Lab: Inconsistent handling of exceptional input：对异常输入的处理不一致

最新推荐文章于 2024-04-24 19:31:24 发布
最新推荐文章于 2024-04-24 19:31:24 发布
阅读量449 收藏 1
点赞数
文章标签： java python linux 安全 数据库
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/ZripenYe/article/details/120793793
版权
本文档描述了一个安全漏洞，其中应用程序在处理用户注册时，由于电子邮件地址长度限制，错误地允许非授权访问管理功能。通过构造特定的超长电子邮件地址，攻击者可以绕过权限检查，获得管理员权限。此问题属于逻辑漏洞，因255个字符的限制导致误判高权限用户。解决方案是修复注册过程中的逻辑，确保正确验证用户身份。
摘要由CSDN通过智能技术生成

靶场内容

本实验未充分验证用户输入。您可以利用其帐户注册过程中的逻辑缺陷来访问管理功能。要解决实验室问题，请访问管理面板并删除 Carlos。

漏洞分析：

  • 通过 Burp 代理流量时，打开实验室并转到 "Target" > "Site map"选项卡。右键单击靶场的域名并选择"Engagement tools" > "Discover content"以打开内容发现扫描工具。
  • 单击"Session is not running"来启动扫描。
  • 3分钟左右的时间后，查看对话框中的"Site map" 选项卡。请注意，它发现了路径/admin。
  • 尝试用浏览器打开 /admin. 显示你无权访问，并返回错误消息：Admin interface only available if logged in as a DontWannaCry user 。
  • 表明DontWannaCry用户有访问权。
  • 进入账户注册页面。
  • 注册用户名随意。
  • 从靶场上面的按钮，打开电子邮件客户端。记下电子邮件服务器域名中的 ID ( @YOUR-EMAIL-ID.web-security-academy.net)。
  • 返回实验室并使用以下格式的超长电子邮件地址进行注册：
  • very-long-string@YOUR-EMAIL-ID.web-security-academy.net
  • 该地址
最低0.47元/天 解锁文章
Zeker62
关注
Python中常出现TabError: inconsistent use of tabs and spaces in indentation错误解决方法
吉大秦少游
06-26 1万+
TabError: inconsistent use of tabs and spaces in indentation 这个错误目前笔者在Sublime3遇到的都是看似空格实则没有空格引起的:： 解决方法：就是打开sublime的空格制表显示就可以清楚的显示出自己是否真的空格了。 Sublime3显示空格制表符的设置方法： ①.Preferences -> Setting ②在Prefe...
不可思议但又无处不在的漏洞，WEB安全基础入门—业务逻辑漏洞
Karka_的博客
03-12 1557
是业务逻辑在设计或具体实现上的缺陷导致攻击者可以利用的漏洞。攻击者通常使程序处于不寻常的“状态”，导致业务逻辑不能正确处理，在这种情况下利用现成的逻辑或函数达成恶意的目标。该类漏洞使用自动漏洞扫描器检测很难发现。因此，逻辑缺陷通常是测试人员的一个很好的目标。业务逻辑漏洞，往往对技术要求不高，但是需要测试人员有异想天开的脑洞，本文可重点看4.漏洞实例，拓宽下脑洞，见识下一个个不可思议，不可理喻的业务逻辑漏洞。
Examples of business logic vulnerabilities——bp业务逻辑漏洞示例
人若有志,就不会在半坡停止。
11-06 1652
然而，无论你是bug赏金猎人、pentesting，甚至只是一个试图编写更安全代码的开发人员，你都可能在某个时候遇到来自不太熟悉的领域的应用程序。在这种情况下，您应该阅读尽可能多的文档，并在可能的情况下与该领域的主题专家交谈，以获得他们的见解。在正确的环境下，这种缺陷会对与业务相关的功能和网站本身的安全产生毁灭性的后果。要识别这些漏洞，您需要仔细考虑攻击者可能具有的目标，并尝试使用提供的功能找到实现这一目标的不同方法。在本节中，我们将提供一些应该避免的常见假设的警示示例，并演示它们如何导致危险的逻辑缺陷。
