[ web漏洞篇 ] 业务逻辑漏洞详解

 🍬博主介绍

👨‍🎓 博主介绍：大家好，我是 _PowerShell ，很高兴认识大家~

✨主攻领域：【渗透领域】【数据通信】【通讯安全】【web安全】【面试分析】

🎉点赞➕评论➕收藏 == 养成习惯（一键三连）😋
🎉欢迎关注💗一起学习👍一起讨论⭐️一起进步📝文末有彩蛋
🙏作者水平有限，欢迎各位大佬指点，相互学习进步！

目录

什么是业务逻辑漏洞：

业务逻辑漏洞产生的核心原因：

应用中的缺陷通常分为两种类型：

逻辑漏洞主要产生的位置

登录处存在的逻辑漏洞

1.可以暴力破解用户名或密码：

2.session没有清空：

业务办理处存在的逻辑漏洞

水平越权

篡改手机号

验证码处存在的逻辑漏洞

登录验证码未刷新

手机或邮箱验证码可爆破

手机或邮箱验证码回显到客户端

修改response包绕过判定

支付处存在的逻辑漏洞

修改商品编号

金额修改

商品数量修改

通过前端限制限购商品

充值中放弃订单未失效

密码找回处的逻辑漏洞

验证码处的逻辑漏洞在密码找回处存在一样适用

修改发送的验证的目标为攻击者的邮箱或手机

session覆盖

弱token爆破

密码找回流程绕过

避免业务逻辑漏洞

在系统生命周期里引入威胁建模可以带来如下方面的好处：

重要的安全步骤如下：

微软威胁建模的五个关键步骤如下：

---

随着各类前后端框架的成熟和完善，传统的SQL注入、XSS等常规漏洞在Web系统里逐步减少，而攻击者更倾向于使用业务逻辑漏洞来进行突破。