声明：只是用于学习交流，笔记记录，不可用作违规用途。

一、业务逻辑漏洞简介

简单理解：就是编程人员的思维逻辑不够严谨导致攻击者有机可乘的漏洞。
逻辑漏洞还是一种虽然没有在owasp top10中提及到，但是往往会存在的漏洞，并且在hvv，渗透测试中广泛存在，造成的破坏可能一点不比sql注入，xss等漏洞小，如下是逻辑漏洞的top10挖掘方向。

二、常见的逻辑漏洞

交易支付、密码修改、密码找回、越权修改、越权查询、突破限制等各类逻辑漏洞，逻辑漏洞很多时候都需要脑洞大开。

三、场景

1、饮料贩卖机

替换订单ID，创建订单时在支付界面，在此创建订单替换订单ID（高价替换低价）
无限新用户优惠订单，重复创建优惠订单
替换优惠券ID（未达到条件使用）
个别情况订单数量为1.99时，客户端只支付1元，实际上服务器认为支付了2元。
取货时并发

2、直播

快速进出房间炸房
无限发送点赞协议
修改礼物数量，0，小数，负数，特定值（一般情况下为1073741824）
修改礼物ID，遍历尝试是否有隐藏ID。
并发送礼物，抽奖
无限创建首次优惠订单，有些首次优惠订单是一个特殊的pid，这种直接替换pid进行支付，有些是相同的ID，这种的提前创建订单，记录多个订单号在依次修改订单支付。
刷屏：发言刷屏，分享，点赞等有提示的地方刷屏。
房间内可以申请的地方进行申请取消操作，看看是否能炸房。
越权踢人，增加管理员，关闭房间等操作。
发送的表情是否可以修改长宽

3、购物APP

购买数量：为0，小数，负数，正负值
代金券：并发领取，遍历领取，同一个代金券重复使用，未满足条件使用代金券
越权：登录，操作别人订单，修改资料

4、外卖

商品数量，0，负数，小数，特定值，正负数
送餐员评价修改，星级，打赏金额
订单超出送餐地址
强行货到付款，取消订单，退款
越权操作别人订单，登录
优惠购买会员（重复使用优惠购买）

5、交易平台

钱包并发提现，负数提现
使用钱包支付时多个订单并发支付（是否支付金额能大于余额）
转账负数，并发转账
上架商品突破限制，例如数量，字数
替换订单，创建订单号如果订单状态可修改，先进到支付界面，然后将订单修改成更大的金额，然后支付提前进入的支付界面。
数量修改

6、社交

强行举报（读取本地消息上传那种）
强行加好友（一般尝试重发通过好友这条协议）
自由修改号码（靓号类）
群管理无限禁言
越权禁言，踢人，拉黑
会员修改金额，数量。无限优惠购买。
非会员使用会员功能。

7、漫画

打赏金额为负数，小数，特定值（溢出）
越权删除评论，登陆
修改充值金额
付费漫画免费看
评论图片数量过多会导致客户端加载卡死

8、音乐

唱歌类软件修改上传分数等参数
付费下载尝试替换下载ID
修改付费下载金额
F12查看下是否有歌曲地址

9、网约车

无限叫车，重复发送协议造成市场混乱
修改评价分数
修改现实优惠叫车关键参数
替换优惠券
越权操作其他订单

四、根据漏洞出现位置来总结

五、如何挖掘

确定业务流程
寻找流程中可以被操控的环节
分析可被操控环节中可能产生的逻辑问题
尝试修改参数触发逻辑问题

六、注册处存在的逻辑漏洞

1、ZZCMS8.1批量注册

在这里使用phpstudy搭建好了zzcms，注册填写相关信息，然后抓包。

将数据包发送到repeater，每次修改username值，发现，只需要修改username值就可以注册
成功⽤户，图形验证码⽆效，并且未对电话，邮箱等信息校验，可批量注册

2、ZZCMS8.1批量猜解用户

同样是注册功能，在输⼊⽤户名时，发现会提示⽤户名是否存在，猜测该位置可以猜测哪些⽤户注册过该⽹站

在这里可以抓包，会发现对用户名id进行判断，发送到监测器，可以批量探测已经注册过的用户。

七、登录部分存在的逻辑漏洞

1、暴力破解用户名或密码

暴力破解用户名密码的情况，一般出现在登录部分没有验证码机制，没有根据用户名限制失败次数，没有根据IP限制失败次数等情况下。
一般来说：

直接拿密码字典爆破某一个用户名
拿固定的弱口令密码，去跑用户名
如果只是用户名限制失败次数，可以使用思路2的方法
在存在返回提示用户名错误或者密码错误的情况下，可以分别爆用户名和密码
常见限制：有时候会发现用户名或者密码是密文加密，这是可能通过前端或者其他方式加密，对于简单的来说base64编码和md5签名是很好识破的，在爆破的时候可以选择encode和hash。

