WEB漏洞-逻辑越权之登录脆弱及支付修改

最新推荐文章于 2022-01-19 22:27:40 发布
最新推荐文章于 2022-01-19 22:27:40 发布
阅读量451 收藏 4
点赞数 1
分类专栏： WEB安全-逻辑越权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45441315/article/details/119852975
版权

WEB漏洞-逻辑越权之登录脆弱及支付篡改

在这里插入图片描述
在这里插入图片描述

支付篡改

商品购买流程

选择商品和数量-选择支付及配送方式-生成订单编号-订单支付选择-完成支付

常见修改参数

商品编号 ID，购买价格，购买数量，支付方式，订单号，支付状态等

常见修改方法

支付漏洞之总结
替换支付，重复支付，最小额支付，负数支付，溢出支付，优惠券支付等

6000 大米测试产品
/index.php?m=Member&a=gobuy&iscart=0&id=127&name=%E5%A4%A7%E7%B1%B3%E6%B5%8B%E8%
AF%95%E4%BA%A7%E5%93%81&qty=1&price=6000&gtype=%E7%81%B0%E8%89%B2&pic=/Public/Uplo
ads/thumb/thumb_1393218295.jpg
5400 大米手机 cms
/index.php?m=Member&a=gobuy&iscart=0&id=70&name=%E5%A4%A7%E7%B1%B3%E6%89%8B%E6%9
C%BACMS&qty=2&price=5400&gtype=%E7%81%B0%E8%89%B2&pic=/Public/Uploads/thumb/thumb_13
93218295.jpg
index.php?s=/wap/pay/wchatQrcodePay 微信支付
index.php?s=/wap/pay/alipay 支付宝支付
index.php?s=http://www.xiaodi8.com/alipay 调用其他的支付接口
$pay_name=$_GET['s'];

某商场系统商品支付逻辑测试-数量,订单

购买数量

在这里插入图片描述
1、点击购买抓包，发现参数里有num，与购买的数量一样在这里插入图片描述2、修改num为-1，放行，发现应付金额变成0
在这里插入图片描述
3、提交后显示库存不足

4、分析：在error_message.php中找到了库存不足的变量名
在这里插入图片描述
5、利用搜索查找low_stocks
在这里插入图片描述
6、发现提交的goods_sku[1]也就是num小于0的话会
在这里插入图片描述
7、把$goods_sku[1]<0去掉
8、成功了2次，但是后面又不行了
在这里插入图片描述

8、提交订单后发现弹出操作失败，但是过一会刷新页面就可以了，大概是系统发现异常，进行暂时的操作限制，后面又发现只有-1可以，-100或者其他行不通，暂时不知道原因，在这里插入图片描述

订单编号

用其中一单伪造另一单
1、买一单到支付页面发现流水号
在这里插入图片描述

2、立即支付抓包，发现流水号与url后面参数的no相同
在这里插入图片描述

3、买一单较低的进入到支付页面，把no改成上面的no
4、放行数据包，发现由原来的200变成2000，没有成功
在这里插入图片描述

某建站系统商品支付逻辑测试-价格,商品

购买价格

1、购买抓包
在这里插入图片描述

2、发现url后面的参数有价格，把价格改成6
在这里插入图片描述

3、放行数据包，成功修改
在这里插入图片描述
4、提交订单
在这里插入图片描述

5、6000 是存储到数据库里，安全的做法：以数据库的数据值为准

商品编号

1、将立即购买抓包后的数据包url中的参数id和name换成需要更改的即可
2、测试产品
在这里插入图片描述
对应的id和name

id=66&name=%E6%B5%8B%E8%AF%95%E4%BA%A7%E5%93%81

3、大米测试产品
在这里插入图片描述
对应的id和name

id=127&name=%E5%A4%A7%E7%B1%B3%E6%B5%8B%E8%AF%95%E4%BA%A7%E5%93%81

4、抓取测试产品的数据包，将id和name更改为大米测试产品的，放行数据包，可以看出编号和名称都改变了

在这里插入图片描述
在这里插入图片描述

登录脆弱

1.登录点暴力破解
2.HTTP/HTTPS 传输
3.Cookie 脆弱点验证
4.Session 劫持
5.Session 固定
6.验证密文比对安全测试
会话劫持加固定

session劫持

含义：
　会话劫持（Session hijacking），这是一种通过获取用户Session ID后，使用该Session ID登录目标账号的攻击方法，此时攻击者实际上是使用了目标账户的有效Session。会话劫持的第一步是取得一个合法的会话标识来伪装成合法用户，因此需要保证会话标识不被泄漏。

