搜索

[238] 2018-08-08_渗透测试业务逻辑之业务数据安全

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2018-08-08_渗透测试业务逻辑之业务数据安全 渗 透 测 试 业 务 逻 辑 之 业 务 数 据 安 全 发 哥 微 课 堂   a F a 攻 防 实 验 室   2 0 1 8 - 0 8 - 0 8 0 x 0 0 ： 前 言 ： 前 言 上 周 做 渗 透 ， 有 一 个   s q l   注 入 ， 负 责 安 全 审 核 的 人 给 开 发 说 你 们 的 程 序 既 然 还 有   s q l   注 入 ， 我 一 年 也 看 不 见 几 个 。 这 句 话 让 我 又 再 次 深 刻 的 认 识 到 ， 渗 透 测 试 常 规 的 一 些 注 入 跨 站 漏 洞 不 如 以 前 那 么 盛 了 ， 有 点 经 验 的 开 发 写 东 西 都 会 去 考 虑 到 了 ， 再 加 上 修 复 方 法 也 在 逐 渐 的 完 善 ， 逻 辑 类 的 东 西 也 应 该 并 重 的 去 测 。 0 x 0 1 ： 分 类 ： 分 类 我 把 逻 辑 类 的 问 题 大 概 总 结 了 一 下 ， 大 概 可 以 分 为 十 个 模 块 ， 分 别 是 登 录 认 证 模 块 测 试 、 业 务 办 理 模 块 测 试 、 业 务 授 权 访 问 模 块 测 试 、 输 入   /   输 出 模 块 测 试 、 回 退 模 块 测 试 、 验 证 码 机 制 测 试 、 业 务 数 据 安 全 测 试 、 业 务 流 程 乱 序 测 试 、 密 码 找 回 模 块 测 试 、 业 务 接 口 调 用 模 块 测 试 。 这 次 记 录 的 是 第 七 个 模 块 业 务 数 据 安 全 测 试 。 0 x 0 2 ： 业 务 数 据 安 全 测 试 ： 业 务 数 据 安 全 测 试 1 ， 商 品 支 付 金 额 篡 改 测 试 ， 商 品 支 付 金 额 篡 改 测 试 测 试 方 法 ： 在 一 些 电 商 系 统 或 是 支 付 购 买 商 品 功 能 处 ， 生 成 订 单 后 去 支 付 时 ， 拦 截 其 请 求 ， 看 支 付 金 额 是 否 可 以 修 改 ， 修 改 后 提 交 至 服 务 区 器 ， 如 果 成 功 返 回 ， 且 存 在 此 问 题 。 修 复 方 法 ： 对 于 一 些 支 付 类 的 信 息 ， 不 能 在 前 端 控 制 ， 其 校 验 信 息 应 该 由 后 端 来 完 成 。 2 ， 商 品 订 购 数 据 篡 改 测 试 ， 商 品 订 购 数 据 篡 改 测 试 测 试 方 法 ： 这 个 和 商 品 支 付 金 额 负 数 ， 提 交 后 弱 服 务 器 成 功 返 回 ， 则 存 在 此 问 题 。
修 复 方 法 ： 后 端 应 该 对 其 风 险 进 行 控 制 ， 对 异 常 的 交 易 行 为 进 行 限 制 和 阻 断 ， 其 异 常 行 为 例 如 积 分 为 负 、 交 易 商 品 数 量 为 负 、 交 易 商 品 数 量 和 金 额 不 符 ， 商 品 数 量 为   0   等 。 3 ， 前 端 ， 前 端   j s   绕 过 测 试 绕 过 测 试 测 试 方 法 ： 例 如 一 个 促 销 活 动 购 买 商 品 的 功 能 ， 其 商 品 有 购 买 数 量 限 制 ， 比 如 没 人 限 购   1   份 ， 这 时 输 入   1   发 送 请 求 ， 拦 截 数 据 包 修 改 其 值 ， 修 改 为 多 份 时 ， 如 果 成 功 提 交 ， 则 存 在 此 问 题 。 修 复 方 法 ： 对 于 类 似 的 功 能 ， 其 关 键 的 数 据 信 息 校 验 应 该 由 服 务 端 完 成 ， 而 不 能 只 以 前 端 来 做 判 断 。 例 如 ， 商 品 的 金 额 ， 商 品 的 折 扣 ， 商 品 的 数 量 和 限 购 等 。 