1.低代码开发平台有哪些?
2.htmlspecialchars_decode例子
3.php代码审计学习之函数缺陷
4.redhat跟centOS的区别？

低代码开发平台有哪些?

       低代码开发平台有：宏天软件、K2、奥哲等。

       宏天软件自主研发的J.Office OA 、EST-BPM、JOffice-ENT均向企事单位开放源代码，显示日期的源码.使用用户能够灵活根据自己的实际情况进行二次开发。这些系列的产品均采用了最流行的SOA/MVC架构设计模式，具有科学的系统框架、体系的层次划分、合理的模块粒度和规范的软件接口，为各个业务插件的调整和扩展奠定关键基础。宏天软件整合了 EXT3、Ajax 、Spring 2.5、Struts2.0.、Spring Security 2.0、Spring AOP、伏羲x源码解析Hibernate 3.3 GA、JBPM4.0、JasperReport 、JAVAMail等众多优秀的开源技术，组成功能强大的开发平台，可以做到跨平台，跨数据库，跨浏览器，并且容易升级扩展，充分考虑了系统的柔性和开放性。因此，可以保证开发系统的质量，同样可以应付不断变化的业务需求。它的出现，扭转了传统高成本、低效率的JAVA企业应用开发的局面，是狂风冰元素源码企业应用开发的首选利器。

       想了解更多关于低代码的相关信息，推荐咨询宏天软件。宏天软件门户平台核心要点是建设统一的系统入口、信息门户和业务门户；为管理者聚合各种信息、数据、报表等，便于决策，为普通用户整合业务处理入口，方便办公。用户中心实现用户组织数据和授权信息的统一管理，支持多维组织架构，支持分级授权管理，支持关系矩阵管理。用户中心提供标准的用户组织主数据，提供标准的数据查询接口，提供用户登录、操作过程的云端更新源码日志记录。

htmlspecialchars_decode例子

       PHP 中的 `htmlspecialchars_decode` 函数用于将 HTML 实体编码转换回相应的字符。让我们通过一个例子来理解它的用法。假设我们有如下字符串：

       php

       $str = "John &

       amp;

       &

       #;

       Adams&

       #;

       ";

       当我们使用 `htmlspecialchars_decode` 时，原始字符串中的特殊字符会被解码。首先，不指定额外参数的 `htmlspecialchars_decode($str)` 会这样处理：

       php

       echo htmlspecialchars_decode($str);

       浏览器输出将会是：

       John & 'Adams'

       接下来，如果我们传递 `ENT_QUOTES` 参数，它会解码单引号和双引号：

       php

       echo htmlspecialchars_decode($str, ENT_QUOTES);

       输出结果为：

       John 'Adams'

       最后，如果使用 `ENT_NOQUOTES` 参数，只解码 HTML 实体，但不会处理引号：

       php

       echo htmlspecialchars_decode($str, ENT_NOQUOTES);

       输出保持不变，为：

       John & 'Adams'

       在浏览器查看源代码时，原始字符串会被解析成 HTML 格式，例如：

       John &

       amp;

       amp;

       'Adams'

       这样，`htmlspecialchars_decode` 函数帮助我们在输出内容时，保持了字符的原始形式，而不是小狐狸2.7源码显示为HTML实体。

php代码审计学习之函数缺陷

       原文链接：

       在文件上传代码中，若文件名位于1-区间内，利用PHP的弱类型比较特性，文件可成功上传。例如，数字6被转换为6，因该值位于指定范围内，从而实现上传。

       在piwigo2.7.1中，当case为"rate"时，将"rate"与"image_id"传入functions_rate.inc.php文件的"rate_picture"函数。查找"rate"是否存在于配置数组$conf['rate_items']中。只要"rate"值在(0,1,2,3,4,5)范围内，即可以绕过验证，但in_array函数第三参数未设置为true，导致安全漏洞。

       CTF中，"stop_hack"用于过滤危险函数。通过获取GET参数ID，使用"stop_hack"进行过滤并拼接到SQL查询语句中。filter_var函数存在默认仅过滤双引号，不过滤单引号的缺陷，除非设置"quotestyle"选项为ENT_QUOTES，才能实现对单引号的过滤。

       在anchor-cms源码分析中，关键代码未进行XSS过滤，存在安全风险。

       在CTF实例中，利用"__autoload"函数实现任意对象实例化。通过获取get参数并使用"stop_hack"过滤后，拼接到SQL查询语句中，实现任意对象的实例化。

       在Shopware 5.3.3的XXE代码分析中，获取"sort"参数并传入"RepositoryInterface"类的"unserialize"方法。通过"LogawareReflectionHelper"类的"unserialize"方法，新建反射类并传入参数，其中类名与参数均由可控的"sort"变量决定。

       在CTF中，利用"__autoload"方法的错误使用，实现任意对象实例化。当"__autoload"方法不存在时，使用类似方法实现对象实例化，通过参数传递文件名和信息作为键名。

       strpos函数使用不当引发漏洞。在查找特殊符号时，当未找到指定字符时返回"false"，若第一个字符找到则返回"0"，利用此特性可以进行注入。

       DeDecms V5.7SP2中，用户密码重置漏洞允许任意密码修改。通过传入mid查询用户信息，当安全问题和答案不为空且匹配时执行sn函数，若未设置问题答案则安全问题为0，安全答案为null，使密码修改流程失效。