2、利用cookie&session

（1）cookie的作用和介绍

1、可以在客户端上保存用户数据，起到简单的缓存和用户身份识别等作用
2、保存用户的登录状态，用户进行登录，成功登录后，服务器生成特定的cookie返回给客户端，客户端下次访问该域名下的任何页面，将该cookie的信息发送给服务器，服务器经过检验，来判断用户是否登录。
3、记录用户的行为

（2）cookie分类

cookie分为会话cookie和持久cookie。
会话cookie是指在不设定它的生命周期，浏览器的开启到关闭就是一次会话，当关闭浏览器时，会话cookie就会跟随浏览器而销毁。
持久cookie则是设定了它的生命周期，此时，cookie像商品一样，有个保质期，关闭浏览器后，它不会销毁，知到设定的过期时间。

（3）cookie伪造

cookie伪造：通过修改cookie中的某个参数来实现登录其他用户。
测试方法：

使用一个账号登录，找一个可以证明身份的页面，例如首页的欢迎XX或者是个人中心显示昵称的地方。
刷新该页面拦截请求，观察cookie中的字段和值，例如 userid=xxx，修改cookie中的值，把xxx改成admin。
forword放行，页面显示admin信息，则存在此问题。
修复方法：对于客户端标识的用户信息，使用session会话认证方式，避免通过cookie去仿冒其他人的身份。

（4）cookie登录绕过漏洞

如果用户登录验证使用cookie身份验证会存在安全隐患，cookie信息是外部控制的，如果验证不严很容易被绕过。
模拟环境：cookie身份绕过。
cookie可以在浏览器提交的数据进行修改的。
绕过方法：用buspteuie修改username不等于空即可绕过。

修复方式：
1、使用cookie身份验证时，不要使用简单的验证，对外部输入的参数进行过滤。
2、尽量使用session安全认证，session是外部不可控的。

（5）cookie和session的区别

cookie实际上是一小段文本信息，客户端请求服务器，绕过服务器需要记录该用户的状态，就使用response向客户端浏览器颁发一个cookie，客户端浏览器会把cookie保存起来，当浏览器再次请求该网站时，浏览器就会把请求地址和cookie一同给服务器，服务器检查该cookie，从而判断用户的状态，服务器还可以根据需要修改cookie的内容。
session是另一种记录客户状态的机制，不同的是cookie保存在客户端浏览器中，而session保存在服务器上，客户端浏览器访问服务器的时候，服务器把客户端信息以某种形式记录在服务器上，这就是session，客户端浏览器再次访问时只需要从该session中查找该客户的状态就可以了。

（6）session会话固定攻击

Session会话固定攻击：一种诱骗受害者使用攻击者指定的会话表示的攻击手段，利用了服务器的session不变的机制。

测试方法：

Session会话注销测试
用户注销或者退出应用时，利用登录时的Session是否能再次利用登录。
Session会话超时时间测试
用户登录系统后，在固定时间没有与服务器任何交互操作，刷新页面，看是否需要重新登录账户。
攻击者重置Session id的方法：通过xss，嗅探等方法取得用户的session，修改数据包。
修复方法：
每次登录成功之后重新生成session，session id闲置过久时，进行重置session id。

（7）Session身份绕过漏洞

使用已经登录用户的session，修改用户名为任意用户，同样可以成功登录。

修复方法：不要把session放置网站目录，绕过需要就设置权限访问，除了本地其他用户禁止访问。

八、支付时存在的逻辑漏洞

大米CMS支付逻辑漏洞复现

在产品展示中，商品大米测试产品价格6000元，网站存在支付逻辑漏洞，可以使用1毛钱购买6000元的大米测试产品。
开启抓包，点击加入购物车。

将price改为1，qty改为10，发送。（数量为10，价格为1）

在购物车即可看到已经被修改。

除了上述修改商品数量的方法，支付时的逻辑漏洞还包含以下几种思路：
修改商品编号，条件竞争，金额修改，充值中放弃订单未生效。

九、业务处理-越权漏洞

1、越权访问漏洞概念简析

（1）授权与验证

了解越权访问的概念，首先要了解授权和验证的概念，授权是指网站赋予特定人对网站特定资源的读写权限，而验证是网站用于检查操作者是否真的可以对特定资源进行读写。

（2）未授权访问

未授权访问是指用户在梦游通过认证授权的情况下，能够直接访问需要通过认证才能访问到的页面或文本信息。

2、什么是越权漏洞

由于梦游对用户权限进行严格的判断，导致低权限的账号（比如普通用户）可以去完成高权限账号（比如超管）范围内的操作，如果能够成功操作，则称之为越权操作，越权漏洞形成的原因是后台使用了不合理的泉休闲校验规则导致的。

