业务安全 –业务逻辑漏洞

目录

业务安全 –业务逻辑漏洞

业务安全概述;

业务安全测试流程：

业务数据安全

商品支付金额篡改

前端JS限制绕过验证

请求重放测试

业务上线测试

*商品订购数量篡改

密码找回安全

---

注入

业务逻辑

信息泄露

业务安全概述;

简单讲，随着社会发展，越来越多的行业都开始发展互联网业务，利用信息通信性技术以及互联网平台进行商务互动（金钱交易）。如：银行、保险、证券电商、P2P、O2O、游戏、社交、招聘、航空等。涉及金钱、个人信息、交易、等重要隐私数据，成为黑客攻击的目标。

(业务逻辑漏洞主要是开发人员业务流程设计的缺陷，不仅限于网络层、系统层、代码层等。例登陆验证码绕过、交易中的数据被篡改、接口的恶意调用等，都属于业务逻辑漏洞)。

 

注：业务逻辑漏洞可以逃逸各种安全防护，迄今为⽌没有很好的解决办法。也是为什么⿊客偏好使⽤业务逻辑漏洞攻击的⼀个原因。

 

 

业务安全测试流程：

准备>>调研>>场景建模>>流程梳理>>风险点识别>>业务风险点识别>>开展测试>>撰写报告

 

业务数据安全

商品支付金额篡改

电商类网站在业务流程整个环节，需要对业务数据的完整性和一致性进行保护，特别是在确保在用户客户端与服务端、业务系统接口之间的数据传输的一致性。通常在订购类交易流程中，容易出现服务器端未对用户提交的业务数据进行强制校验，过度信赖客户提交的业务数据而导致的商品金额篡改漏洞。

商品金额篡改漏洞测试，通过BP抓包修改业务流程中的交易金额等字段，例在支付页面抓取金额字段，修改成任意金额提交，查看是否是修改后的金额数据完成业务流程。

测试作用：

主要针对订单⽣成的过程中存在商品⽀付⾦额校验不完整⽽产⽣业务安全⻛险点，通常导致攻击者⽤实际⽀付远低于订单⽀付的⾦额订购商品的业务逻辑漏洞。

现实案例：一毛钱买冰箱。