1.低代码开发平台有哪些?
2.htmlspecialchars_decode例子
3.php代码审计学习之函数缺陷
4.redhat跟centOS的区别？

低代码开发平台有哪些?

       低代码开发平台有：宏天软件、K2、奥哲等。

       宏天软件自主研发的J.Office OA 、EST-BPM、JOffice-ENT均向企事单位开放源代码，最新短信拦截源码使用用户能够灵活根据自己的实际情况进行二次开发。这些系列的产品均采用了最流行的SOA/MVC架构设计模式，具有科学的系统框架、体系的层次划分、合理的模块粒度和规范的软件接口，为各个业务插件的调整和扩展奠定关键基础。宏天软件整合了 EXT3、Ajax 、Spring 2.5、Struts2.0.、Spring Security 2.0、Spring AOP、java源码转为exeHibernate 3.3 GA、JBPM4.0、JasperReport 、JAVAMail等众多优秀的开源技术，组成功能强大的开发平台，可以做到跨平台，跨数据库，跨浏览器，并且容易升级扩展，充分考虑了系统的柔性和开放性。因此，可以保证开发系统的质量，同样可以应付不断变化的业务需求。它的出现，扭转了传统高成本、低效率的JAVA企业应用开发的局面，是正在提取app源码企业应用开发的首选利器。

       想了解更多关于低代码的相关信息，推荐咨询宏天软件。宏天软件门户平台核心要点是建设统一的系统入口、信息门户和业务门户；为管理者聚合各种信息、数据、报表等，便于决策，为普通用户整合业务处理入口，方便办公。用户中心实现用户组织数据和授权信息的统一管理，支持多维组织架构，支持分级授权管理，支持关系矩阵管理。用户中心提供标准的用户组织主数据，提供标准的数据查询接口，提供用户登录、操作过程的审批流php源码日志记录。

htmlspecialchars_decode例子

       PHP 中的 `htmlspecialchars_decode` 函数用于将 HTML 实体编码转换回相应的字符。让我们通过一个例子来理解它的用法。假设我们有如下字符串：

       php

       $str = "John &

       amp;

       &

       #;

       Adams&

       #;

       ";

       当我们使用 `htmlspecialchars_decode` 时，原始字符串中的特殊字符会被解码。首先，不指定额外参数的 `htmlspecialchars_decode($str)` 会这样处理：

       php

       echo htmlspecialchars_decode($str);

       浏览器输出将会是：

       John & 'Adams'

       接下来，如果我们传递 `ENT_QUOTES` 参数，它会解码单引号和双引号：

       php

       echo htmlspecialchars_decode($str, ENT_QUOTES);

       输出结果为：

       John 'Adams'

       最后，如果使用 `ENT_NOQUOTES` 参数，只解码 HTML 实体，但不会处理引号：

       php

       echo htmlspecialchars_decode($str, ENT_NOQUOTES);

       输出保持不变，为：

       John & 'Adams'

       在浏览器查看源代码时，原始字符串会被解析成 HTML 格式，例如：

       John &

       amp;

       amp;

       'Adams'

       这样，`htmlspecialchars_decode` 函数帮助我们在输出内容时，保持了字符的原始形式，而不是宏观指标公式源码显示为HTML实体。

php代码审计学习之函数缺陷

       原文链接：

       在文件上传代码中，若文件名位于1-区间内，利用PHP的弱类型比较特性，文件可成功上传。例如，数字6被转换为6，因该值位于指定范围内，从而实现上传。

       在piwigo2.7.1中，当case为"rate"时，将"rate"与"image_id"传入functions_rate.inc.php文件的"rate_picture"函数。查找"rate"是否存在于配置数组$conf['rate_items']中。只要"rate"值在(0,1,2,3,4,5)范围内，即可以绕过验证，但in_array函数第三参数未设置为true，导致安全漏洞。

       CTF中，"stop_hack"用于过滤危险函数。通过获取GET参数ID，使用"stop_hack"进行过滤并拼接到SQL查询语句中。filter_var函数存在默认仅过滤双引号，不过滤单引号的缺陷，除非设置"quotestyle"选项为ENT_QUOTES，才能实现对单引号的过滤。

       在anchor-cms源码分析中，关键代码未进行XSS过滤，存在安全风险。

       在CTF实例中，利用"__autoload"函数实现任意对象实例化。通过获取get参数并使用"stop_hack"过滤后，拼接到SQL查询语句中，实现任意对象的实例化。

       在Shopware 5.3.3的XXE代码分析中，获取"sort"参数并传入"RepositoryInterface"类的"unserialize"方法。通过"LogawareReflectionHelper"类的"unserialize"方法，新建反射类并传入参数，其中类名与参数均由可控的"sort"变量决定。

       在CTF中，利用"__autoload"方法的错误使用，实现任意对象实例化。当"__autoload"方法不存在时，使用类似方法实现对象实例化，通过参数传递文件名和信息作为键名。

       strpos函数使用不当引发漏洞。在查找特殊符号时，当未找到指定字符时返回"false"，若第一个字符找到则返回"0"，利用此特性可以进行注入。

       DeDecms V5.7SP2中，用户密码重置漏洞允许任意密码修改。通过传入mid查询用户信息，当安全问题和答案不为空且匹配时执行sn函数，若未设置问题答案则安全问题为0，安全答案为null，使密码修改流程失效。