3、越权漏洞的产生原因

开发人员在对数据进行操作时对客户端请求的数据过分相信，遗漏了对于客户端权限的仔细判定。

4、越权漏洞常见位置

1、修改、重置、找回其他账户密码
2、查看、修改其他账户未公开的信息，例如个人资料、文件、数据、程序等
3、与账户关联的权限操作

5、越权访问漏洞的分类

越权漏洞主要分为水平越权和垂直越权两大类。

（1）水平越权

同级别（权限）的用户或者同一个角色的不同用户之间，可以越权访问，修改或者删除的非法操作，如果出现此漏洞，你们将可能会造成大批量数据泄露，严重的甚至会造成用户信息被恶意篡改。

（2）垂直越权

指使用权限低的用户可以访问权限较高的用户。
危害：
向上越权：普通用户可以执行管理员权限，比如发布文章，删除文章等。
向下越权：一个高级用户可以访问低级用户信息（暴露用户隐私）。

6、水平越权：metinfoV40越权漏洞

在会员中心注册登录，登录后进入修改基本信息的页面，随便修改一个密码，点击提交信息的同时抓包。

抓包修改useid为管理员id。

成功修改管理员账号密码为123456，尝试后台登录。

7、垂直越权：CouchDB垂直权限绕过漏洞（CVE-2017-12635）

（1）漏洞描述

Apache CouchDB是⼀个开源数据库，专注于易⽤性和成为”完全拥抱web的数据库”。它是⼀个使⽤JSON作为存储格式，JavaScript作为查询语⾔，MapReduce和HTTP作为API的NoSQL数据库。应⽤⼴泛，如BBC⽤在其动态内容展示平台，Credit Suisse⽤在其内部的商品部⻔的市场框架，Meebo，⽤在其社交平台（web和应⽤程序）。
在2017年11⽉15⽇，CVE-2017-12635和CVE-2017-12636披露，CVE-2017-12636是⼀个任意命令执⾏漏洞，我们可以通过config api修改couchdb的配置query_server，这个配置项在设计、执⾏view的时候将被运⾏。
影响版本：小于1.7.0 以及小于 2.1.1。
安装好环境。

刷新抓包，将包覆盖，发送，即可使用test 123456登录成功。

（2）后记

越权漏洞的产生归根究底，还是由于网站开发者和管理者授权意识的淡薄，授权的滥用，因此，授权应当遵守如下几条原则：

使用最小权限原则对用户进行赋权，对待权限做一只铁公鸡。
使用合理（严格）的权限校验规则。
使用后台登录状态作为条件进行权限判断。

十、密码找回时存在的逻辑漏洞

1、邮箱弱token

（1）Unix时间戳+md5

通过邮箱找回密码，正常流程去邮箱查看重置密码链接，发现链接处有一串md5加密字符串。
重置他人密码只需力量用他人邮箱发送重置密码右键，在短时间内对Unix时间戳进行暴力破解，即可获得重置密码的链接。

（2）用户名

重置密码链接直接使用用户名进行区别，改变用户名即可更改他人密码。

（3）服务器时间

利用两个账号同时点击找回密码，去邮箱查看找回密码的链接，发现两者随机token只差1-2，而且可以猜测出为服务器时间，所以可以用一个未知账号和一个已知账号同时点击找回密码，稍微遍历随机token，就可以构造出未知账号的没密码找回链接。

2、生成可控token

例如当我们通过邮箱找回密码，正常流程下抓包查看提交验证码后返回的数据，有加密字符串，这个加密字符串和后面重新设置新密码URL链接中的加密字符串一样。
所以可以利用这个加密字符串实现新密码rul中的加密字符串可控。
根据上面提交验证码的抓包，修改user为其他用户，发送就可以返回其他用户的加密字符串。
接着重新返回到找回密码首页，利用其他用户找回，点下一步，到输入验证码处，直接修改URL链接，加入加密字符串，可以直接绕过验证码，重置密码。