BurpSuite官方实验室之逻辑漏洞
tpaer的博客
11-28 2258
这是BurpSuit官方的实验室靶场，以下将记录个人逻辑漏洞共11个Lab的通关过程。
用合法掩饰非法,这10种业务逻辑安全漏洞,穿过保护机制套利提权
raymond0820的博客
04-24 1128
这是应用程式设计和实作中常见的缺陷，允许攻击者引发意外行为。这可能使攻击者能够操纵合法功能来实现恶意目标。识别它们通常需要一定程度的人类知识，例如了解业务领域或攻击者在给定上下文中可能有什么目标。这使得使用自动漏洞扫描器很难检测到它们。因此，Business Logic Vulnerabilities(业务逻辑漏洞)通常是错误赏金猎人和手动测试人员的重要目标。
5 Business logic vulnerabilities 业务逻辑漏洞
(∪.∪ )...zzz的博客
05-02 1473
5 Business logic vulnerabilities 业务逻辑漏洞 目录5 Business logic vulnerabilities 业务逻辑漏洞一、What二、业务逻辑漏洞如何产生三、impacts四、examples1.对客户端控件的过度信任2.未能处理非常规输入3. 对用户行为做出错误的假设4. 值得信任的用户并不总是值得信任的5. 用户将不会总是提供强制性输入6.用户将不会总是遵循预期的顺序7.Domain-specific flaws8. 提供加密数据库五、如何避免 In thi
TabError: inconsistent use of tabs and spaces in indentation解决办法
热门推荐
t18438605018的博客
07-28 1万+
1.错误原因：缩进中的制表符和空格使用不一致 python代码对缩进要求非常严格。有人在缩进时，使用的是制表符Tab，有人用的是空格。两者皆可，但一定注意在同一段代码中不能混用！此处报错，就是属于混用报错。 可以使用Subline text查看空格或制表符使用情况。进一步验证报错原因。 2.先查看代码报错情况。代码为： import cv2 import numpy as np from numpy import shape import random #随机生成符合正态（高斯）分布的随机数，means
错误TabError: inconsistent use of tabs and spaces in indentation
LuckSugar
07-30 841
错误反馈：TabError: inconsistent use of tabs and spaces in indentation python运行程序 TabError: inconsistent use of tabs and spaces in indentation 表示Tab键和Space键混用造成的错误，要求规范为一种（单一使用tab或者单一使用space）； 可在编辑器中查看空格和tab键的输入； 本人使用的是notepad++，选中视图 →\to→ 显示符号 →\to→ 显示空格与制表
【burpsuite安全练兵场-服务端5】业务逻辑漏洞-11个实验（全）
01-03 9631
【BP靶场portswigger-服务端5-业务逻辑漏洞】11个实验-万文详细步骤
WebSecurity
04-21
通过高级加密标准（AES）和安全断言标记语言（SAML）在Web上的安全性
PortSwigger Academy | business logic vulnerabilities : 业务逻辑漏洞
水榭山寺花烂漫，凤凰集外雁归来。敢与云峰争秀色，妙雨莲花九重开。
11-20 1564
文章目录例子过分信任客户端控件 例子 过分信任客户端控件 一个根本有缺陷的假设是，用户将仅通过提供的Web界面与应用程序进行交互。 这特别危险，因为它导致进一步的假设，即客户端验证将阻止用户提供恶意输入。 但是，攻击者可以简单地使用诸如Burp Proxy之类的工具来篡改数据，这些数据是在浏览器发送完之后，然后再传递到服务器端逻辑中的。 这有效地使客户端控件变得无用。 在不执行适当的完整性检查和服务器端验证的情况下，接受具有实际价值的数据可以使攻击者以相对较少的精力进行各种破坏。 他们究竟能实现什么取决于功
