4.10.6-规避工作流程的测试

开启学习模式

已于 2024-10-18 15:09:24 修改

阅读量37

点赞数

分类专栏： 4.10 业务逻辑测试文章标签：数据库 web安全

于 2023-10-19 09:28:06 首次发布

本文链接：https://blog.csdn.net/qq_44232452/article/details/133919449

版权

4.10 业务逻辑测试专栏收录该内容

12 篇文章 0 订阅

订阅专栏

规避工作流程的测试

ID
WSTG-BUSL-06

总结

工作流漏洞涉及任何类型的漏洞，这些漏洞允许攻击者以某种方式滥用应用程序/系统，从而允许他们规避（而不是遵循）设计/预期的工作流。
维基百科上的工作流定义：

工作流由一系列连接的步骤组成，其中每个步骤都无延迟或间隔地进行，并在后续步骤开始之前结束。它是对一系列操作的描述，声明为个人或小组的工作、员工组织或一个或多个简单或复杂的机制。工作流可以被视为实际工作的任何抽象。

应用程序的业务逻辑必须要求用户以正确/特定的顺序完成特定步骤，如果工作流在未正确完成的情况下终止，则所有操作和生成的操作都将被“回滚”或取消。与规避工作流或绕过正确的业务逻辑工作流相关的漏洞是独一无二的，因为它们非常特定于应用程序/系统，必须使用需求和用例来开发谨慎的手动误用案例。

应用程序业务流程必须进行检查，以确保用户的事务/操作以正确 / 可接受的顺序进行，如果事务触发了某种操作，则该操作将被 “回滚” 并在事务未成功完成时被删除。

示例 1

我们中的许多人在从杂货店和加油站购物时都会获得某种类型的“俱乐部/忠诚度积分”。假设用户能够开始与他们的账户相关联的交易，然后在将积分添加到他们的俱乐部/忠诚度账户后取消交易或从他们的“购物篮”中删除商品并招待。在这种情况下，系统要么在投标之前不将积分/积分应用于账户，要么如果积分/积分增量与最终投标不匹配，则应“回滚”积分/积分。考虑到这一点，攻击者可以开始交易并取消它们以建立他们的积分水平，而无需实际购买任何东西。

示例 2

可以设计一个电子公告板系统，以确保初始帖子不包含基于帖子被比较的列表的亵渎性语言。如果在用户输入的文本中找到拒绝列表中的单词，则不会发布提交。但是，一旦提交被发布，提交者就可以访问、编辑和更改提交内容，以包含包含在亵渎/拒绝列表中的词语，因为在编辑时，该帖子永远不会再次被比较。请记住这一点，攻击者可能会打开一个初始空白或最小讨论，然后添加他们喜欢的任何内容作为更新。