day1-业务逻辑漏洞

业务逻辑漏洞

1.漏洞介绍

1. 业务逻辑漏洞基本介绍
   所有Web应用程序都是通过代码逻辑实现各种功能。即使一个简单的Web应用程序，都可能包含着数目庞大的逻辑操作。这些逻辑就是一个复杂的攻击面，但是它却常常被忽略。许多自动化的扫描工具或者代码审计工具，都只能扫出类似SQL注入、XSS等常规的漏洞，因为它们相比于业务逻辑漏洞而言具有更加显著的攻击特征。
   业务逻辑漏洞产生的最核心原因，就是在编写程序时，只考虑了常规的操作流程，即“当在A情况下，就会出现B，此时执行C即可”，但是开发者却没有考虑当用户执行了意料之外的X时会发生什么。这种对于异常情况的欠考虑，最终导致了安全漏洞的产生。
2. 水平越权漏洞
   即用户A和用户B属于同一个权限组，水平越权就是用户A可以看到用户B才可以看到的一些内容。一个简单的例子，就是保单管理系统中，每个人都只可以看到自己的保单，如果出现用户A可以查看到用户B的保单的现象，此时就发生了水平越权。
3. 常见水平越权漏洞场景
   1）在访问请求中包含了用户ID或其他可以唯一标识用户身份且可猜测的参数（如userid、用户名、邮箱、手机号、身份证或其他证件号等），且仅根据该参数决定可以访问的数据。
   2）在访问请求中包含了可猜测的资源对象ID如（订单号、服务号、受理号、记录号等，可猜测指ID的变化部分为10位以内字符组成或可以通过其他易于获取信息推理得到。），且仅根据该参数决定可以访问的数据。
   3）在访问请求中包含了可猜测的文件名（可猜测指ID的变化部分为10位以内字符组成或可以通过其他易于获取信息推理得到），且仅根据该参数决定可以访问的数据。
4. 垂直越权漏洞
   即用户A和用户B属于不同的权限组，如用户A属于普通用户权限组，而用户B属于管理员权限组，垂直越权就是用户A可以看到用户B才可以看到的内容。一个简单的例子，用户A可以看到通讯录界面，用户B可以看到通讯录和用户管理的界面（其中用户管理界面可以看到用户密码）。如果用户A修改一下请求的URL即可以看到作为管理员才可已看到的全部用户密码，此时就发生了垂直越权。
5. 常见垂直越权漏洞场景
   1）用户在未登录的情况下可以访问某些需要登录才能访问的功能模块，包括WEB页面和API接口。
   2）一个低权限用户可以访问高权限用户才能访问的功能模块，包括WEB页面和API接口。

2.pikachu靶场练习

新手的话参考其他blog利用phpstudy和pikachu靶场

3.实际项目练习

！！！未授权的访问不能做，会违法的！！！

4.实际项目中遇到的注意事项

1）小程序抓包问题
虽然最后是解决了，但是不确定是什么方法解决的。
首先是通过win+R，输入inetcpl.cpl,打开了Internet选项卡，找到其中的连接部分，再找到其中的局域网选项，打开代理。然后另外一种就是直接搜索代理设置。注意，up主后面还给edge浏览器导入了一次burp的证书，也不确定有没有效果。反正做完上述之后，再重新打开了微信小程序，确实可以抓到微信小程序的请求包了。