3、短信验证码找回密码

1、进入某网站，找到找回密码或密码重置的功能点，首先填写自己的手机号码进行密码找回。
2、收到验证码后填入验证码和新密码提交，这时候使用数据抓包工具进行抓包，将数据包中的账户属性修改为其他账号，然后就可以使用自己设置的密码登录其他账户。

4、重新绑定用户手机

首先注册一个某邮箱的测试账号，然后会跳转到一个手机绑定页面上。
注意此链接中有个参数为UID，将UID修改为其他人的邮箱账号，填入一个可控的手机号码，获取验证码，确定后这个目标有限已经被越权绑定了密保手机。
走正常的密码取回流程，发现这个邮箱多了一个通过手机找回密码的方式，这个手机号就是刚绑定的手机号码。
获取验证码并填入新密码，最终重置目标账户的密码。

5、重新绑定用户邮箱

首先注册一个某网站的测试账号
连接尾部的一串数字时用户的ID，通过修改ID可以进入其他用户的页面，该页面提供了更改邮箱的功能，可以在此处将邮箱地址修改为自己测试的邮箱。
然后使用改邮箱进行密码找回。

6、密码找回漏洞

（1）模拟环境

（2）时间戳转换

（3）md5（当前时间戳+用户名）生成token原理

当前面条件都通过后就可以生成token，我们可以在提交key之前生成一分钟或者一个小时内的token值，用脚本去访问每一个链接。

（4）使用代码生成一个小时的token

<?php
function create_pass($username,$email){$token=md5(time().$username.$email);return $token;
}
for($i=1;$i<=3600;$i++){$timex= create_pass('admin','admin@admin.com');write_file($timex."\n");echo $i."\r\n";sleep(1);
}
function write_file($c){fwrite(fopen("time.txt", "a+"),$c);
}
?>

（5）运行脚本，同时网页也提交我们的信息，让数据库更新token值

（6）token.php（上面代码）运行会在当前目录创建一个time.txt文件保存预测的token值

（7）此时我们可以根据预测的token值，在网页进行提交测试，如果token值多，可以使用burp枚举

（8）修改成功

链接上面是c=send&token=（获取到的）

（9）修复方法

修改加密算法和加密内容，一定要是强加密，也要做到增加猜解难度或密文不可猜解。
用户身份验证一定要在后端实现
在最后一步修改密码的动作时，一定要校验账号是否通过了验证、短信与手机号是否对应、发送短信与已校验账号不要使用同一个session名称。

十一、验证码存在的逻辑漏洞

1、暴力破解

要了解常见验证码机制：

有的验证码输入正确一次，在一定时间内不用再输入。
有的验证码输入正确一次，会在你session中设定一个值，告诉服务器你已经通过验证码验证了。
有的验证码因为逻辑问题只是一个摆设，正常的逻辑为先对比验证码是否正确，再检测账号密码是否有正确，反过来就成了摆设。

2、时间、次数突破

概念：重复提交携带验证码的数据包，查看返回包，判断次数。
测试方法：
填写正确登录信息和验证码→抓取提交数据包→重复提交该数据包→查看是否登录成功→登录成功则存在验证码重复使用问题。

3、回显测试

概念：验证码直接由客户端生成，在回显中显示，可以通过浏览器工具直接查看。
测试方法：
1、在源码中显示，源代码审计，搜索源码中有无验证码。
2、在cookie中显示，抓包时分析cookie中是否含有验证码。

4、绕过验证码

漏洞成因：
由于逻辑设计缺陷，可以绕过验证，比如直接删除cookie或验证码参数可绕过，当验证不通过清空session时，验证码参数值为空时绕过等。
测试方法：

输入正确账户信息和错误验证码，登录时抓包
删除cookie
客户端登录成功

5、篡改手机号

在需要手机号的短信验证处，抓包修改手机号，可能做到非本账号手机号获取能够编辑本账号的验证码。

zzcms8.1任意密码重置

忘记密码功能，我们输入用户名正确后会进行短信验证码，通过手机验证码或者游戏验证码。

要选择拦截此请求包的回应，可以抓到这个包。

将no改为yes发送。

会直接跳到更新密码。

十二、业务接口存在的逻辑漏洞

随着网络的不断发展，一些网站为了实现某些功能，需要去调用一些第三方接口，比如三大运营商的短信业务接口、支付宝、微信等第三方支付接口，那么在调用过程中，如果未能做一些安全处理，你们就会容易发生一些业务接口调用上的安全漏洞，常见的业务接口调用漏洞如下：

