WEB安全

浅谈逻辑漏洞

先基本介绍一些逻辑漏洞

一、支付漏洞

一般分为3类:一是在支付过程中直接发送含有需要金额的数据包;二是没有对购买数量进行限制;三是程序的异常处理。

支付过程中直接发送含有需要支付金额的数据包

我们通过直接修改前端或者数据包金额来进行修改。

案例:
顺丰宝逻辑漏洞
他这个有关是忽略了页面交互时对字段进行的签名,导致充值金额被修改为任意值
淘宝网某处存在严重支付漏洞
这个涉及没有使用ssl加密支付过程,选择充值金额后截取数据包并修改。
考试吧支付缺陷
相同类型,类似的还有很多

没有对购买数量进行限制

将购买数量改为负数等等..
案例:
又拍网旗下某站存在严重支付漏洞
修改为负数反而会增加金额。
WHM用户管理系统代码逻辑错误导致逃费
投注网刷元宝漏洞
这个厂商就只说了个谢谢,也真是会做人

程序的异常处理

程序的异常处理,就是指支付的数据报异常的程序处理错误,一般是数据与KEY不符,支付金额有错误,购买的数量不正确..
案例:
115网盘支付绕过缺陷及修复
超过月份就不再用月份单价而是直接显示为0

话说我想起来了以前的一个例子,一个白帽子测试腾讯的网站时候前端修改了数据,支付的时候显示也是极低的价格,但是支付成功之后扣的是原本的价钱…真是太猥琐了..

二、验证码回传

这个涉及的主要在密码找回,支付订单,帐号注册等
通过抓取response数据来得知相关数据,采取后端验证会增加服务器运算压力,不过对于安全来说肯定采取后端验证
案例:
丽子美妆某处严重逻辑漏洞
通过抓包并修改来做到任意用户密码重置漏洞

三、未进行登录凭证验证

这样导致的基本是越权。

案例:
①后台主页面,直接在管理员web路径后加main.php就可进入后台主页面。
②订单枚举(讲的是航空公司订单枚举,在开头的freebuf那篇文章里边)
③敏感文件下载

四、接口无限制枚举

①接口无验证导致撞库
②验证码无限制枚举
③会员卡号枚举
④超市注册用户信息获取

五、cookie设计存在缺陷

cookie的校验值过于简单,得出规律后进行枚举。

六、单纯读取内存值数据来当作用户凭证

腾讯QQ存在高危漏洞可读取并下载任意用户离线文件(泄漏敏感信息)
没有做好进程保护以及进程数据的加密处理。

今天先写这么多,先把这些好好消化了,下次有补充的再好好补充补充

补充

————————分割线——————-

今天看知乎上一篇文章又涉及到了逻辑漏洞的一些内容,顺便就大杂烩再补充一点。

文章题目是如何挖取SRC漏洞。

信息收集 + owasp top 10 + 逻辑漏洞

其实不止是挖src的,基本上大多的Web挖掘方式都是这样。

至于其他漏洞的挖掘方式先不谈,只说说逻辑漏洞的方式。

结合我看文章以及看攻防宝典web篇逻辑漏洞的相关知识写一写。

START

  • 首先我们需要对一个网站/app有一个了解,要知道他的功能点有哪些。
  • 其次我们要分析这个网站/app里边的请求哪些使我们可以公职的参数,这些参数就是漏洞经常出没的点。
  • 最后就是分析逻辑。

Such.”我们要买东西”

First.
1.筛选涉及查询(是否可以sql注入)
2.加入购物车:是否可以修改价钱数量等,以及查看相关的参数尝试请求重放,退后,忽略,其他参数干扰…

second.”询问商家”
1.跳转客服系统,跳转Url中是否含有用户参数
2.xss打客服cookie
3.钓鱼 + 社工

third.”下单”
1.填地址,设计注入、xss
2.修改单价

(其实我觉得在这之前你需要经历一遍完整的过程,因为单价什么的是在post数据中,或许做了模糊处理你也不知道,我们完整经历一遍也可以再加上上边的请求重放等等)

3.修改总额
情况1,可能有用优惠价的情况,比如100块钱只能用5块的优惠价,但是现在有一张50的优惠卷你要测试是否可以使用;
情况2,打折之后我们是否可以修改打折的折扣;
情况3,我们是否可以修改运费,负数小数等等;
情况N

fourth.”电子票据”
1.会写抬头

fifth.支付
1.传输过程是否可以修改,如果是扫二维码支付,我们可以分析一下二维码中的请求url,看是否可以修改以后重新生成二维码

sixth.”订单完成”
1.看是否可以遍历订单
2.就像开始的那个航空公司的例子,是否可以通过便利订单来得到更多敏感的信息

与之类似的还有优惠卷枚举,快递单号枚举,会员卡号枚举

seventh.”评价”
1.注入、上传图片、xss
2.退货的相关思路

然后附上师兄的发的逻辑漏洞安全脑图:
ap2p
思路一定要猥琐
思路一定要猥琐
思路一定要猥琐

多看案例多分析,不要想一步登天

同时也给那些发布文章供我学习的师兄朋友们赞一个。

搜集了一些关于逻辑漏洞的知识拿来学习,一些逻辑漏洞相关网站

Web安全测试中常见逻辑漏洞解析(实战篇)
应用程序逻辑错误总结
密码找回功能缺陷
BlackHat(世界黑帽大会)官方APP出现两个逻辑漏洞
支付漏洞的三种常见类型
SRC漏洞挖掘小见解

(1)

本文由来源 yokeen,由 SecJack 整理编辑!

关键词:

热评文章

发表评论