       在api.php的buy函数中，使用"=="比较操作符进行弱类型比较，传入7个true值实现绕过。

       在escapeshellarg与escapeshellcmd的不当使用中，通过构造字符串绕过转义规则，实现命令注入。

       在postcard中，通过filter_var()函数的缺陷，利用双引号嵌套转义空格和单引号双引号重叠，实现数据绕过检测，进行注入。

       在CmsEasy 5.5漏洞分析中，通过全局搜索和catid参数，寻找到可控制的配置项，利用eval函数执行恶意代码。

       RabbitMetinfo 6.0.0中，未恰当的exit导致程序逻辑异常，导致重装漏洞。

       在unserialize反序列化漏洞中，使用不当的unserialize方法，绕过数据类型检查，实现代码执行。

       在Typecho-1.1漏洞分析中，通过base解码和反序列化操作实现代码执行，关键步骤涉及session变量的判断和使用。

       深入研究preg_replace与代码执行，利用e模式修正符进行代码执行，通过构造特定参数绕过限制。

       DM企业建站系统中，存在ENT_NOQUOTES设置导致的注入漏洞。

       Turkey Baster实例中，利用addslashes过滤机制的绕过，通过构造特定类名实例化实现目标。

       在苹果CMS视频分享程序8.0漏洞分析中，直接拼接SQL语句，导致SQL注入，通过过滤和url解码操作实现注入。

       从变量覆盖到getshell的SnowmanDuomiCMS_3.0漏洞分析，通过全局变量覆盖实现shell注入。

       PHP反序列化漏洞学习中，讨论ENT_COMPAT、ENT_QUOTES、ENT_NOQUOTES设置，以及ereg、us--Tsai-A-New-Era-Of-SSRF-Exploiting-URL-Parser-In-Trending-Programming-Languages等关键概念与实践。

redhat跟centOS的区别？

       é¦–先因为Redhat是基于Linux内核的，Linux本身就是开源的，根据Linux内核遵循GPL v2协议的规定，Redhat系统必须开源它的源码，事实上Redhat的编译版本和源码都是可以免费下载的。所以有人就下载了Redhat的源码，把Redhat的logo之类的标志、版本信息去掉后，自己编译成一个系统，并上传到网上供大家下载使用，后来成立了一个组织专门做优化这个自己编译的操作系统，并把这个系统叫做：Community enterprise operating system，取第一个单词的首字母C和第二个单词的前三个字母ent，简称Cent操作系统，而我们知道操作系统一般都用OS做简称，故这个系统叫：CentOS，它的本意就是“社区版企业操作系统”，就是网上社区的成员拿红帽的代码编译的。

       æ‰€ä»¥ï¼ŒCentOS其实就是Redhat，可以说它们没有区别，唯一的区别是CentOS去掉了Redhat的商标(logo)之类的版权信息，另外，编译的时候，因为社区是民间组织，我们常说高人在民间，所以CentOS社区的人在编译Redhat源码时可能发现了一些错误，他们会对这些错误进行修正。

       æœ‰äººå¯èƒ½ä¼šè§‰å¾—奇怪，Redhat公司的人这么辛苦写出来的源码，却还必须遵守GPL协议免费公开发到网上供大家下载使用，那Redhat还怎么赚钱？答案是，Redhat系统本身也是免费的，它的系统根本就不要钱，要钱的是“服务”和“商业授权费”，当公司使用Redhat系统(也就Redhat for Enterprise Linux，即红帽企业操作系统)时，你必须给Redhat公司交“授权费”，个人使用没人管你，因为它的系统你随时可以免费下载，但是公司使用它时，如果被它发现了你没有给授权费，就会被起诉赔钱，另外就是你可以使用Redhat的“服务”，服务器出问题他们的专业人员可以帮你处理，这也是收费的。

       åˆæœ‰äººå¯èƒ½ä¼šè§‰å¾—很奇怪，既然RHEL系统免费让你下，源码也免费让你下，但为什么你用RHEL系统就要授权费？因为RHEL系统是Redhat公司开发的，人家有版权，但你交了授权费之后，如果系统出现什么大的问题，Redhat公司应该也是要赔你公司钱的，你可以选择不用RHEL系统，而是用CentOS系统，因为根据前面所说，CentOS其实就是Redhat系统嘛，只不过去掉了Redhat版权信息，改成了CentOS，而CentOS是社区版，是免费的。但是由于CentOS是免费的，如果你使用CentOS有什么重大问题造成公司有重大损失，CentOS是不会赔你钱的，因为CentOS本身并不是公司，而是一个民间组织，它们的存在，实际上就是因为有很多人认为自己技术够牛，不需要Redhat公司来做技术支持，也不想花钱买RHEL系统的使用授权，所以他们自己使用Redhat的源码编译出来CentOS，并且由于代码不是他们自己写的，所以他们不能对CentOS收费，因为他们本身就是为了不使用收费的RHEL才自己编译的CentOS，所以他们自然也不会去收费(也无权收费)，但因为他们不收费，所以也不需要对使用者负责，也就是说使用者因为CentOS出什么问题对公司造成损失，他们是不需要负责的，你既然想省钱就别怕出事。

       ç„¶è€ŒCentOS实际上是比较稳定的，也不会出什么事，所以目前国内绝大部分互联网公司都使用CentOS系统，但也有使用Ubuntu的，国外用Ubuntu的更多，全世界用Ubuntu做服务器的比用CentOS的多，但在中国用Ubuntu的比用CentOS的少，原因可能是因为中国最早那批会Linux的人都学的红帽(Redhat)系统，他们教出来的人自然也都是用红帽的，而CentOS其实就是红帽，用法肯定也基本上一样，所以大家相互学的都是这个系统的相关知识，导致国内大部分互联网公司都用CentOS做服务器。