攻击步骤：
　1、 目标用户需要先登录站点；
　　2、 登录成功后，该用户会得到站点提供的一个会话标识SessionID；
　　3、 攻击者通过某种攻击手段捕获Session ID；
4、 攻击者通过捕获到的Session ID访问站点即可获得目标用户合法会话。
在这里插入图片描述
攻击者获取SessionID的方式有多种：
1、 暴力破解：尝试各种Session ID，直到破解为止；
2、 预测：如果Session ID使用非随机的方式产生，那么就有可能计算出来；
3、 窃取：使用网络嗅探，XSS攻击等方法获得。

对于PHP来说，其内部Session的实现机制虽然不是很安全，但是关于生成Session ID的环节还是比较安全的，这个随机的Session ID往往是极其复杂的并且难于被预测出来，所以，对于第一、第二种攻击方式基本上是不太可能成功的。

对于第三种方式大多使用网络数据通讯层进行攻击获取，可以使用SSL进行防御。

在应用层上也可以做出相应的防御措施：

目前有三种广泛使用的在Web环境中维护会话（传递Session ID）的方法：URL参数，隐藏域和Cookie。其中每一种都各有利弊，Cookie已经被证明是三种方法中最方便最安全的。从安全的观点，如果不是全部也是绝大多数针对基于Cookie的会话管理机制的攻击对于URL或是隐藏域机制同样适用，但是反过来却不一定，这就让Cookie成为从安全考虑的最佳选择。

1、 更改Session名称。PHP中Session的默认名称是PHPSESSID，此变量会保存在Cookie中，如果攻击者不分析站点，就不能猜到Session名称，阻挡部分攻击。
2、 关闭透明化Session ID。透明化Session ID指当浏览器中的Http请求没有使用Cookie来存放Session ID时，Session ID则使用URL来传递。
3、 设置HttpOnly。通过设置Cookie的HttpOnly为true，可以防止客户端脚本访问这个Cookie，从而有效的防止XSS攻击。
4、 关闭所有phpinfo类dump request信息的页面。
5、验证HTTP头部信息
　　　 在http访问头文件：[Accept-Charset、Accept-Encoding、Accept-Language、User-Agent]，浏览器一般发出的头部不会改

使用User-Agent检测请求的一致性。

 1 GET/HTTP/1.1
 2 host:example.org
 3 User-Agent:Firefox/1.0
 4 Accept:text/html,image/png,image/jpeg,image/gif,*/*
 5 Cookie:PHPSESSID=1234
 6 <?php
 7 session_start();
 8 if(isset($_SESSION['HTTP_USER_AGENT']))
 9 {    
10         if($_SESSION['HTTP_USER_AGENT']!=md5($_SERVER['HTTP_USER_AGENT']))
11         {
12                         /*Promptforpassword*/
13                        exit;
14         }
15 }
16 else
17 {      
18 　　$_SESSION['HTTP_USER_AGENT']=md5($_SERVER['HTTP_USER_AGENT']);
19 }
20 ?>

确保User-Agent头部信息一致的确是有效的，如果会话标识通过cookie传递，攻击者能取得会话标识，他同时也能取得其它HTTP头部。由于cookie暴露与浏览器漏洞或跨站脚本漏洞相关，受害者需要访问攻击者的网站并暴露所有头部信息。则攻击者只需重建头部即可进行攻击了。

