业务安全漏洞挖掘归纳总结计划.docxVIP

业务安全漏洞挖掘归纳总结 逻辑漏洞挖掘一直是安全测试中“经久不衰”的话题。相比 SQL 注入、 XSS 漏洞等传统安全漏洞，现在的攻击者更倾向于利用业务逻辑层的应用安全问题，这 类问题往往危害巨大，可能造成了企业的资产损失和名誉受损，并且传统的安全防 御设备和措施收效甚微。今天漏洞盒子安全研究团队就与大家分享 Web 安全测试 中逻辑漏洞的挖掘经验。 一：订单金额任意修改 解析 很多中小型的购物网站都存在这个漏洞。在提交订单的时候抓取数据包或者直接修 改前端代码，然后对订单的金额任意修改。 如下图所示： 经常见到的参数大多为 rmb value amount cash fee money 等 关于支付的逻辑漏洞这一块还有很多种思路，比如相同价格增加订单数量，相同订 单数量减少产品价格，订单价格设定为负数等等。 预防思路 订单需要多重效验，如下图所演示。 订单数值较大时需要人工审核订单信息，如下图所演示。 我只是提到两个非常简单的预防思路，第二个甚至还有一些不足之处。这里需要根据业务环境的不同总结出自己的预防方式，最好咨询专门的网络安全公司。 二：验证码回传 解析 这个漏洞主要是发生在前端验证处，并且经常发生的位置在于 账号密码找回 账号注册 支付订单等 验证码主要发送途径 邮箱邮件 手机短信 其运行机制如下图所示： 黑客只需要抓取 Response 数据包便知道验证码是多少。