blocks|key|4646337|text|我建议查看以下链接：|type|unstyled|depth|inlineStyleRanges|entityRanges|data|4646338|PHP安全审计方法|unordered-list-item|offset|length|4646339|尖峰安全审计工具|4646340|Zend应用程序安全审计|4646341|6免费PHP安全和审计工具|entityMap|0|LINK|mutability|MUTABLE|url|http://shiflett.org/blog/2005/jun/php-security-audit-howto|1|http://developer.spikesource.com/projects/phpsecaudit|2|http://www.zend.com/topics/Security-Audit-DS-1009-R1-EN-WEB.pdf|3|http://www.hotscripts.com/blog/6-free-php-security-auditing-tools/^0|0|0|9|0|0|0|8|1|0|0|C|2|0|0|D|3^^$0|@$1|2|3|4|5|6|7|Z|8|@]|9|@]|A|$]]|$1|B|3|C|5|D|7|10|8|@]|9|@$E|11|F|12|1|13]]|A|$]]|$1|G|3|H|5|D|7|14|8|@]|9|@$E|15|F|16|1|17]]|A|$]]|$1|I|3|J|5|D|7|18|8|@]|9|@$E|19|F|1A|1|1B]]|A|$]]|$1|K|3|L|5|D|7|1C|8|@]|9|@$E|1D|F|1E|1|1F]]|A|$]]]|M|$N|$5|O|P|Q|A|$R|S]]|T|$5|O|P|Q|A|$R|U]]|V|$5|O|P|Q|A|$R|W]]|X|$5|O|P|Q|A|$R|Y]]]]

I suggest taking a look at the following links:

<ul>
<li><a href="http://shiflett.org/blog/2005/jun/php-security-audit-howto">PHP Security Audit HOWTO</a></li>
<li><a href="http://developer.spikesource.com/projects/phpsecaudit">Spike PHP Security Audit Tool</a></li>
<li><a href="http://www.zend.com/topics/Security-Audit-DS-1009-R1-EN-WEB.pdf">Zend Application Security Audit</a></li>
<li><a href="http://www.hotscripts.com/blog/6-free-php-security-auditing-tools/">6 Free PHP Security &amp; Auditing Tools</a></li>
</ul>

blocks|key|3505009|text|您应该从任何交互式的web代理开始，比如burp代理、paros等等。|type|unstyled|depth|inlineStyleRanges|entityRanges|data|3505010|3505011|我自己，我偏爱费德勒。无论您选择哪种工具，都可以检查所有请求/响应流，并与请求后的javascript进行交互。很好的起点。|offset|length|3505012|最终，我想OWASP代码爬虫也会支持.尽管现在我还不熟悉任何免费的自动化工具。现在只是手动眼球..。|3505013|3505014|当然，你可以去找一个大供应商，比如Fortify，盎司实验室等等--但这相当昂贵，还有一罐蠕虫……|entityMap|0|LINK|mutability|MUTABLE|url|http://www.fiddler2.com/fiddler2/|1|http://www.owasp.org/index.php/Category%253aOWASP_Code_Crawler^0|0|0|7|3|0|0|5|9|1|0|0^^$0|@$1|2|3|4|5|6|7|U|8|@]|9|@]|A|$]]|$1|B|3|-4|5|6|7|V|8|@]|9|@]|A|$]]|$1|C|3|D|5|6|7|W|8|@]|9|@$E|X|F|Y|1|Z]]|A|$]]|$1|G|3|H|5|6|7|10|8|@]|9|@$E|11|F|12|1|13]]|A|$]]|$1|I|3|-4|5|6|7|14|8|@]|9|@]|A|$]]|$1|J|3|K|5|6|7|15|8|@]|9|@]|A|$]]]|L|$M|$5|N|O|P|A|$Q|R]]|S|$5|N|O|P|A|$Q|T]]]]

You should start with any interactive web proxy, such as burp proxy, paros, etc. 
Myself, I'm partial to <a href="http://www.fiddler2.com/fiddler2/">Fiddler</a>. Whichever tool you choose, this lets you examine all the request/response flow, and interact with the requests post-javascript. Great place to start. 

