业务安全漏洞挖掘要点

最新推荐文章于 2024-05-28 10:04:01 发布

最新推荐文章于 2024-05-28 10:04:01 发布

分类专栏：漏洞挖掘文章标签：安全漏洞

业务安全漏洞挖掘要点

思维导图：
业务系统漏洞

1
点赞
踩
3

收藏

觉得还不错? 一键收藏
0
评论
业务安全漏洞挖掘要点

业务安全漏洞挖掘要点1 身份认证安全暴力破解用暴力穷举的方式大量尝试性地猜破密码。一般包括字典攻击和暴力穷举。示例 360云盘分享码可以被暴力破解 http://www.wooyun.org/bugs/wooyun-2015-0121646 淘米网登陆不需验证码导致暴力破解 http://www.wooyun.org/bugs/wooyun-2015-0145757 防御方法
复制链接

扫一扫

业务安全漏洞挖掘要点

业务安全漏洞挖掘要点

1 身份认证安全

暴力破解

用暴力穷举的方式大量尝试性地猜破密码。 一般包括字典攻击和暴力穷举。

示例

360云盘分享码可以被暴力破解 http://www.wooyun.org/bugs/wooyun-2015-0121646

淘米网登陆不需验证码导致暴力破解 http://www.wooyun.org/bugs/wooyun-2015-0145757

防御方法：

验证码机制，一次请求一次验证码

登录失败处理功能，登录次数限制，锁定功能

二次认证机制

工具：

BurpSuite工具

撞库

示例

百合网暴力破解用户名密码成功率极高 http://www.wooyun.org/bugs/wooyun-2010-091527

华为云服务可以暴力破解和撞库 http://www.wooyun.org/bugs/wooyun-2014-078348

工具：

htpwdScan 撞库爆破必备 URL: https://github.com/lijiejie/htpwdScan

撞库攻击防御方式

统一所有登录接口，废弃每个应用单独的登录入口

子主题

弱加密机制

示例：

某在线培训系统Base64编码后通用SQL盲注漏洞 http://www.wooyun.org/bugs/wooyun-2015-0120906

采用md5，base64等密码编码技术

防御方式

未采用hash+salt的方式进行加密

2 业务性一致性安全

业务一致性主要避免用户垂直、平行和任意信息获取。

手机号篡改

通过抓包修改手机号码参数为其他号码尝试获取信息

例如在办理查询页面，输入自己的号码然后抓包， 修改手机号码参数为其他人号码，查看是否能查询其他人的业务。

示例：

国美某分站绑定手机号码任意重置可修改交易密码 http://www.wooyun.org/bugs/wooyun-2010-0166377

邮箱或者用户篡改

抓包修改用户或者邮箱参数为其他用户或者邮箱

示例

绿盟RSAS安全系统全版本通杀权限管理员绕过漏洞，包括最新 RSAS V5.0.13.2 http://www.wooyun.org/bugs/wooyun-2014-074441

订单id篡改

查看自己的订单id，然后修改id（加减一）查看是否能查看其它订单信息。

示例

广之旅旅行社任意访问用户订单 http://www.wooyun.org/bugs/wooyun-2013-044137

商品编号篡改

例如积分兑换处，100个积分只能换商品编号为001, 1000个积分只能换商品编号005， 在100积分换商品的时候抓包把换商品的编号修改为005， 用低积分换区高积分商品。

