business-logic-testing

业务逻辑漏洞测试

概述

业务逻辑漏洞是应用程序在业务处理流程中的设计缺陷，可能导致未授权操作、数据篡改、资金损失等。本技能提供业务逻辑漏洞的检测、利用和防护方法。

漏洞类型

1. 工作流绕过

跳过验证步骤：

• 直接访问最终步骤
• 修改步骤顺序
• 重复执行步骤

2. 价格操作

负数价格：

• 输入负数金额
• 导致账户余额增加

价格篡改：

• 修改前端价格
• 修改API请求中的价格

3. 数量限制绕过

负数数量：

• 输入负数
• 可能导致库存增加

超出限制：

• 修改数量限制
• 批量操作绕过

4. 时间竞争

并发请求：

• 同时发送多个请求
• 绕过单次限制

5. 状态操作

状态回退：

• 将已完成订单改为待支付
• 修改订单状态

测试方法

1. 工作流分析

识别业务流程：

• 注册流程
• 购买流程
• 提现流程
• 审核流程

测试步骤跳过：

正常流程: 步骤1 → 步骤2 → 步骤3
测试: 直接访问步骤3
测试: 步骤1 → 步骤3（跳过步骤2）

2. 参数篡改

修改关键参数：

POST /api/purchase
{
  "product_id": 123,
  "quantity": 1,
  "price": 100.00  # 修改为 0.01
}

负数测试：

{
  "quantity": -1,
  "price": -100.00
}

3. 并发测试

同时发送请求：

import threading
import requests

def purchase():
    requests.post('https://target.com/api/purchase', 
                  json={'product_id': 123, 'quantity': 1})

# 同时发送10个请求
for i in range(10):
    threading.Thread(target=purchase).start()

4. 状态修改

修改订单状态：

PATCH /api/order/123
{
  "status": "completed"  # 修改为已完成
}

回退状态：

PATCH /api/order/123
{
  "status": "pending"  # 从已完成回退到待支付
}

利用技术

价格操作

负数价格：

{
  "product_id": 123,
  "price": -100.00,
  "quantity": 1
}

修改前端价格：

// 前端代码
const price = 100.00;

// 修改为
const price = 0.01;

API价格修改：

POST /api/checkout
{
  "items": [
    {
      "product_id": 123,
      "price": 0.01,  # 原价100.00
      "quantity": 1
    }
  ]
}

数量限制绕过

负数数量：

{
  "product_id": 123,
  "quantity": -10  # 可能导致库存增加
}

超出限制：

{
  "product_id": 123,
  "quantity": 999999  # 超出单次购买限制
}

优惠券滥用

重复使用：

POST /api/checkout
{
  "coupon": "DISCOUNT50",
  "items": [...]
}

# 重复使用同一优惠券

未激活优惠券：

POST /api/checkout
{
  "coupon": "EXPIRED_COUPON",  # 使用过期优惠券
  "items": [...]
}

提现漏洞

负数提现：

{
  "amount": -1000.00  # 可能导致账户余额增加
}