逻辑漏洞利用

最新推荐文章于 2023-08-18 10:48:08 发布

白帽小衫

最新推荐文章于 2023-08-18 10:48:08 发布

阅读量714

点赞数

文章标签：网络

本文链接：https://blog.csdn.net/Forget_liu/article/details/129987710

版权

验证码

万能验证码：

程序员在开发验证码模块时，为了方便调用验证码验证功能是否完善，故意设置了几个万能的验证码作为测试数据。在开发结束后由于程序员的疏忽，没有删除该测试验证码数据从而导致该漏洞的产生。

验证码回传：

通过抓包的方式，可以看到验证码内容回显在了数据包中；或者通过查看网页源代码可以看到验证码中的内容，导致正确验证码可以被直接读取利用到。

删除验证码绕过：

通过抓包将验证码的值删除或者直接删除验证码参数，然后将修改后的数据包进行重放导致验证码验证被绕过。

验证码爆破：

此处验证码爆破通常是指手机短信验证的方式，由于没有对输入同一个验证码的次数做限制，并且验证码的内容太简单，例如4位或者6位的纯数字组成。可以通过Burp的Intruder模块对验证码内容进行爆破，直到匹配到正确的验证码。

验证码重放

首先，输入错误的验证码，进行抓包重放一次，观察验证的返回的数据包内容，再用正确的验证码再进行抓包重放，对比两个数据包的差异，然后根据这些差异验证码是否失效。

然后将正确的验证码发送至Burp的Intruder模进行不断的重放，比较这些数据包是否都是正确验证码时返回的一样内容，如果数据包内容一样说明存在验证码重放的漏洞。

验证码与手机号未统一匹配

首先用自己的手机收到正确验证码，在点击注册时拦截包将手机号改为其他手机号，如果成功的话就注册了别人的手机号，这是因为后端仅验证了验证码是否是正确的而没有验证验证码是否与手机匹配。

短信轰炸

尝试不断重放发送验证码的数据包，查看手机是否在短时间内收到了多条短信，是的话则存在短信轰炸漏洞，这是因为后端没有对发送手机短信做时间/次数限制。

如果后端对短信验证码做了限制，那么可以尝试以下几种方式进行绕过：

删除修改cookie或者返回值，重放数据包
遍历参数发送数据包
对参数进行叠加
手机号后面加空格(%20)或者前面加其他的比如+86、逗号、分号、字母等
请求参数修改大小写，或者添加请求参数&id=1
多接口测试，可能登陆位置做了防护，但密码找回出没有防护
利用调用接口绕过短信轰炸限制
修改IP绕过短信轰炸限制
添加重复的手机号参数，重放数据包

越权操作

首先用一个账号登陆系统后，通过抓包修改用户参数，可以达到查看或者修改他人账号的目的，尽量对多接口或者多功能模块进行不断测试越权操作。同时也要多个账号登陆，分析对比这些账号数据包中的请求参数差异，通过修改这些存在差异的参数，看看是否能够达到越权操作的目的。

越权漏洞又分为平行越权，垂直越权和交叉越权。

平行越权：权限类型不变，权限ID改变
垂直越权：权限ID不变，权限类型改变
交叉越权：即改变ID，也改变权限

用户信息泄露

可能存在用户个人信息页面、密码找回处以及各种调用到用户信息数据的地方，通过抓包查看返回信息是否加载了一些敏感的数据信息，比如查询用户信息的时候也将用户的密码数据在数据包中回显了；或者在用户个人资料页面，通过抓包修改用户ID参数，可以通过遍历查询到其他账号的用户资料，导致用户信息泄露；

任意用户密码重置

通常发生在忘记密码处，由于系统没有严格匹配用户忘记密码时的验证方式，通过抓包修改用户参数，导致任意用户的密码都能够被重置。

比如某个忘记密码功能处采用手机号短信验证的方式来重置用户密码，如果该验证手机号没有对用户账户进行绑定，那么就可以通过输入任意手机号接收短信验证，然后就可以利用该验证码重置用户密码了。