Eventually, I imagine <a href="http://www.owasp.org/index.php/Category%3aOWASP_Code_Crawler">OWASP's code crawler</a> will support PHP too... though right now I'm not familiar with any free automated tool for this. Just manual eyeballs for now... 
Of course you can go for one of the big vendors, e.g. Fortify, Ounce Labs, etc - but thats quite expensive and another can of worms...

blocks|key|4646365|text|给谷歌的Skipfish看一眼：http://code.google.com/p/skipfish/wiki/SkipfishDoc|type|unstyled|depth|inlineStyleRanges|entityRanges|offset|length|data|entityMap|0|LINK|mutability|MUTABLE|url|http://code.google.com/p/skipfish/wiki/SkipfishDoc^0|G|1E|0^^$0|@$1|2|3|4|5|6|7|K|8|@]|9|@$A|L|B|M|1|N]]|C|$]]]|D|$E|$5|F|G|H|C|$I|J]]]]

Give Google's Skipfish a look: <a href="http://code.google.com/p/skipfish/wiki/SkipfishDoc">http://code.google.com/p/skipfish/wiki/SkipfishDoc</a>

blocks|key|3505241|text|有大量的工具，这实际上是一个个人的偏好，一个人将使用什么为一个五倍。所以，尝试所有我和其他人提到的，并选择最适合你的。|type|unstyled|depth|inlineStyleRanges|entityRanges|data|3505242|对于安全代码检查(白盒测试)，我建议使用裂片。这是我试过的最好的。|offset|length|3505243|为了进行一些黑盒测试，您当然需要一些拦截代理。有很多，但我建议你看看费德勒，如果你在Windows上。打嗝+/+WebScarab+/+Zed攻击代理也很棒。如果您想要自动化一些注入测试，可以从模糊数据库获取一些常见的有效负载。|3505244|此外，让自己熟悉浏览器插件，如Firebug和Chrome开发工具，他们是一个很大的帮助。|3505245|最后，尝试使用开放式渗透测试书签集中的书签。这是一个巨大的列表(只是让你知道有多少工具)，但里面有很多宝石。|entityMap|0|LINK|mutability|MUTABLE|url|http://sourceforge.net/projects/rips-scanner/|1|http://www.fiddler2.com/|2|http://portswigger.net/proxy/|3|https://www.owasp.org/index.php/Category%253aOWASP_WebScarab_Project|4|http://code.google.com/p/zaproxy/|5|http://code.google.com/p/fuzzdb/|6|http://code.google.com/p/pentest-bookmarks/wiki/BookmarksList^0|0|K|2|0|0|Y|3|1|1F|2|2|1K|9|3|1W|7|4|2P|5|5|0|0|7|A|6^^$0|@$1|2|3|4|5|6|7|14|8|@]|9|@]|A|$]]|$1|B|3|C|5|6|7|15|8|@]|9|@$D|16|E|17|1|18]]|A|$]]|$1|F|3|G|5|6|7|19|8|@]|9|@$D|1A|E|1B|1|1C]|$D|1D|E|1E|1|1F]|$D|1G|E|1H|1|1I]|$D|1J|E|1K|1|1L]|$D|1M|E|1N|1|1O]]|A|$]]|$1|H|3|I|5|6|7|1P|8|@]|9|@]|A|$]]|$1|J|3|K|5|6|7|1Q|8|@]|9|@$D|1R|E|1S|1|1T]]|A|$]]]|L|$M|$5|N|O|P|A|$Q|R]]|S|$5|N|O|P|A|$Q|T]]|U|$5|N|O|P|A|$Q|V]]|W|$5|N|O|P|A|$Q|X]]|Y|$5|N|O|P|A|$Q|Z]]|10|$5|N|O|P|A|$Q|11]]|12|$5|N|O|P|A|$Q|13]]]]

There are tons of tools and it's really a personal preference on what will one use for a pentest. So try all of those mentioned by me and others and choose ones that fit you best.

For security code review (whitebox test), I'd recommend using <a href="http://sourceforge.net/projects/rips-scanner/">RIPS</a>. It's the best among those I tried. 