示例

联想某积分商城支付漏洞再绕过 http://www.wooyun.org/bugs/wooyun-2013-041617

联想积分商城逻辑锉刀导致支付漏洞 http://www.wooyun.org/bugs/wooyun-2013-037058

用户id篡改

抓包查看自己的用户id，然后修改id（加减1）查看是否能查看其它用户id信息。

示例：

拉勾网百万简历泄漏风险 http://www.wooyun.org/bugs/wooyun-2015-0111617

3 业务数据篡改

金额数据篡改

抓包修改金额等字段，例如在支付页面抓取请求中商品的金额字段， 修改成任意数额的金额并提交，查看能否以修改后的金额数据完成业务流程。

示例

12308订单支付时的总价未验证漏洞(支付逻辑漏洞) http://www.wooyun.org/bugs/wooyun-2015-0117083

destoon无限制增加帐号资金 http://www.wooyun.org/bugs/wooyun-2014-050481

商品数量篡改

抓包修改商品数量等字段，将请求中的商品数量修改成任意数额， 如负数并提交，查看能否以修改后的数量完成业务流程。

示例

蔚蓝团支付逻辑漏洞(可负数支付) http://www.wooyun.org/bugs/wooyun-2015-0109037

最大数限制突破

很多商品限制用户购买数量时，服务器仅在页面通过js脚本限制，未在服务器端校验用户提交的数量， 通过抓包修改商品最大数限制，将请求中的商品数量改为大于最大数限制的值， 查看能否以修改后的数量完成业务流程。

本地js参数修改

部分应用程序通过Javascript处理用户提交的请求， 通过修改Javascript脚本，测试修改后的数据是否影响到用户。

4 用户输入合规性

注入测试

xss跨站脚本

Fuzz测试

功能测试用的多一些，有可能一个超长特殊字符串导致系统拒绝服务或者功能缺失。

可能会用的工具 —— spike

其他用用户输入交互的应用漏洞

5 密码找回漏洞

密码找回功能本意是设计给那些忘记密码的用户，以便他们能够找回自己的密码。

示例：

百合网修改任意妹子账号密码漏洞 http://www.wooyun.org/bugs/wooyun-2012-014594

密码找回漏洞总结

http://drops.wooyun.org/web/5048

用暴力穷举的方式大量尝试性地猜破密码。一般包括字典攻击和暴力穷举。

例如在办理查询页面，输入自己的号码然后抓包，修改手机号码参数为其他人号码，查看是否能查询其他人的业务。

例如积分兑换处，100个积分只能换商品编号为001, 1000个积分只能换商品编号005，在100积分换商品的时候抓包把换商品的编号修改为005，用低积分换区高积分商品。

抓包修改金额等字段，例如在支付页面抓取请求中商品的金额字段，修改成任意数额的金额并提交，查看能否以修改后的金额数据完成业务流程。

抓包修改商品数量等字段，将请求中的商品数量修改成任意数额，如负数并提交，查看能否以修改后的数量完成业务流程。

很多商品限制用户购买数量时，服务器仅在页面通过js脚本限制，未在服务器端校验用户提交的数量，通过抓包修改商品最大数限制，将请求中的商品数量改为大于最大数限制的值，查看能否以修改后的数量完成业务流程。

部分应用程序通过Javascript处理用户提交的请求，通过修改Javascript脚本，测试修改后的数据是否影响到用户。

例如：在投诉建议处输入要投诉的内容信息，及验证码参数，时抓包重复提交数据包，查看历史投诉中是否存在重复提交的参数信息。

当客户端有需要和服务器进行交互，发送验证码时，即可使用firefox按F12调出firebug就可看到客户端与服务器进行交互的详细信息

当第一步向第二步跳转时，抓取数据包，证码进行篡改清空测试，验证该步骤验证码是否可以绕过。

短信验证码验证程序逻辑存在缺陷，业务流程的第一步、第二部、第三步都是放在同一个页面里，验证第一步验证码是通过js来判断的，可以修改验证码在没有获取验证码的情况下可以填写实名信息，并且提交成功。

越权漏洞的成因主要是因为开发人员在对数据进行增、删、改、查询时对客户端请求的数据过分相信而遗漏了权限的判定

在短信、邮件调用业务或生成业务数据环节中（类：短信验证码，邮件验证码，订单生成，评论提交等），对其业务环节进行调用（重放）测试。如果业务经过调用（重放）后被多次生成有效的业务或数据结果

12306网站的买票业务是每隔5s，票会刷新一次。但是这个时间确实在本地设置的间隔。于是，在控制台就可以将这个时间的关联变量重新设置成1s或者更小，这样刷新的时间就会大幅度缩短（主要更改autoSearchTime本地参数）。