00×0前言
最近也是边挖src边审计代码，总结下最近的php代码审计的一些思路，我一般按照顺序往下做，限于能力水平，可能会有不对或者欠缺的地方，希望各位师傅能够指导。
00×1前期工作,需要的工具（我使用的)
PHPStorm
是PHP编程语言开发的集成环境。
Fotify
代码审计静态扫描工具，商业化静态代码扫描工具，误报率相对较低。
seay
源代码审计工具
CodeQl
高效的QL非商业的开源代码自动化审计工具。
xcheck
Xcheck是一款静态应用安全测试工具，旨在及时发现业务代码中的安全风险，尤其是由不受信输入所触发的安全漏洞。检测范围覆盖主流Web安全漏洞，具备速度快、误报低和准确率高等优点。
chromeHackerBar插件
00×3明确目标
在审计之前，我们首先先确定自己此次审计的目地，我觉得会有三种情况
为了提升自己的审计经验
项目中为了审计出能进一步利用的漏洞，一般需要getshell、ssrf这种级别的。
为了挖点洞，去换钱或者换cvecnvd。
有什么区别呢？
为了提升审计经验，我会去重点