订单金额任意修改

很多中小型的购物网站都存在订单金额任意修改漏洞。在提交订单的时候抓取数据包或者直接修改前端代码，然后对订单的金额任意修改。

经常见到的参数大多为：rmb 、value 、amount 、cash 、fee 、money 等

关于支付的逻辑漏洞这一块还有很多种思路，比如相同价格增加订单数量，相同订单数量减少产品价格，订单价格设定为负数等等。

未授权访问

有些业务的接口，因为缺少了对用户的登陆凭证的较验或者是验证存在缺陷，导致黑客可以未经授权访问这些敏感信息甚至是越权操作。

一般容易出现在文件导出下载，JSON数据页面，第三方应用页面等位置。

常见案例：

某电商后台主页面，直接在管理员web路径后面输入main.php之类的即可进入。
某航空公司订单ID枚举
某电子认证中心敏感文件下载
某站越权操作及缺陷，其主要原因是没对ID参数做cookie验证导致

实际上还有很多案例，他们都存在一个共同的特性，就是没有对用户的登陆凭证进行效验

接口无限制枚举

有些关键性的接口因为没有做验证或者其它预防机制，容易遭到枚举攻击。

常见案例：

某电商登陆接口无验证导致撞库
某招聘网验证码无限制枚举
某快递公司优惠券枚举
某电商会员卡卡号枚举
某超市注册用户信息获取

cookie/token设计存在缺陷

cookie的效验值过于简单。有些web对于cookie的生成过于单一或者简单，导致黑客可以对cookie的效验值进行一个枚举。或者通过修改cookie中的某个参数可以登陆其他用户，即cookie仿冒。

token一般是操作令牌，每个用户在登录系统时，服务器会为每个用户生成token令牌作为操作凭证。如果token设计太过于简单，那么可能会被破解；或者token没有设置过期的时间，使得用户token不唯一，导致用户token存在被盗用的风险。

找回密码存在设计缺陷

auth设计缺陷

经常研究逻辑漏洞的人可能会对以下URL很熟悉

www.xxx.com/resetpassword.php?id=MD5

用户修改密码时，邮箱中会收到一个含有auth的链接，在有效期内用户点击链接，即可进入重置密码环节。而大部分网站对于auth的生成都是采用rand()函数，那么这里就存在一个问题了，Windows环境下rand()最大值为32768，所以这个auth的值是可以被枚举的。

如下面这个代码可以对auth的值做一个字典。

$a=0;
for ($a=0;$a<=32768;$a++){
    $b=md5($a);
    echo "\r\n";
    echo $b;
}

然后重置某个账号，并且对重置链接内的auth进行枚举。

签约漏洞

使用A手机登陆账号A打开要测试的业务，点击自动续费，支付时停留在支付界面。
使用B手机登陆账号A打开要测试的业务，点击自动续费，支付时停留在支付界面。
重复多台手机进行同样操作
A手机点击支付进行签约
A手机支付成功后，在第三方APP中解除自动续费
B手机进行支付，支付成功后在第三方APP中解除自动续费
全部支付完成后，系统就会为你开通相应的次数，由于提前打开了支付界面，所以金额都是享受到新用户首月优惠的金额。
最终的效果是，一个
账户享受到了多次新用户首月优惠金额，即证明漏洞的存在。

通常这种漏洞比较容易出现在活动页面的会员优惠开通，而且要考虑到支付后要比正常购买优惠才算是漏洞。

会员升级

使用A手机登陆账号A，并且开通会员。开通超级会员，进入到升级页面，进行补齐差价开通。
使用B手机登陆账号A，点击开通超级会员，进入到升级页面，进行补齐差价开通。
A手机进行支付，B手机进行支付。服务器认为你补齐了多个月份的超级会员，然后到账多次。
其实这个和签约漏洞的原理差不多，绕过了支付后服务器才去校验是否可以升级的逻辑。