因此前提需要做好XSS防御！

注意：

在某些版本的IE浏览器中，用户正常访问一个网页和刷新一个网页时发出的Accept头部信息不同，因此Accept头部不能用来判断一致性。

有专家警告不要依赖于检查User-Agent的一致性。这是因为服务器群集中的HTTP代理服务器会对User-Agent进行编辑，而本群集中的多个代理服务器在编辑该值时可能会不一致。

6、 加入Token校验。同样是用于检测请求的一致性，给攻击者制造一些麻烦，使攻击者即使获取了Session ID，也无法进行破坏，能够减少对系统造成的损失。但Token需要存放在客户端，如果攻击者有办法获取到Session ID，那么也同样可以获取到Token。

Session 固定

含义：
　会话固定（Session fixation）是一种诱骗受害者使用攻击者指定的会话标识（SessionID）的攻击手段。这是攻击者获取合法会话标识的最简单的方法。（让合法用户使用黑客预先设置的sessionID进行登录，从而Web不再进行生成新的sessionID，导致黑客设置的sessionId变成了合法桥梁。）

会话固定也可以看成是会话劫持的一种类型，原因是会话固定的攻击的主要目的同样是获得目标用户的合法会话，不过会话固定还可以是强迫受害者使用攻击者设定的一个有效会话，以此来获得用户的敏感信息。
　　
攻击步骤：
1、 攻击者通过某种手段重置目标用户的SessionID，然后监听用户会话状态；
2、 目标用户携带攻击者设定的Session ID登录站点；
3、 攻击者通过Session ID获得合法会话
在这里插入图片描述
Web接收sessionID机制：

早期浏览器存贮的sessionID容易暴露、使用URL来传送sessionID
　　首先检查携带cookie是否含有sessionID；若没有则再检查get、post数据中是否含有，若有则使用此数据；没有才会使系统生成一个sessionID发给客户端。（经测试，get与post都不能设置sessionID，也许是被浏览器限制或者被代码本身禁止了吧，不过没关系，咱还有其他方法进行固定sessionID）

重置sessionID方式：

（一）使用客户端脚本来设置Cookie到浏览器。大多数浏览器都支持用客户端脚本来设置Cookie的，例如document.cookie=“sessionid=123”，这种方式可以采用跨站脚本攻击来达到目的。防御方式可以是设置HttpOnly属性，但有少数低版本浏览器存在漏洞，即使设置了HttpOnly，也可以重写Cookie。所以还需要加其他方式的校验，如User-Agent验证，Token校验等同样有效。

测试例子：

html页面（表单），用于跨站脚本攻击

<!DOCTYPE html>
<html>
<head>
    <title>重置sessionID（一）</title>
    <meta charset="utf-8">
</head>
<body>
<form action="./test2.php" method="post">
name：<input type="text" name="name"><br/>
age：<input type="text" name="age"><br/>
<input type="submit" name="" value="提交">
</form>
</body>
</html>

接收表单 ，test2.php

<?php
header("content-type:text/html;charset=utf8");
session_start();
if(!isset($_SESSION['count']))  #自增测试
{
    $_SESSION['count']=0;
}
else
{
    $_SESSION['count']++;
}
echo '$_POST数据:';
echo "<pre>";
print_r($_POST);        #不处理数据直接接收
echo "</pre>";
echo '$_SESSION数据:';
echo "<pre>";
print_r($_SESSION);
echo "</pre>";die;
?>

测试：

1、表单中插入数据，并提交。然后不断刷新test2.php

<script type='text/javascript'> document.cookie='PHPSESSID=12345' </script>

2、接着分别查看sessionID以及count数值
　在这里插入图片描述
　3、在其他浏览器中，执行相同的步骤1（保证sessionID与之前相同）和2，可以看到count初始值不是0，而是在之前的基础上增加的。
　 结论：盗取sessionID成功！

