逻辑错误漏洞

逻辑错误漏洞：

说明：由于程序逻辑不严谨或太复杂，一些逻辑分支不能够正常处理或处理错误。

• 挖掘逻辑漏洞
• 常见逻辑漏洞

1）挖掘逻辑漏洞

• 确定业务流程

• 进行HTTP/HTTPS请求修改

 

2）常见逻辑漏洞

• 绕过授权验证
• 密码找回逻辑漏洞
• 支付逻辑漏洞
• 指定账户恶意攻击

     2.1）绕过授权验证（越权访问）

说明：访问没有授权的资源和信息。

• 水平越权
• 垂直越权

        2.1.1）水平越权

说明：水平越权就是在相同级别（权限）的用户或同一角色不同用户之间，可以越权访问、修改、删除等非法操作。

        2.1.2）垂直越权

说明：不同级别之间或不同角色之间的越权（例如：普通用户访问管理员权限）

     2.2）密码找回逻辑漏洞

说明：可以找回其他用户的密码；点击“”“重新发送”连接，通过抓包，修改他人邮箱，即可更改他人密码

     2.3）支付逻辑漏洞

     2.4）指定账户恶意攻击