1 业务数据安全

概述：商品数量篡改测试是通过在业务流程中抓包修改订购商品数量等字段，以判断服务器是否存在商品订购数量篡改漏洞。
手段：将请求中的商品数量修改成任意非预期数额、负数等进行提交，查看业务系统能否以修改后的数量完成业务流程。
目的：该项测试主要针对商品订购的过程中，服务器对异常交易数据处理缺乏风控机制而导致相关业务逻辑漏洞。

2 实验介绍

2.1 实验目的

加深对业务数据安全重要性的理解；
掌握测试业务数据是否存在篡改交易数据漏洞的方法。

2.2 实验环境

实验靶场——虚拟机：本节实验靶场是在win2008系统上基于phpstudy搭建的一个简单网站，win2008及phpstudy的安装过程可以参考《win2008R2SP1+WAMP环境部署》，网站的搭建过程可以参考《综合实验：一个简单丑陋的论坛网站》。
下载damiCMS-V5.4版CMS电子商城代码。
链接：https://pan.baidu.com/s/1b-Z6RaFBZ6CsSIErY46Pyg?pwd=q8qq
提取码：q8qq
解压并复制文件夹到靶机中的根目录下。不同版本的phpstudy软件的安装时生成的目录可能存在差异，本文dami_5.4路径如下。
真实机浏览器输入192.168.1.4/dami_5.4访问damiCMS，因为还没安装，需要先按以下步骤安装CMS。
页面滑到最下方，勾选并点击继续。
点继续。
填写信息：
（1）phpstudy中数据库的账号及密码，默认可以设置为root，数据库名填写dami。
（2）管理员用户及密码均设置为admin。
安装完成，点击访问网站首页。
点击右上角注册，填写用户名、密码、邮箱，并点击确定注册。
点击右上角进入登录页面，试试登录刚刚的账号。

3 实验过程

真实机浏览器访问刚刚的网站，登录刚刚的账号。
点击“在线充值”→“我要提现”。可以看到目前账户余额是0。
进入产品展示中选择一款产品。
在页面中将数量改为-1，点击立即购买。
随便填点内容，在付款方式选择为站内扣款，点击提交订单。
在网站右上角再次进入个人中心，再次查看到账户金额，发现多了6000。也就是刚刚输入的那个-1数量反过来给账户加了金额，这就是业务漏洞。

4 总结

加深对业务逻辑漏洞的理解。
掌握篡改交易数据这个业务逻辑漏洞的测试方法。

【业务安全05】业务逻辑漏洞之篡改交易数据——基于大米CMS-V5.4电子商城相关推荐

Web渗透测试之逻辑漏洞挖掘
1.逻辑漏洞特点:简单.复杂 1.1.利用工具简单: 数据包抓取工具(Burpsuit.fiddler等) 1.2.思路复杂: 核心:绕过真实用户身份或正常业务流程达到预期目的. 1.2.1.用户身份 ...
【CyberSecurityLearning 65】业务安全+业务逻辑漏洞实战
目录业务安全 * 业务安全概述 * 黑客攻击的目标业务安全测试流程 * 测试准备 * 业务调研 * 业务建模 * 业务流程梳理 * 业务风险点识别 * 开展测试 * 撰写报告万能用户名|密码业 ...
【逻辑漏洞】业务中常见的漏洞
全文内容来自陈晓光.胡兵.张作峰<web攻防之业务安全实战指南>,为本人阅读时摘取的学习笔记,特此说明. [逻辑漏洞]业务中常见的漏洞 0x00(理论部分) 业务风险点识别一.业务环节存 ...
5 Business logic vulnerabilities 业务逻辑漏洞
5 Business logic vulnerabilities 业务逻辑漏洞目录 5 Business logic vulnerabilities 业务逻辑漏洞一.What 二.业务逻辑漏洞如何 ...
张小白的渗透之路（十）——业务逻辑漏洞
业务逻辑漏洞由于程序逻辑不严谨或逻辑太过复杂,导致一些逻辑分支不能正常处理或处理错误,统称为业务逻辑漏洞关注重点业务流程 HTTP/HTTPS 请求分析漏洞分类身份认证暴力破解在没有 ...
【安全】Web应用常见业务逻辑漏洞
1 短信炸弹漏洞描述短信轰炸攻击是常见的一种攻击,攻击者通过网站页面中所提供的发送短信验证码的功能处,通过对其发送数据包的获取后,进行重放,如果服务器短信平台未做校验的情况时,系统会一直去发送短信 ...
主要行业的业务逻辑漏洞
目录一.金融行业二.电商行业三.互联网行业四.政务行业一.金融行业金融行业通用业务模块业务逻辑漏洞登陆暴力破解用户名密码撞库验证码爆破和绕过手机号撞库账户权限绕过注册恶 ...
058 业务逻辑漏洞
文章目录一:概述二:黑客攻击的目标三:业务安全测试流程 3.1:测试准备 3.2:业务调研 3.3:业务建模 3.4:业务流程梳理 3.5:业务风险点识别 3.6:开展测试 3.7:撰写报告四 ...
Web安全之业务逻辑漏洞
业务逻辑不同的项目有不同的功能,不同的功能需要不同的代码实现,实现这些核心功能的代码就叫业务逻辑. 业务逻辑漏洞业务逻辑漏洞是指由于程序逻辑不严谨或逻辑太复杂,导致一些逻辑分支不能正常处理或处理错 ...
业务安全 –业务逻辑漏洞
目录业务安全 –业务逻辑漏洞业务安全概述; 业务安全测试流程: 业务数据安全商品支付金额篡改前端JS限制绕过验证请求重放测试业务上线测试 *商品订购数量篡改密码找回安全注入业务逻辑 ...

【业务安全05】业务逻辑漏洞之篡改交易数据——基于大米CMS-V5.4电子商城

目录

1 业务数据安全

2 实验介绍

2.1 实验目的

2.2 实验环境

3 实验过程

4 总结

【业务安全05】业务逻辑漏洞之篡改交易数据——基于大米CMS-V5.4电子商城相关推荐

最新文章

热门文章