php str

最近研究了公司繁星网http://fanxing.kugou.com的代码，看看有没有什么漏洞，包括xss漏洞，敏感字符过滤漏洞，尝试对用户留言的代码进行了研究。 发现json_decode函数对包含反斜杠“\”的json数据进行解码时会抛出异常，这是之前未发现的，当然，对某些式的

最近研究了公司繁星网http://fanxing.kugou.com的代码，看看有没有什么漏洞，包括xss漏洞，敏感字符过滤漏洞，尝试对用户留言的代码进行了研究。

发现json_decode函数对包含反斜杠“\”的json数据进行解码时会抛出异常，这是之前未发现的，当然，对某些格式的数据，比如\u22\u3e，不会抛出异常。

当研究到str_replace函数时，发现该函数竟然是二进制安全的，因为无论你输入字符串的任何格式，它都可以匹配到并进行替换。

哈哈，最后搞了很久还是没找到漏洞，最后公司收到http://www.wooyun.org/网站团队的漏洞提醒，发现竟然是上传文件漏洞，对上传文件名并没有进行任何的过滤，真是无语了，低级错误，是谁写的代码，拉出去受刑。。。，我竟然没想到要去研究上传模块，哎。

繁星网的代码量很大，不过脉络清晰，还有待于继续研究。