四：WEB源码扩展

前言：WEB源码在安全测试中是非常重要的信息来源，可以用来进行代码审计漏洞也可以用来做信息突破口，其中WEB源码有很多技术需要简明分析，获取某ASP源码后就可以采用默认数据库下载为突破，获取某其他脚本漏洞可以进行代码审计挖掘或者分析其业务逻辑，总之源码的获取将为后期的安全测试提供了更多的思路。

知识点：

	关于WEB源码目录结构
	关于WEB源码脚本类型
	关于WEB源码应用分类
	关于WEB源码其他说明
	数据库配置文件，后台目录，模板目录，数据库目录

		ASP,PHP,ASPX,JSP,JAVAWEB等脚本类型源码安全问题

		社交，论坛，门户，第三方，博客等不同的代码机制对应漏洞

		开源，未开源问题，框架和非框架问题，关于CMS识别问题及后续

		关于源码获取的相关途径：搜索，咸鱼淘宝，第三方源码站，各种行业对应

		总结：
			**关注应用分类及脚本类型猜出存在的漏洞（框架类型外），在获取源码后可进行本地安全测试或者代码审计，也可以分析出其目录工作原理（数据库备份，bak文件等），未获取到的源码采用各种方法获取。**

	针对ASP,PHP等源码下安全测试
		平台识别-某CMS无漏洞-默认数据库
		平台识别-某CMS无漏洞-漏洞利用

	源码应用分类下的针对漏洞
		niushop电商类关注漏洞点-业务逻辑

	简要目标从识别到源码获取
            本地演示个人博客-手工发现其CMS-漏洞搜索或者下载分析