       在api.php的buy函数中，使用"=="比较操作符进行弱类型比较，传入7个true值实现绕过。

       在escapeshellarg与escapeshellcmd的不当使用中，通过构造字符串绕过转义规则，实现命令注入。

       在postcard中，通过filter_var()函数的缺陷，利用双引号嵌套转义空格和单引号双引号重叠，实现数据绕过检测，进行注入。

       在CmsEasy 5.5漏洞分析中，通过全局搜索和catid参数，寻找到可控制的配置项，利用eval函数执行恶意代码。

       RabbitMetinfo 6.0.0中，未恰当的exit导致程序逻辑异常，导致重装漏洞。

       在unserialize反序列化漏洞中，使用不当的unserialize方法，绕过数据类型检查，实现代码执行。

       在Typecho-1.1漏洞分析中，通过base解码和反序列化操作实现代码执行，关键步骤涉及session变量的判断和使用。

       深入研究preg_replace与代码执行，利用e模式修正符进行代码执行，通过构造特定参数绕过限制。

       DM企业建站系统中，存在ENT_NOQUOTES设置导致的注入漏洞。

       Turkey Baster实例中，利用addslashes过滤机制的绕过，通过构造特定类名实例化实现目标。

       在苹果CMS视频分享程序8.0漏洞分析中，直接拼接SQL语句，导致SQL注入，通过过滤和url解码操作实现注入。

       从变量覆盖到getshell的SnowmanDuomiCMS_3.0漏洞分析，通过全局变量覆盖实现shell注入。

       PHP反序列化漏洞学习中，讨论ENT_COMPAT、ENT_QUOTES、ENT_NOQUOTES设置，以及ereg、us--Tsai-A-New-Era-Of-SSRF-Exploiting-URL-Parser-In-Trending-Programming-Languages等关键概念与实践。

redhat跟centOS的区别？

       é¦–先因为Redhat是基于Linux内核的，Linux本身就是开源的，根据Linux内核遵循GPL v2协议的规定，Redhat系统必须开源它的源码，事实上Redhat的编译版本和源码都是可以免费下载的。所以有人就下载了Redhat的源码，把Redhat的logo之类的标志、版本信息去掉后，自己编译成一个系统，并上传到网上供大家下载使用，后来成立了一个组织专门做优化这个自己编译的操作系统，并把这个系统叫做：Community enterprise operating system，取第一个单词的首字母C和第二个单词的前三个字母ent，简称Cent操作系统，而我们知道操作系统一般都用OS做简称，故这个系统叫：CentOS，它的本意就是“社区版企业操作系统”，就是网上社区的成员拿红帽的代码编译的。

       æ‰€ä»¥ï¼ŒCentOS其实就是Redhat，可以说它们没有区别，唯一的区别是CentOS去掉了Redhat的商标(logo)之类的版权信息，另外，编译的时候，因为社区是民间组织，我们常说高人在民间，所以CentOS社区的人在编译Redhat源码时可能发现了一些错误，他们会对这些错误进行修正。

       æœ‰äººå¯èƒ½ä¼šè§‰å¾—奇怪，Redhat公司的人这么辛苦写出来的源码，却还必须遵守GPL协议免费公开发到网上供大家下载使用，那Redhat还怎么赚钱？答案是，Redhat系统本身也是免费的，它的系统根本就不要钱，要钱的是“服务”和“商业授权费”，当公司使用Redhat系统(也就Redhat for Enterprise Linux，即红帽企业操作系统)时，你必须给Redhat公司交“授权费”，个人使用没人管你，因为它的系统你随时可以免费下载，但是公司使用它时，如果被它发现了你没有给授权费，就会被起诉赔钱，另外就是你可以使用Redhat的“服务”，服务器出问题他们的专业人员可以帮你处理，这也是收费的。

       åˆæœ‰äººå¯èƒ½ä¼šè§‰å¾—很奇怪，既然RHEL系统免费让你下，源码也免费让你下，但为什么你用RHEL系统就要授权费？因为RHEL系统是Redhat公司开发的，人家有版权，但你交了授权费之后，如果系统出现什么大的问题，Redhat公司应该也是要赔你公司钱的，你可以选择不用RHEL系统，而是用CentOS系统，因为根据前面所说，CentOS其实就是Redhat系统嘛，只不过去掉了Redhat版权信息，改成了CentOS，而CentOS是社区版，是免费的。但是由于CentOS是免费的，如果你使用CentOS有什么重大问题造成公司有重大损失，CentOS是不会赔你钱的，因为CentOS本身并不是公司，而是一个民间组织，它们的存在，实际上就是因为有很多人认为自己技术够牛，不需要Redhat公司来做技术支持，也不想花钱买RHEL系统的使用授权，所以他们自己使用Redhat的源码编译出来CentOS，并且由于代码不是他们自己写的，所以他们不能对CentOS收费，因为他们本身就是为了不使用收费的RHEL才自己编译的CentOS，所以他们自然也不会去收费(也无权收费)，但因为他们不收费，所以也不需要对使用者负责，也就是说使用者因为CentOS出什么问题对公司造成损失，他们是不需要负责的，你既然想省钱就别怕出事。

       ç„¶è€ŒCentOS实际上是比较稳定的，也不会出什么事，所以目前国内绝大部分互联网公司都使用CentOS系统，但也有使用Ubuntu的，国外用Ubuntu的更多，全世界用Ubuntu做服务器的比用CentOS的多，但在中国用Ubuntu的比用CentOS的少，原因可能是因为中国最早那批会Linux的人都学的红帽(Redhat)系统，他们教出来的人自然也都是用红帽的，而CentOS其实就是红帽，用法肯定也基本上一样，所以大家相互学的都是这个系统的相关知识，导致国内大部分互联网公司都用CentOS做服务器。