Diretório de artigos
1. Indústria da Internet
| Módulo de negócios geral | Vulnerabilidade da lógica de negócios |
|---|---|
| Conecte-se | Quebra de força bruta de nome de usuário e senha |
| Recheio de credenciais | Explosão e desvio de código de verificação, preenchimento de credenciais de número de celular e desvio de permissão de conta |
| registro | Registro em lote de usuários maliciosos, verificação maliciosa de registro de conta, XSS armazenado |
| recuperar senha | Redefinir qualquer senha de conta de usuário, redefinir senhas de usuário em lote, sequestro de nova senha, sequestro de código de verificação de SMS, sequestro e adulteração de e-mail de usuário |
| Gerenciamento de bastidores | Ignorar nome de usuário e senha do administrador, passagem de diretório |
| Sistema de membros | Acesso não autorizado do usuário, vazamento de informações de dados pessoais, passagem de dados pessoais |
| Processo de transmissão | Injeção de COOKIE, cross-site de COOKIE, sequestro de COOKIE, transmissão de texto não criptografado |
| Comente | Injeção POST, CSRF, XSS armazenado, nome de usuário transversal |
2. Setor financeiro P2P
| Módulo de negócios geral | Vulnerabilidade da lógica de negócios |
|---|---|
| Conecte-se | Quebra de força bruta de nomes de usuário e senhas, preenchimento de credenciais, explosão e desvio de código de verificação, preenchimento de credenciais de número de celular e desvio de permissão de conta |
| registro | Registro em lote de usuários maliciosos, verificação maliciosa de registro de conta, XSS armazenado |
| recuperar senha | Redefinir qualquer senha de conta de usuário, redefinir senhas de usuário em lote, sequestro de nova senha, sequestro de código de verificação de SMS, sequestro e adulteração de e-mail de usuário |
| Pagamento de compra | Adulteração da quantidade do produto, adulteração da quantidade do produto, vazamento de informações da transação |
| completar | Valor de recarga falso, adulteração de quantidade de recarga, adulteração de conta de recarga |
| Sorteios/Eventos | Obtenha prêmios de eventos, roube pontos, trapaceie na loteria |
| Vouchers/cupons | Passe vouchers/cupons em lote, altere o valor do voucher, altere a quantidade do cupom |
| Ordem | Vazamento de informações de pedidos, vazamento de informações do usuário, passagem de pedidos, passagem de contrato, passagem de informações de cartão bancário |
| Conta | Desvio de conta, roubo de saldo de conta, desvio de número de celular de vinculação de conta |
| Sistema de membros | Acesso não autorizado do usuário, vazamento de informações de dados pessoais, passagem de dados pessoais |
| Processo de transmissão | Injeção de COOKIE, cross-site de COOKIE, sequestro de COOKIE, transmissão de texto não criptografado |
| Comente | Injeção POST, CSRF, XSS armazenado, nome de usuário transversal |
3. Setor de comércio eletrônico
| Módulo de negócios geral | Vulnerabilidade da lógica de negócios |
|---|---|
| Conecte-se | Quebra de força bruta de nomes de usuário e senhas, preenchimento de credenciais, explosão e desvio de código de verificação, preenchimento de credenciais de número de celular e desvio de permissão de conta |
| registro | Registro em lote de usuários maliciosos, verificação maliciosa de registro de conta, XSS armazenado |
| recuperar senha | Redefinir qualquer senha de conta de usuário, redefinir senhas de usuário em lote, sequestro de nova senha, sequestro de código de verificação de SMS, sequestro e adulteração de e-mail de usuário |
| Pagamento de compra | Adulteração da quantidade do produto, adulteração da quantidade do produto, vazamento de informações da transação |
| Sorteios/Eventos | Obtenha prêmios de eventos, roube pontos, trapaceie na loteria |
| Vouchers/cupons | Passe vouchers/cupons em lote, altere o valor do voucher, altere a quantidade do cupom |
| Ordem | Vazamento de informações do pedido, vazamento de informações do usuário, passagem do pedido, passagem do endereço de entrega |
| Conta | Desvio de conta, roubo de saldo de conta, desvio de número de celular de vinculação de conta |
| atividade de compra urgente | Comprar a preços baixos, trapacear na compra e ignorar pedidos |
| frete | Custos de envio ignorados |
| Sistema de membros | Acesso não autorizado do usuário, vazamento de informações de dados pessoais, passagem de dados pessoais |
| Processo de transmissão | Injeção de COOKIE, cross-site de COOKIE, sequestro de COOKIE, transmissão de texto não criptografado |
| Comente | Injeção POST, CSRF, XSS armazenado, nome de usuário transversal |
| comerciante terceirizado | Roubo de conta, passagem de conta de comerciante, acesso não autorizado a outros usuários de comerciante |
4. Indústria de Assuntos Governamentais
| Módulo de negócios geral | Vulnerabilidade da lógica de negócios |
|---|---|
| Conecte-se | Quebra de força bruta de nomes de usuário e senhas, preenchimento de credenciais, explosão e desvio de código de verificação, preenchimento de credenciais de número de celular e desvio de permissão de conta |
| registro | Registro em lote de usuários maliciosos, verificação maliciosa de registro de conta, XSS armazenado |
| recuperar senha | Redefinir qualquer senha de conta de usuário, redefinir senhas de usuário em lote, sequestro de nova senha, sequestro de código de verificação de SMS, sequestro e adulteração de e-mail de usuário |
| Gerenciamento de bastidores | Ignorar nome de usuário e senha do administrador, passagem de diretório |
| Consulta comercial | Consultas maliciosas e vazamento de informações de gestores |
| Processamento de negócios | Substituir a gestão, ignorar a gestão de processos de negócios, adulterar informações de outros gestores e vazar informações dos gestores |
| Processo de transmissão | Injeção de COOKIE, cross-site de COOKIE, sequestro de COOKIE, transmissão de texto não criptografado |
| Comente | Injeção POST, CSRF, XSS armazenado, nome de usuário transversal |
Resumir
- Ao testar o negócio, entenda claramente o processo geral do negócio e você poderá usar mapas mentais para limpar rapidamente os relacionamentos entre os vários negócios.
- Empresas que se concentram em: informações pessoais (de outras pessoas), modificação (recuperação) de senha, processo de pagamento, processo de registro e empresas que exigem verificação de telefone celular e e-mail.
- Capture pacotes para cada módulo de negócio e analise as diversas solicitações. Observe
特殊参数que é muito provável que esses parâmetros especiais determinem as etapas do negócio. - O processo de captura e reprodução de pacotes requer vários experimentos para determinar se ele pode ser ignorado (ignorado) e como pular (ignorado).Números puros podem ser
数字＋字母ignorados tentando - 返回包中数据的分析~关注特殊字符串和特殊参数，还有JS文件（JS中可能会存在信息泄漏)。
- 综上所述，业务流程需同时结合’HTTP/HTTPS"请求分析，重点可以关注那些具有代表性的参数，绕过必要验证，跳过业务步骤。