业务数据安全--任意商品购买

商品订购数量篡改

典型案例----damicms_5.4_ 网上商城任意商品购买

商品数量篡改测试是通过在业务流程中抓包修改订购商品数量等字段，如将请求中的商品数量修改成任意非预期数额、负数等进⾏提交，查看业务 系统能否以修改后的数量完成业务流程。

​ 该项测试主要针对商品订购的过程中对异常交易数据处理缺乏⻛控机制而导致相关业务逻辑漏洞，例如针对订购中的数量、价格等缺乏判断而产生 意外的结果，往往被攻击者利⽤。

环境准备

damicms_5.4链接：https://pan.baidu.com/s/1qSwR2EqMDu35G8QTmCdH8w
提取码：vwyg

开启虚拟机Windows server 2008 phpstudy，将damicms_5.4文件解压复制到C:\phpStudy\www

cmd创建数据库：

show databases;
create database damicms;

实验

在bp的浏览器URL中输入192.68.7.132

按照指示安装环境，创建数据库

注册

随便点击一个产品，立即购买

先打开bp拦截再提交订单

上一篇文章：业务数据安全–一分钱买电冰箱
下一篇文章：密码找回安全–接口参数账号修改