1、重放攻击

在短信、电话、邮件调用业务或生成业务数据环节中（短信验证码，电话验证码，邮件验证码，订单生成，评论提交等），对其业务环节进行调用（重放）测试，如果业务经过调用（重放）后被多次生成有效的业务或数据结果。
危害：

短信轰炸
电话轰炸
邮箱轰炸
恶意用户注册
恶意上传
恶意评论

2、接口未授权访问

测试方法：
只要是登录后才可以返回相关信息的接口，在未登录状态下也可以返回，就是未授权访问，在一般的网站测试中，可以http history中选择网站的根目录地址，然后右键spider from here进行爬取相关的url，然后在target栏下的site map中利用mime type进行筛选，主要关注一下json、script、xml等这些类型，然后把rul贴到浏览器中看是否能访问来验证。
修复方法：
利用token校验的方式，在url中添加一个token参数，只有token验证通过才返回接口数据且token使用一次后失效，在接口被调用时，后端对会话状态进行验证，如果已经登录，便返回接口数据，如果没有登录，则返回自定义的错误信息。

生命在于学习——业务逻辑漏洞相关推荐

攻防演练中的业务逻辑漏洞及检测思路
随着各类前后端框架的成熟和完善,传统的SQL注入.XSS等常规漏洞在Web系统里逐步减少,而攻击者更倾向于使用业务逻辑漏洞来进行突破.业务逻辑漏洞,具有攻击特征少.自动化脆弱性工具无法扫出等特点,也为 ...
【BP靶场portswigger-服务端5】业务逻辑漏洞-11个实验（全）
前言: 介绍: 博主:网络安全领域狂热爱好者(承诺在CSDN永久无偿分享文章). 殊荣:CSDN网络安全领域优质创作者,2022年双十一业务安全保卫战-某厂第一名,某厂特邀数字业务安全研究员,edus ...
不可思议但又无处不在的漏洞，WEB安全基础入门—业务逻辑漏洞
欢迎关注订阅专栏! WEB安全系列包括如下三个专栏: <WEB安全基础-服务器端漏洞> <WEB安全基础-客户端漏洞> <WEB安全高级-综合利用> 知识点全面细致 ...
业务逻辑漏洞挖掘-某网站绕过下载付费机制进行下载文件
某网站绕过下载付费机制进行下载文件学习漏洞也学了一段时间了,对于一些常见的漏洞也就在靶场上练习.靶场毕竟是靶场,挖漏洞还是得尝试在一些真实的网站进行练习.于是,不多说了,虚拟机启动,burpsuit ...
张小白的渗透之路（十）——业务逻辑漏洞
业务逻辑漏洞由于程序逻辑不严谨或逻辑太过复杂,导致一些逻辑分支不能正常处理或处理错误,统称为业务逻辑漏洞关注重点业务流程 HTTP/HTTPS 请求分析漏洞分类身份认证暴力破解在没有 ...
【CyberSecurityLearning 65】业务安全+业务逻辑漏洞实战
目录业务安全 * 业务安全概述 * 黑客攻击的目标业务安全测试流程 * 测试准备 * 业务调研 * 业务建模 * 业务流程梳理 * 业务风险点识别 * 开展测试 * 撰写报告万能用户名|密码业 ...
浅谈——业务逻辑漏洞
目录什么是业务逻辑漏洞产生原因脑图有哪些应用场景?哪些危害? 越权支付漏洞靶机案例修改支付金额密码找回绕过越权防御方式参考 | 提示
5 Business logic vulnerabilities 业务逻辑漏洞
5 Business logic vulnerabilities 业务逻辑漏洞目录 5 Business logic vulnerabilities 业务逻辑漏洞一.What 二.业务逻辑漏洞如何 ...
主要行业的业务逻辑漏洞
目录一.金融行业二.电商行业三.互联网行业四.政务行业一.金融行业金融行业通用业务模块业务逻辑漏洞登陆暴力破解用户名密码撞库验证码爆破和绕过手机号撞库账户权限绕过注册恶 ...
058 业务逻辑漏洞
文章目录一:概述二:黑客攻击的目标三:业务安全测试流程 3.1:测试准备 3.2:业务调研 3.3:业务建模 3.4:业务流程梳理 3.5:业务风险点识别 3.6:开展测试 3.7:撰写报告四 ...

生命在于学习——业务逻辑漏洞