（二）使用HTML的<META>标签加Set-Cookie属性。服务器可以靠在返回的HTML文档中增加标签来设置Cookie。例如<meta http-equiv='Set-Cookie' content='PHPSESSID=22333'>，与客户端脚本相比，对标签的处理目前还不能被浏览器禁止。【只要让此行代码在服务器中执行即可入侵】
测试：
　　只要让此行代码执行即可，（<meta http-equiv='Set-Cookie' content='PHPSESSID=123456'>）即可。我们将它放入表单中然后提交给PHP；接着不断刷新，再换浏览器执行相同步骤。和上面的测试一样！接着查看结果

（三）使用Set-Cookie的HTTP响应头部设置Cookie。攻击者可以使用一些方法在Web服务器的响应中加入Set-Cookie的HTTP响应头部。如会话收养，闯入目标服务器所在域的任一主机，或者是攻击用户的DNS服务器。
测试：(伪造浏览器执行http请求)

1、攻击者控制的服务器（127.0.0.1）
　　2、www.127.0.0.1/test1.php
　　客户访问这个页面，无形之中就简介访问第三方网站，并绑定一个sessionID；攻击者就可以掌握这个sessionID进行相应的攻击了

<?php
header("content-type:text/html;charset=utf8");
$host='www.linuxtest.com';
$port=80;
$a=fsockopen($host,$port);

//请求行
$request_data="Get /test2.php HTTP/1.1\r\n";
//请求头
$request_data.="Host: 127.0.0.1\r\n";
$request_data.="User-Agent: Mozilla/5.0 (Windows NT 6.2; WOW64; rv:10.0) Gecko/20100101 Firefox/10.0\r\n";
$request_data.="Connection: keep-alive\r\n";
$request_data.="Cookie: PHPSESSID=12345\r\n";   #设置sessionID
$request_data.="\r\n"; //空行表示头结束
//发送数据
fwrite($a,$request_data);

#用于测试
//接收数据
$inheader=1;
while(!feof($a))
{
    //echo fgets($a,1024);
    //除去请求头，只显示返回数据
    $data=fgets($a,1024);
    if($inheader && ($data=="\n" || $data=="\r\n"))
    {
        $inheader=0;
    }
    if($inheader==0)
    {
        echo $data;
    }
}
//关闭请求
fclose($a);

?>

防御方法：
1、每当用户登陆的时候就进行重置sessionID

2、sessionID闲置过久时，进行重置sessionID

3、 大部分防止会话劫持的方法对会话固定攻击同样有效。如设置HttpOnly，关闭透明化Session ID，User-Agent验证，Token校验等。

对文对比认证

一.密文比对认证介绍
在系统登录时密码加密正确流程是先将用户名和密码发送到服务器，服务器会把用户提交的密码经过Hash算法加密及加盐后和数据库中存储的加密值比对，如果加密值相同，则判定用户提交密码正确。

有些网站系统的密码加密流程是在前台浏览器客户端先对密码进行Hash加密后传输给服务器并与数据库加密值进行对比，如果加密值相同，则判定用户提交密码正确。以此流程会泄露密码加密方式，导致出现安全隐患。

加盐加密是一种对系统登录口令的加密方式，它实现的方式是将每一个口令同一个叫做“盐”的n位随机数相关联。无论何时只要口令改变，随机数就改变。随机数以未加密的方式存放在口令文件中，这样每个人都可以读。不再只保存加密过的口令，而是先将口令和随机数连接起来然后一同加密，加密后的结果放在口令文件中。

二.密文对比认证流程
在这里插入图片描述

三.防御方案
1.将密码加密过程及密文对比过程放置在服务器后台执行。
2.对系统用户登录模块增加有效的验证码机制。
3.对密码加密数据进行加盐处理存储。

HTTP/HTTPS 传输

登录认证模块之本地加密传输
HTTP传输过程中的密码有可能是加密的，而HTTPS的密码是加密后的密文。

后台登录帐号密码爆破测试

靶场：
1.登录点暴力破解
在这里插入图片描述

2、点击登录抓包，查看参数密码加密了
在这里插入图片描述
3、32位字符，有可能是md5加密，验证确实是md5加密
在这里插入图片描述

4、采用burpsuite爆破，选取字典后，采取md5加密
在这里插入图片描述

在这里插入图片描述

5、开始爆破
在这里插入图片描述
6、拿到password md5解密
在这里插入图片描述
7、成功登录
在这里插入图片描述

Cookie 脆弱点验证修改测试(代码审计)

