网络安全 - 实战篇 [SRC初探]手持新手卡挖SRC逻辑漏洞心得分享

***本文适合新手参阅，大牛笑笑就好了，嘿嘿
末尾有彩蛋！！！！！！！！！！！！！！！！！
本人参加了本次"i春秋部落守卫者联盟"活动，由于经验不足，首次挖SRC，排名不是那么理想，终于知道了自己的白帽子挖洞的道路还漫长的很,老司机岂非一日一年能炼成的。
本文多处引用了 YSRC 的 公(qi)开(yin)漏(ji)洞(qiao)。
挖SRC思路一定要广！！！！
漏洞不会仅限于SQL注入、命令执行、文件上传、XSS，更多的可能是逻辑漏洞、信息泄露、弱口令、CSRF。
本文着重分析逻辑漏洞，其他的表哥可能会分享更多的思路，敬请期待。
当然Web程序也不仅限于网站程序，漏洞更多的可能是微信公众号端、APP应用程序等等
下面总结一下自己的SRC挖洞思路（逻辑漏洞）。
SRC常见的逻辑漏洞类型

---

个人认为逻辑是SRC出现最频繁的也是最容易挖到的漏洞，分类比较多，本文仅分析各种逻辑漏洞

0x01 0元支付订单

a、使用抓包软件（burpsuite、Fiddler...）抓包，通过分析向服务器传输的数据包，修改支付金额参数来达到欺骗服务器的效果，当然这只是最简单的思路，稍有安全意识此种漏洞几乎不会发生。
  b、案例分析：同程机票支付漏洞，漏洞实例传送门：http://sec.ly.com