思 路 拓 展 ： 昨 天 没 事 ， 随 便 翻 了 一 个 网 站 ， 有 一 个 提 现 余 额 功 能 ， 提 现 时 前 端 会 有   j s   判 断 ， 其 金 额 必 须 大 于   5 0 ， 修 改 前 端 j s   和 禁 用   j s   出 了 些 问 题 没 有 利 用 成 功 ， 这 时 候 前 端   j s   绕 不 过 去 ， 于 是 就 看   j s   代 码 ， 如 果 余 额 大 于   5 0   则 请 求 的 连 接 是 什 么 ， 然 后 伪 造 了 一 个 其 请 求 的 数 据 包 发 送 给 服 务 器 ， 其 中 提 现 金 额 是 明 文 的 ， 输 入   1 0 0   后 台 返 回 余 额 不 足 的 信 息 ， 猜 想 后 台 是 把 余 额 减 去 提 现 金 额 来 做 的 功 能 ， 这 时 后 输 入 提 现 金 额 为   -   1 0 0 ， 服 务 器 返 回 成 功 ， 返 回 个 人 中 心 看 时 ， 余 额 变 成 了 1 0 0 。 这 个 属 于 典 型 的 后 台 校 验 不 足 ， 修 复 也 很 简 单 ， 后 台 判 断 其 提 现 的 金 额 即 可 ， 例 如 必 须 大 于   5 0   且 不 为 负 数 ， 或 接 收 其 类 型 时 强 制 转 换 为   i n t   型 。 4 ， 请 求 重 放 测 试 ， 请 求 重 放 测 试 测 试 方 法 ： 例 如 一 些 商 品 订 购 功 能 ， 生 成 订 单 时 抓 取 其 请 求 ， 然 后 发 送 到   r e p e a t e r ， 不 断 的   g o ， 如 果 一 个 请 求 可 以 多 次 成 功 ， 生 成 多 个 订 单 ， 则 存 在 此 问 题 。 其 危 害 在 于 一 次 购 买 多 次 收 货 。 经 验 之 谈 ： 除 了 订 购 下 单 等 功 能 外 ， 可 以 多 次 请 求 的 功 能 都 可 以 做 相 关 测 试 ， 例 如 添 加 管 理 员 ， 添 加 一 些 信 息 等 功 能 ， 其 危 害 在 于 恶 意 攻 击 者 获 取 此 请 求 后 ， 便 可 操 作 程 序 。 修 复 方 法 ： 可 以 添 加 随 机 的   t o k e n   作 为 验 证 ， 一 次 请 求 后 即 失 效 。 在 服 务 器 端 生 成 订 单 的 时 候 ， 要 对 订 单   t o k e n   对 应 的 订 购 信 息 内 容 、 用 户 身 份 、 用 户 积 分 等 一 些 信 息 进 行 强 制 校 验 。 5 ， 业 务 上 限 测 试 ， 业 务 上 限 测 试 测 试 方 法 ： 说 是 业 务 上 限 测 试 ， 也 可 使 说 是 对 前 几 条 的 总 结 或 结 合 ， 例 如 一 个 查 询 订 单 功 能 ， 只 能 查 最 近   6   个 月 的 订 单 ， 请 求 后 抓 包 ， 修 改 其 值 为   1 2   则 可 以 查 看 一 年 的 订 单 ， 则 存 在 此 问 题 。 经 验 之 谈 ： 上 面 说 的 几 条 也 可 以 算 作 业 务 上 限 问 题 ， 总 结 下 就 是 在 请 求 订 单 的 过 程 中 ， 只 要 超 过 系 统 的 预 定 值 ， 且 请 求 成 功 的 ， 都 可 以 算 作 业 务 上 限 问 题 ， 只 不 过 在 记 录 报 告 时 ， 需 要 具 体 的 写 明 哪 个 参 数 可 改 ， 这 样 最 好 。 修 复 方 法 ： 修 复 方 法 ： 可 以 添 加 随 机 的   t o k e n   作 为 验 证 ， 一 次 请 求 后 即 失 效 。 在 服 务 器 端 生 成 订 单 的 时 候 ， 要 对 订 单   t o k e n 对 应 的 订 购 信 息 内 容 、 用 户 身 份 、 用 户 积 分 等 一 些 信 息 进 行 强 制 校 验 。 0 x 0 3 ： 总 结 ： 总 结 这 次 记 录 了 业 务 数 据 安 全 的 一 些 测 试 方 法 和 要 点 ， 后 续 会 继 续 记 录 其 他 模 块 。 欢 迎 将 文 章 分 享 到 朋 友 圈   如 果 想 g e t 更 多 的 技 能 ， 长 按 二 维 码 可 关 注 我

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理