订单关闭

使用优惠券创建一个订单，停留在支付界面
关闭订单，返回优惠券
使用优惠券再次创建订单；把第一个未支付的订单进行支付
商品从关闭，重新进入到了代发货的阶段，优惠券却仍然存在，即证明漏洞存在

支付金额

有些业务在支付时会忽略分以后的单位，这时候就导致了存在分单位的金额也可以生成订单
比如0.019=0.02，在支付时客户端给服务器传了0.019元的订单。而第三方付支通常最小的单位为分
这就导致了返回的金额会吧后面的9屏蔽掉，只返回0.01（也有些直接四舍五入变成0.02的）
当你支付完0.01后，第三方会通知服务器支付成功，而服务器那边生成的是0.019，可能这个软件的侨胞最小单位也是分，四舍五入变成了0.02

int整数溢出

注意：在做溢出测试时，有可能导致目标服务器宕机，需要向授权单位申请授权后才能进行测试。

int的范围是-2147483648~2147483647。你可以把它看作是一个循环，当超过最大值后就重新从0开始计算
比如2147483649=-2147483647。有时候支付里面没有负数所以从0开始计算了
当支付金额为2147483649时，支付金额就变成了1，即2147483649-2147483648=1
支付的时候可以直接吧金额改成这个值，在测试商品时也可以让总价格为这个数。2147483648/物品单价+1=物品数量
以上的做法目的，简单的来说就是通过整数溢出来修改支付金额或者购买商品数量。

突破时间限制

一些网站中的限时活动设置了活动时间范围，可以通过抓包尝试更改时间参数为活动未限定范围内的。

前端验证

前端加密、后端解密校验。比如在用户登录时，通过抓包发现用户密码被加密传输了，可以利用一些解密工具进行破解，如：Burp解密或者一些在线解密网站。

暴力破解/撞库

首先在没有验证码或者验证码可以被绕过的情况下，尝试5次或者10次账号密码登陆，检测目标是否封禁账户，如果没有封禁规则，可以不断进行爆破。采用账号密码爆破，对于一些商城、应用、政府、学校采用撞库方式判断是否存在该账号（需要准备各类字典：手机号撞库、邮箱撞库、姓名撞库）。

密码找回

通过邮箱找回密码，访问链接重置密码，输入新密码后提交抓包，虽然有token，但是依然可以直接修改用户ID进而修改他人密码
通过他人手机号找回密码，抓包，将他人手机号替换为自己的手机号，获取验证码，提交后修改密码
通过自己手机号找回密码，获取验证码后抓包，将数据包中的用户ID改为他人账号ID，提交后成功修改他人密码
通过邮箱找回密码，URL链接中修改用户ID为他人，邮箱不变，之后通过链接可以将他人账户绑定为自己的邮箱，之后通过邮箱找回密码

任意url跳转

url跳转漏洞也叫开发重定向漏洞，可以把用户重定向到攻击者自己构造的页面去，简单的说就是可以跳转到任意指定的url。一般出现在验证跳转、sso登陆等位置。

服务端未对传入的跳转url变量进行检查和控制，可能导致可恶意构造任意一个恶意地址，诱导用户跳转到恶意网站。

危害：

网站钓鱼
配合CSRF操作危险请求
配合XSS执行JS盗取cookie
配合浏览器漏洞（CVE-2018-8174）

http://www.xxx.com?url=https://www.baidu.com

替换url参数后能够跳转到对应页面，但是一些网站可能会对url跳转做限制，可以尝试绕过bypass

1.利用问号绕过限制,最终跳转到京东页面
url=https://www.baidu.com?www.jd.com
2.利用@绕过限制,最终跳转到京东页面
url=https://www.baidu.com@www.jd.com
3.利用斜杆反斜杠绕过限制
4.利用#绕过限制
url=https://www.baidu.com@www.jd.com
5.利用子域名绕过
6.利用畸形url绕过
7.利用跳转IP绕过