DADA代码审计第二阶段

先说清楚：这一阶段不是给“刚会看 phpinfo”的人准备的

如果你已经能独立跑通一遍代码审计流程，知道什么是可控变量、知道要顺着参数往下追，但每次遇到真实项目还是卡在“下一步该看哪儿”，那这套 DADA 代码审计第二阶段的定位就正好落在你的缺口上。它的主题不是教你怎么装环境、怎么读 PHP 语法，而是把审计这件事从“会看单点漏洞”推到“能在成规模的业务代码里定位问题”。

所以别把它当入门课。第一阶段的常见内容——基础函数、简单漏洞复现、工具基本用法——在这里基本是默认已经具备的前提。

你的缺口大概会出现在这三个地方

• 看得懂单个漏洞，串不起一条链。能识别一个危险函数，但参数从入口到落地经过了几层过滤、哪一层被绕过、哪一层其实没生效，说不清楚。
• 依赖工具的结果，缺少自己的判断。扫描器报了一堆，真让你挑出哪个可利用、利用路径是什么，就没了底气。
• 只熟悉一种语言或一种框架的套路。换个写法、换个框架的分层结构，之前的经验就不太够用了。

第二阶段的推进方式，基本就是围绕这三点做加练：把审计动作拆成可重复的步骤，而不是靠印象去猜哪里有问题。

它讲的是“方法”，但方法要落到具体场景里

课程主线是系统化的审计方法，配套的实战案例占了不小篇幅。这意味着你不会只听到“要关注输入输出”“要注意过滤函数”这类正确但用不上的话，而是会看到具体代码里，一个参数是怎么被追踪、怎么判断它是否真的可控、判断完之后又该怎么验证。

比较值得留意的部分是参数追踪和过滤绕过的判断逻辑。实际审计里最容易出错的地方，不是找不到危险函数，而是误判了过滤是否有效——以为被拦住了，其实没有；以为绕不过去，其实换个编码方式就过了。这套内容在这类判断上给的是可复用的思路，而不是结论清单。

另外，案例的体量意味着你得跟着动手。光看不练，这一阶段的效果会打不少折扣。

配套练习该怎么用

建议把每个案例当成一道题：先自己走一遍审计流程，标出你认为可疑的位置和理由，再对照讲解看差在哪里。重点不是“我有没有找到那个洞”，而是“我的判断依据和讲解里的依据差在哪一步”。

如果你手上正好有在审的项目，可以一边看一边拿自己的代码套同样的流程，比单纯跟着案例走一遍收获更实在。案例的作用是给你一套动作规范，真正要练的还是自己独立走流程的能力。

看完应该能回答这几个问题

• 拿到一份陌生的业务代码，你的第一步切入点是什么，为什么从这里进？
• 一个参数从接收、传递到落地，中间哪些环节可能让过滤失效，你怎么逐个排除？
• 面对工具给出的可疑点，你用什么依据判断它是否真的可利用？
• 同一个漏洞类型换一种框架写法，你的判断方法还能不能套上去？

如果这几个问题你现在答得含糊，那说明缺的正是第二阶段要补的东西。如果已经答得很顺，那这套内容对你来说可能偏基础，可以先跳过。缺什么补什么，别在已经会的地方耗时间。