1、查看admin/index.php，进行代码审计，发现如果r的值为空的话，会跳转到files/index.php文件中
在这里插入图片描述
2、查看files/index.php文件，发现包含了一个checklogin.php文件
在这里插入图片描述
3、查看checklogin.php文件

<?php
$user=$_COOKIE['user'];
if ($user==""){
header("Location: ?r=login");
exit;	
}
?>

发现只要cookie中user的值不为空即可登录管理员界面

4、抓包http://127.0.0.1/xscj/cookieCMS_V1.0/admin/index.php添加cookie中的user值
在这里插入图片描述

5、登陆成功
在这里插入图片描述

硫酸超
关注
  • 1
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
收费网站破解攻略.mht
10-25
介绍如何破解收费网站，可以用来破解收费网站的收费问题很好用，步骤很详细
越权、cookie与session、认证和授权
热门推荐
foolisheddy
05-24 1万+
越权修改 疑问开始 例子 黑盒 白盒 修复后的代码 session session id 是从哪里开始就有的 session 保存在哪 session_start等函数所做的实际操作是什么 测试会话固定 cookie cookie保存在哪里 cookie名称在哪定义 什么时候服务器给用户cookie 认证和授权 什么是认证和授权 基本认证机制 1认证 1 HTTP的质询响应认证框架 2　认证协议与
小迪安全学习笔记--第34天：web漏洞--逻辑越权之登录脆弱及支付篡改
zr1213159840的博客
01-19 1027
登录应用功能点安全问题 检测功能点：登录点就是登录的地方 检测：见下面的安全问题 危害：危害就是会直接登录进去 登录点安全问题 1.登录点暴力破解 2.HTTP/HTTPS传输 3.Cookie脆弱点验证 4.session固定点测试 5.验证密文比对安全测试 数据篡改安全问题 原理，检测，危害，修复等 参考: https://www.secpulse.com/archives/67080.html 商品购买流程 选择商品和数量-选择支付及配送方式-生成订单编号-订单支付选择-完成支付 常见篡改参数： 商.
用户登录过滤相关页面，过滤URL越权访问
06-23
java 过滤器，用户登录过滤相关页面，过滤URL越权访问
逻辑漏洞之越权、支付漏洞
这是笔者初学时所做的笔记，有错误的地方太多了，有些结论也只是笔者的一家之言。请自行判断
09-06 6439
目录逻辑漏洞Web安全渗透三大核心方向输入输出登录体系、权限认证业务逻辑漏洞分类1、登录体系安全暴力破解cookie安全加密测试登录验证绕过任意注册2、业务一致性安全手机号篡改邮箱和用户名更改订单ID更改商品编号更改用户ID篡改流程顺序3、业务数据篡改金额数据篡改商品数量篡改最大数限制突破金额&优惠组合修改4、密码找回漏洞分析数据包，定位敏感信息分析找回机制修改数据包验证任意密码找回5、验证码突破暴力破解时间、次数突破回显测试验证码绕过测试验证检验机制猜解6、会话权限安全未授权访问水平&垂直
33 WEB漏洞-逻辑越权之水平垂直越权全解-附件资源
03-02
33 WEB漏洞-逻辑越权之水平垂直越权全解-附件资源
逻辑漏洞之越权详解-漏洞银行大咖周6-浅安
01-26
资源来自：漏洞银行大咖面对面一周大咖秀6 作者：浅安
94-web漏洞之越权漏洞挖掘_20210506214051.pdf
最新发布
03-15
94-web漏洞之越权漏洞挖掘_20210506214051
论文研究-一种Web应用越权漏洞自动化检测实现 .pdf
08-18
一种Web应用越权漏洞自动化检测实现，净山，徐国爱，作为互联网的高速发展的产物，Web应用已经暴露出越来越多的安全问题。为了弥补传统商业软件对于Web应用越权漏洞检测能力的不足，本