For doing some blackbox testing, you certainly need some intercepting proxy. There's a lot of those, but I'd suggest you take a look at <a href="http://www.fiddler2.com/">Fiddler</a> if you're on Windows. <a href="http://portswigger.net/proxy/">Burp</a> / <a href="https://www.owasp.org/index.php/Category%3aOWASP_WebScarab_Project">WebScarab</a> / <a href="http://code.google.com/p/zaproxy/">Zed Attack Proxy</a> are great too. If you want to automate some of the injection tests, grab some common payloads from <a href="http://code.google.com/p/fuzzdb/">fuzzdb</a>. 

Also, make yourself familiar with browser addons like Firebug and Chrome Developer Tools, they are a great help. 

Finally, try bookmarks from <a href="http://code.google.com/p/pentest-bookmarks/wiki/BookmarksList">Open Penetration Testing Bookmarks Collection</a>. It's a huge list (just so that you know how many tools are there), but there are many gems inside.

blocks|key|3505269|text|如果你想确保你没有错过任何东西，最好的方法就是找一个真正的专家来观察它。太多的问题出现在网站上，开发人员根本没有意识到他们没有遵循最佳实践，或者不明白普通的“安全”实践实际上根本就不安全！(例如“我不需要参数化我的SQL，只要我用反斜杠单引号代替单引号，对吗！”)。|type|unstyled|depth|inlineStyleRanges|entityRanges|data|3505270|如果你是一家公司，请聘请一家外部的公司对你的申请进行测试。它们不是很贵，它们会发现大部分问题。对一家公司来说，雇佣一家受聘的公司肯定比浪费几天的时间培训全薪员工如何发现一些缺陷要便宜，当然也比在客户数据被严重泄露后试图重建公司要便宜。|entityMap^0|0^^$0|@$1|2|3|4|5|6|7|E|8|@]|9|@]|A|$]]|$1|B|3|C|5|6|7|F|8|@]|9|@]|A|$]]]|D|$]]

If you want to make sure you don't miss anything, the best way is to get an actual expert to look at it. Too many problems arise in websites where a developer simply isn't aware that they aren't following best practices, or fail to understand that common "secure" practices aren't actually secure at all! (e.g. "I don't need to parameterize my SQL so long as I replace single quotes with backslash single-quotes, right!?").

If you're a company, hire an external pentesting company to do a test of your application. They're not very expensive, and they'll find most of the issues. It's certainly cheaper for a company to hire a pentesting firm than to waste days of time training staff members on full salary how to find some bugs, and it's certainly cheaper than trying to rebuild your company after a major breach of customer data.

I have a PHP application that I would like to have audited for security. I'm familiar with most of the general security issues, but want to make sure I didn't miss anything. 

What steps should I take to perform a self-audit? What tools are available? What is the best way to find a 3rd-party auditor? Any recommendations?

Interested in both whitebox/codereview audit and blackbox/pentest?

How to perform a security audit for a PHP application?

翻译质量差，导致语言生硬或混乱。

没有提供实际的解决方法或示例。

解答不清晰，无法理解或解决问题。

页面排版不美观，阅读体验差。

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云AI代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

功能1上新10个字符

功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符。

功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符。

功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符

功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符

功能4上新

文章&问答评论现已支持表情

全新交互，全新视觉，新增快捷键、悬浮工具栏、高亮块等功能并同时优化现有功能，全面提升创作效率和体验

社区富文本编辑器全新改版！诚邀体验～ 

精选全网热门MCP server，让你的AI更好用 🚀

💥开发者 MCP广场重磅上线！

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

我有一个PHP应用程序，为了安全性，我希望对其进行审计。我对大多数一般的安全问题都很熟悉，但我想确保我没有错过任何事情。我应该采取哪些步骤来进行自我审计？有哪些可用的工具？找到第三方审计师的最好方法是什么？有什么建议吗？对白盒/代码视图审计和黑匣子/五视图感兴趣吗？

问如何对PHP应用程序执行安全审计？
EN

回答 5

Security用户

Security用户

Security用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问如何对PHP应用程序执行安全审计？EN

回答 5

Security用户

Security用户

Security用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问如何对PHP应用程序执行安全审计？
EN