【业务安全05】业务逻辑漏洞之篡改交易数据——基于大米CMS-V5.4电子商城

1 业务数据安全

  1. 概述:商品数量篡改测试是通过在业务流程中抓包修改订购商品数量等字段,以判断服务器是否存在商品订购数量篡改漏洞。
  2. 手段:将请求中的商品数量修改成任意非预期数额、负数等进行提交,查看业务系统能否以修改后的数量完成业务流程。
  3. 目的:该项测试主要针对商品订购的过程中,服务器对异常交易数据处理缺乏风控机制而导致相关业务逻辑漏洞。

2 实验介绍

2.1 实验目的

  1. 加深对业务数据安全重要性的理解;
  2. 掌握测试业务数据是否存在篡改交易数据漏洞的方法。

2.2 实验环境

  1. 实验靶场——虚拟机:本节实验靶场是在win2008系统上基于phpstudy搭建的一个简单网站,win2008及phpstudy的安装过程可以参考《win2008R2SP1+WAMP环境部署》,网站的搭建过程可以参考《综合实验:一个简单丑陋的论坛网站》。

  2. 下载damiCMS-V5.4版CMS电子商城代码。
    链接:https://pan.baidu.com/s/1b-Z6RaFBZ6CsSIErY46Pyg?pwd=q8qq
    提取码:q8qq

  3. 解压并复制文件夹到靶机中的根目录下。不同版本的phpstudy软件的安装时生成的目录可能存在差异,本文dami_5.4路径如下。
    在这里插入图片描述

  4. 真实机浏览器输入192.168.1.4/dami_5.4访问damiCMS,因为还没安装,需要先按以下步骤安装CMS。
    在这里插入图片描述

  5. 页面滑到最下方,勾选并点击继续。
    在这里插入图片描述

  6. 点继续。
    在这里插入图片描述

  7. 填写信息:
    (1)phpstudy中数据库的账号及密码,默认可以设置为root,数据库名填写dami。
    (2)管理员用户及密码均设置为admin。
    在这里插入图片描述

  8. 安装完成,点击访问网站首页。
    在这里插入图片描述

  9. 点击右上角注册,填写用户名、密码、邮箱,并点击确定注册。
    在这里插入图片描述

  10. 点击右上角进入登录页面,试试登录刚刚的账号。
    在这里插入图片描述

3 实验过程

  1. 真实机浏览器访问刚刚的网站,登录刚刚的账号。
    在这里插入图片描述
  2. 点击“在线充值”→“我要提现”。可以看到目前账户余额是0。
    在这里插入图片描述
  3. 进入产品展示中选择一款产品。
    在这里插入图片描述
  4. 在页面中将数量改为-1,点击立即购买。
    在这里插入图片描述
  5. 随便填点内容,在付款方式选择为站内扣款,点击提交订单。
    在这里插入图片描述
  6. 在网站右上角再次进入个人中心,再次查看到账户金额,发现多了6000。也就是刚刚输入的那个-1数量反过来给账户加了金额,这就是业务漏洞。
    在这里插入图片描述

4 总结

  1. 加深对业务逻辑漏洞的理解。
  2. 掌握篡改交易数据这个业务逻辑漏洞的测试方法。
  • 4
    点赞
  • 6
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
大米CMS是一个免费开源、快速、简单的PC建站和手机建站集成一体化系统,致力于为用户提供简单、快捷的PC建站和智能手机建站解决方案。 大米CMS特点: 1、扩展字段自定义,根据自己系统需要无限扩展字段,对于SELECT等下拉选项支持PHP代码生成OPTION,支持自定义多图多文件上传字段! 2、后台栏目分类无限极,并可以控制字段的显示或隐藏,生成不同的管理表单,内置RBAC权限体系,分栏目权限,内容权限,方便管理 3、列表模板(list目录下)和详细模板(page目录下)自定义, 4、基于thinkphp MVC框架开发, 内置大量函数方便前台模板调用,大米拥有自己的万能标签与分类标签等方便调用数据 5、作站灵活,可以将该系统做成任何类型网站,内置新闻类型站、企业站、手机3g站模型,通过http://***安装目录****/?t=xinwen这种查看,方便二次开发出不同模板 7、支持伪静态与全站生成静态HTML,支持数据采集 8、国内率先将微电商的概念引入CMS,让企业站不仅仅再是展示企业,可快速开展电子商务。集成支付宝标准双接口,支持购物车,可在线支付,货到付款,站内支付三种购买方式!会员集成QQ快捷登陆,支持购物订单通过电子邮件提醒! 9、跨平台支持移动终端访问,自适应,不变形!可做手机APP等应用开发,内置JSON数据API接口 10、国内CMS首创MSYQL表万能管理模型,输入MYSQL表名即可生成一个有增删改功能的管理模型,可快速在此基础上开发出自己想要的管理功能! 11、配备手机数据交互接口JSON格式API 12、支持中英等多语言 大米CMS 更新日志: 采用最新的thinkphp6.X框架重构,做了大量封装,代码无任何加密 完全开源,支持composer更新,模板写法有少许变化,尽量遵照原来写法 让熟悉大米cms的可以快速上手
评论 1
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值