SRC中逻辑漏洞检查总结

注册功能：

1.短信轰炸

2.验证码安全问题：无验证码或者验证码不变，可以被绕过

3.密码爆破：尝试绕过验证码

4.邮箱轰炸

5.用户任意注册，批量注册：尝试绕过验证后用bp批量注册

6.用户名枚举：如提示账号错误而不是账号或密码错误

7.XSS（有框的地方就可以尝试插入XSS）：就像和数据库交互的地方就可能存在SQL注入，只一切前端和后端进行交互的地方就可能存在XSS

没有框的话就可以尝试用扫描器（awvs等）去跑

登录

1.短信轰炸，验证码安全，密码爆破，邮箱轰炸

2.SQL注入

3.撞库

4.抓包把password字段修改为空值发送

5.认证凭证替换，比如返回的数据包中包含账号，修改账号就能登陆其他账号

6.cookie仿冒

7.修改返回包的相关数据，可能登录到其他用户

找回密码

1.短信邮箱轰炸，短信邮箱劫持

2.重置任意用户账号密码，验证码手机用户未统一验证

3.直接跳过验证步骤

支付

购买支付，充值（要利用抓包去仔细查看每一个可用的参数） 

1.交易金额，数量修改，更换支付模块（比如更换支付的模块金额）

2.交易信息订单编码/导致信息泄露

3.整数溢出，int最大值为2147483647.超过最大值就溢出了

4.修改充值账户

5.支付绕过

6.抽奖活动

7.刷奖品，积分

8.并发

9.优惠卷，代金卷

10.并发逻辑漏洞（burp批量获取优惠卷）

11.修改优惠卷金额，数量

12.订单信息

13.订单信息遍历，泄露

14.订单信息泄露导致用户信息泄露

15.删改他人订单

会员系统

1.修改个人信息上传文件，上传带弹窗的html

2.如遇上上传xlsx，docx，可能存在XXE，上传恶意文档盲测

3.图片上传也可能遇到imagereagick命令执行，上传恶意图片

4.视频上传如果使用ffmpeg<3.2.4(视频按帧分割成图片），上传恶意avi盲测ssrf

5.用户横向越权访问，遍历，导致用户信息泄露

6.SQL注入，个人简历处存储xss个人信息，注册的名称也可以插入xss

传输过程

1.明文传输账户密码

2.修改信息处五session/token导致csrf

3.POST/COOKIE注入（前提是cookie会被数据库保存）

评论区

1.POST注入

2.存储型XSS

3.无session/token导致CSRF

验证码问题

1.万能验证码

2.返回包中存在验证码

3.删除验证码或者cookie中的值可以爆破账号密码

短信轰炸

1.一直重放

2.删除修改cookie，重放数据包

3.遍历参数发送数据包

4.手机号后面加空格或者前面加其他的比如+86或者逗号分号等，然后重发数据包

5.请求参数修改大小写，或者添加请求参数比如&id=1

6.一个站的登陆处可能做了防护，但是找回密码处可能没有安全防护，或者在注册流程中没有安全防护，所以说多测试接口

7.如果对手机号一天的次数进行限制，还可以再发一次短信，DOintercept之后修改为成功回显

水平越权，数据泄露，任意用户密码重置

1.主要登录后还是修改参数，找到多个接口不断测试

2.关注网页源代码，有时候会有表单，但被bidden（隐藏标签）给隐藏起来了，可以修改返回包然后尝试获取数据检测

3.多个账号，主要分析请求参数

4.在找回密码处，填写数据后抓包查看返回信息，有可能存在敏感数据返回，删除修改cookie，重放数据包

5.目前大部分都是在修改密码处参数修改

6.有些是前端验证

支付逻辑漏洞

1.金额直接传输导致篡改：直接对下单的金额进行修改值，这里可以使用fd或者burp抓包

2.确定支付之后还可以加入购物车：把商品放入购买车点击下单支付，会跳转到微信，支付宝等第三方支付平台

3.请求重放：购买成功之后，继续重放请求，可以让购买的商品一直增加

4.请求参数干扰：金钱做了签名认证之后，修改后不通过，但是在里面仍然会有一个参数对金额产生影响导致问题产生

5.订单替换：订单替换发生在支付之后的事件处理，同时向服务器发起二次支付请求一个多一个少，支付金额少的，然后支付之后进行替换，告知服务器订单支付完成，并且课程可以反复的回放

6.用户替换：在支付过程中发生用户替换现象，首先登录自己的账户，然后取得另外一个人的账户名等有效信息，在业务流程中用对方的用户名替代自己的用户名，用对方的余额购买完成后，再替换自己的账户名，这样就形成别人的钱买自己的东西

登录绕过，水平越权，垂直越权

1.部分网站的身份验证放在了前端，因此只需要将response包中的相关字段进行修改，比如0改成1，false改成true，就可以登录任意用户账号

2.遍历ID-在一些请求中，get和post中有明显的id数字参数（手机号，员工号，账单号，银行卡号，订单号等等）

3.id替换--如果程序对用户标识进行了hash或者加密，而无法破解用的什么方式的话，就无法通过遍历ID来获取其他用户的信息，此时可以尝试注册两个账号，通过替换两个ID加密后的值，判断程序是否对权限进行验证，如果没有，也会存在越权问题

4.观察cookie中的session字段，可能某些字段或者参数代表身份，尝试修改