫描工具进行源码安全检查的重要性。
54:47 - 代码审计初探：第三方依赖与漏洞识别
在进行代码审计时，首先应关注第三方依赖包，因其常引发远程代码执行(RCE)漏洞。利用开源资源快速识别潜在漏洞的方法被提出，包括查询特定组件的已知漏洞以及检查依赖关系中的常见漏洞模式(CC链、CB链)。此外，介绍了一种通过搜索依赖项名称以快速定位可能存在的安全问题的技巧，并强调了在审计过程中考虑所有可访问的端口的重要性。最后，区分了新旧两种依赖管理方式及其对审计路径的影响。
01:04:51 - Maven与SQL注入审计
讨论了Maven在项目管理和构建中的应用，以及如何从安全角度对项目进行审计，特别是关注SQL注入问题。介绍了SSH、SSM架构的发展，以及MyBatis Plus框架在防止SQL注入方面的作用。讲解了两种主要的SQL注入防御方法：使用MyBatis Plus时的自动防御机制，和手动在代码中编写预防SQL注入的代码。强调了在进行SQL注入审计时，区分不同的SQL语法的重要性，并提供了一种利用IDEA的全局搜索功能来定位潜在SQL注入点的方法。
01:19:06 - 安全审计技巧：识别SQL注入与文件上传漏洞
讨论了两种常见的Web应用程序漏洞：SQL注入和文件上传漏洞的检测与审计技巧。强调了检查输入参数是否由用户控制、利用特定符号进行搜索以及验证文件上传功能的安全性的重要性。
01:28:34 - Spring Boot框架下的安全审计与漏洞利用
本次讨论重点在于Spring Boot框架下进行安全审计的策略与方法。特别指出，对于采用Spring Boot作为后端架构的应用，传统的文件上传漏洞检测可能不再有效，因为Spring Boot框架不会解析GSP文件，导致上传的恶意文件内容以纯文本形式直接输出，而非执行恶意代码。此外，介绍了通过分析应用的依赖包列表来快速识别是否存在Spring Boot框架，并强调了在实际渗透测试中，结合黑白盒测试方法的重要性以及如何有效地进行代码审计。最终目标是提升攻击者在面对Spring Boot应用时的安全审计效率和效果。
01:35:17 - 如何审计和防御XSS漏洞
讨论了前端框架对于XSS防御的影响，指出Vue等预编译框架因其特性在返回前端时已经解决了XSS问题，但强调后端同样可以通过过滤器等方法预防XSS。提供了识别是否存在XSS漏洞的常见手段，并强调了前后端都需配合防护的重要性。
01:45:02 - 源码获取与安全审计技巧
讲解了如何通过多种方式获取源码，并介绍了在进行安全审计时应考虑的角度及策略，包括但不限于利用漏洞名称进行搜索、分析前端与后端的处理方式以判断是否存在安全风险，以及强调了人工审核的重要性。同时也提到了一些特定技术框架对于预防XSS攻击的作用。此外，还探讨了权限旁路的概念及其审计方法。最后，分享了多种源码获取途径和使用的扫描工具，以便更有效地进行安全审计工作。
01:53:01 - 深入讲解代码审计：识别与修复安全漏洞
本次讲座详细介绍了代码审计的重要性和执行步骤，特别是如何通过分析POM文件和目录结构来评估引入的第三方组件的安全性。讲师强调了第三方组件直接关系到代码审计中的漏洞发现，并提供了使用审计工具和手动搜索技术相结合的方法来进行有效审计。此外，还讨论了如何利用经验或在线资源来识别已知漏洞，以及针对不同类型的漏洞（如SQL注入、文件上传漏洞和XSS攻击）采取的具体审计策略。最后，通过列举各种获取源码的方式和进行快速审计的方法，作为课后作业留给了学员。
该内容转载自网络，仅供学习交流，勿作他用，如有侵权请联系删除。