逻辑越权-登录脆弱以及支付篡改-找回类型漏洞
告白的博客
08-05 364
0x00 漏洞描述 1）登录脆弱： 登陆点安全问题： 有些网站可能是使用的http协议，通过明文传输账号密码相关信息，通过抓包可能可以直接解惑明文传输的账号密码信息，又或者是https协议传输时，密码会加密，但是有些网站存在使用常见的加密形式，例如base64，md5等，这种也可能通过抓取数据包使用相关的加解密也可能会获取账号密码信息， cookie脆弱性： 登陆页面检查cookie，（1.代码审计 2.查看数据包cookie值）可能网站只检查cookie值通过，不会去匹配账号密码 2）支付篡改
Web安全之支付漏洞
yiyegugu的博客
09-26 1785
一、快捷支付原理 商户网站接入支付结果有两种方式，一种是通过浏览器进行跳转，一种是服务器端一步通知 基于用户访问的浏览器，如果用户在银行页面支付成功后，直接关闭了 页面，并未等待银行跳转到支付结果页面，那么商户网站就收不到支付 结果的通知，导致支付结果难以处理。而且浏览器端数据很容易被篡改 而降低安全性 该方式是支付公司服务器后台直接向用户指定的异步通知URL发送参数 采用POST或GET的方式。商户网站接收异部参数的URL对应的程序中， 要对支付公司返回的支付结果进行签...
网络攻击 网络支付
0bug0warning的博客
11-06 246
                                          网络攻击 网络支付 先来说下在无线网手机网络付款的区别： 在无线网的环境下，黑客进行攻击的比手机网络更容易。原因是：你用无线网付款的情况下，使用的是一个固定端口的固定ip。 进行拦截的几率更大。而使用手机网络付款，你的ip地址是变化的。拦截了你的登陆信息，得到你的token令牌，下次你换个ip登陆 的时候。...
session 禁止未登录越权浏览信息
sdlcn的专栏
10-09 1684
关键词：session,重定向。 分析 login.htm: 负责接受用户输入信息，比如用户名和密码。          login.jsp: 负责接受login.htm中表单提交的数据并连接数据库核对用户 身份的合法性。           reogin.htm:负责用户重新输入。           info.jsp: 用户合法登陆并通过系统核准后重定向到的页面。 用户在login.htm中输
初识Web渗透测试中的支付漏洞与思路
weixin_45581204的博客
10-07 755
什么是支付漏洞： 比如A产品原件是200元的产品，我们只需要支付小于200元的金额就可以购买了，这就是通过某种思路来完成的。 支付漏洞的危害： 支付漏洞一直以来就是是高风险，对企业来说危害很大，对用户来说同样危害也大。就比如我用他人账户进行消费，这也属于支付漏洞中的越权问题。那么支付漏洞一般存在在哪些方面呢，根据名字就知道，凡是涉及购买、资金等方面的功能处就有可能存在支付问题 支付漏洞的思路 修...
常见web漏洞及防范（转）
hackerie的博客
01-22 1万+
单个漏洞，需要进行排查与整改，借着别人的智慧，做一个简单的收集。最好能够将常见漏洞，不限于web类的，进行一个统一的整理。这是今年的任务。 进行漏洞的工具的收集，为未来的工作做好基础。。。 一、SQL注入漏洞 SQL注入攻击（SQL Injection），简称注入攻击、SQL注入，被广泛用于非法获取网站控制权，是发生在应用程序的数据库层上的安全漏洞。在设计程序，忽略了对输入字符串中夹带的S...
xxl-job垂直越权漏洞
09-15
xxl-job垂直越权漏洞是指在xxl-job任务调度中心系统中存在的安全漏洞。攻击者可以利用此漏洞通过特定的操作绕过权限限制，获取到系统的高级权限。通过此漏洞，攻击者可以执行任意命令并获取服务器管理权限。这可能导致敏感信息泄露、服务停止或者服务器被控制的风险。建议及时更新xxl-job任务调度中心系统以修复此漏洞，确保系统的安全性。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值