burpsuit 靶场( HTTP request smuggling)
wanan的博客
01-22 2164
burpsuit 靶场( HTTP request smuggling)
burp靶场--业务逻辑漏洞
qq_33168924的博客
01-23 1049
登录账号，购买商品的数量一次最多可以 +99，可以用 Burp 的 intruder 送到 Overflow。###【管理接口鉴定权限错误+修改账号邮箱地址未校验，导致管理接口以邮箱号为权限认定方式导致绕过】添加其他商品，用同样的方法在intruder操作，直到总金额为0-100。重新修改商品购物车：总价为正，指定商品l33t为正数，购买成功。
web渗透测试----19、HTTP请求走私--（1）HTTP请求走私漏洞的挖掘
七天
12-30 4042
HTTP请求走私漏洞简介 HTTP请求走私漏洞的产生 HTTP请求走私漏洞的挖掘
web渗透测试----18、访问控制和权限提升
七天
03-19 1573
文章目录一、什么是访问控制？二、什么是访问控制安全模型？1、程序访问控制2、自由访问控制（DAC）3、强制访问控制（MAC）4、基于角色的访问控制（RBAC）三、垂直访问控制1、敏感功能可直接访问2、基于参数的访问控制方法3、平台配置错误导致访问控制中断四、水平访问控制1、水平访问控制2、水平到垂直访问控制五、不安全的直接对象引用（IDOR）1、直接引用数据库对象的IDOR漏洞2、直接引用静态文件的IDOR漏洞六、上下文相关的访问控制1、多步骤流程中的访问控制漏洞2、基于引荐来源的访问控制3、基于位置的访问
InputMisMatchException(输入类型不匹配异常)
chen_kai_fa的博客
03-20 7713
InputMisMatchException是(输入类型不匹配异常)，InputMisMatchException的继承关系，如何处理，为避免该异常需要怎么做。
跟着BurpSuite创造者学习网络安全——逻辑漏洞篇
ve9etable的博客
09-28 2085
如果不把学到的知识加以练习，终究只是纸上谈兵，练习一遍，不仅能加深印象，还能实践，一举多得，本文将跟随BurpSuite学院内容进行学习。 第一课 业务逻辑漏洞 实验1 对客户端控件的过度信任 先用用户名和密码登陆一下，然后这是一个商店，我觉得哪个自行车还不错，66????，便宜点吗？老板 有点贵了，改改价格 发现购物车多了一件商品 购买之后，发现账户钱变少了 到这儿，我觉得实验一已经做完了，但是实验是要买一件皮夹克，那就按同样的思路来一遍呗 做完后，我们发现这个实验
协议层的攻击：HTTP请求走私
晓得哥的博客
10-11 7731
作者：mengchen@知道创宇404实验室 日期：2019年10月10日 原文链接：https://paper.seebug.org/1048/ 1. 前言 最近在学习研究BlackHat的议题，其中有一篇议题——"HTTP Desync Attacks: Smashing into the Cell Next Door"引起了我极大地兴趣，在其中，作者讲述了HTTP走私攻击这一攻击手段...
tabError:inconsistent use of tabs and spaces in indentation
最新发布
05-25
tabError: inconsistent use of tabs and spaces in indentation是Python中常见的错误之一，意思是在代码缩进中混用了tab和空格。在Python中，代码缩进非常重要，缩进错误会导致程序无法正常运行。 在Python中，建议使用四个空格作为一级缩进。如果你在使用缩进时既使用了tab又使用了空格，就会出现tabError: inconsistent use of tabs and spaces in indentation错误。 解决这个错误的方法是，统一使用空格作为缩进符号，或者统一使用tab作为缩进符号。可以在代码编辑器中设置自动将tab转换为空格，或者手动将tab替换成空格。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

Zeker62

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值