搜索

[234] 2018-07-31_渗透测试业务逻辑之业务办理模块测试

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-16
2018-07-31_渗透测试业务逻辑之业务办理模块测试 渗 透 测 试 业 务 逻 辑 之 业 务 办 理 模 块 测 试 发 哥 微 课 堂   a F a 攻 防 实 验 室   2 0 1 8 - 0 7 - 3 1 0 x 0 0 ： 前 言 ： 前 言 上 周 做 渗 透 ， 有 一 个   s q l   注 入 ， 负 责 安 全 审 核 的 人 给 开 发 说 你 们 的 程 序 既 然 还 有   s q l   注 入 ， 我 一 年 也 看 不 见 几 个 。 这 句 话 让 我 又 再 次 深 刻 的 认 识 到 ， 渗 透 测 试 常 规 的 一 些 注 入 跨 站 漏 洞 不 如 以 前 那 么 盛 了 ， 有 点 经 验 的 开 发 写 东 西 都 会 去 考 虑 到 了 ， 再 加 上 修 复 方 法 也 在 逐 渐 的 完 善 ， 逻 辑 类 的 东 西 也 应 该 并 重 的 去 测 。 0 x 0 1 ： 分 类 ： 分 类 我 把 逻 辑 类 的 问 题 大 概 总 结 了 一 下 ， 大 概 可 以 分 为 十 个 模 块 ， 分 别 是 登 录 认 证 模 块 测 试 、 业 务 办 理 模 块 测 试 、 业 务 授 权 访 问 模 块 测 试 、 输 入   /   输 出 模 块 测 试 、 回 退 模 块 测 试 、 验 证 码 机 制 测 试 、 业 务 数 据 安 全 测 试 、 业 务 流 程 乱 序 测 试 、 密 码 找 回 模 块 测 试 、 业 务 接 口 调 用 模 块 测 试 。 这 次 记 录 的 是 第 二 模 块 业 务 办 理 模 块 。 0 x 0 2 ： 业 务 办 理 模 块 测 试 ： 业 务 办 理 模 块 测 试 1 ， 订 单 ， 订 单 I D 篡 改 测 试 篡 改 测 试 测 试 方 法 ： 对 于 一 些 购 买 东 西 的 功 能 ， 当 到 订 单 详 情 页 时 ， 可 以 刷 新 页 面 拦 截 包 ， 发 送 到 R e p e a t e r ， 修 改 其 中 的 i d 订 单 号 ， 看 是 否 会 返 回 对 应 的 订 单 信 息 ， 如 正 常 返 回 则 存 在 此 问 题 。 经 验 之 谈 ： 如 果 存 在 此 问 题 ， 则 也 就 意 味 着 同 时 也 存 在 越 权 的 问 题 。 测 试 的 时 候 ， 可 以 准 备 两 个 账 号 ， 修 改 i d 订 单 号 时 方 便 测 试 。
修 复 方 法 ： 在 后 台 查 看 订 单 时 要 通 过 S e s s i o n 机 制 去 判 断 用 户 身 份 ， 服 务 端 要 去 校 验 相 应 订 单 和 登 录 者 的 身 份 是 否 一 致 ， 如 果 不 一 致 则 应 该 拒 绝 请 求 ， 防 止 出 现 水 平 越 权 泄 露 个 人 隐 私 信 息 。 2 ， 手 机 号 码 篡 改 测 试 ， 手 机 号 码 篡 改 测 试 测 试 方 法 ： 对 于 一 些 登 录 后 才 可 以 使 用 的 功 能 ， 发 送 请 求 时 ， 可 以 拦 截 包 观 察 其 参 数 ， 如 果 其 中 包 含 手 机 号 ， 可 以 尝 试 替 换 成 另 一 个 号 码 ， 查 看 返 回 结 果 是 否 有 变 化 ， 如 果 有 变 化 则 存 在 此 问 题 。 经 验 之 谈 ： 如 果 存 在 此 问 题 ， 则 也 就 意 味 着 同 时 也 存 在 越 权 的 问 题 。 测 试 的 时 候 ， 可 以 准 备 两 个 账 号 ， 修 改 手 机 号 时 方 便 测 试 。 修 复 方 法 ： 后 台 要 通 过 S e s s i o n 的 机 制 来 判 断 用 户 身 份 ， 如 果 其 中 有 手 机 号 参 数 时 ， 应 该 在 服 务 器 端 判 断 用 户 的 身 份 信 息 和 手 机 号 是 否 一 致 ， 从 而 防 止 水 平 越 权 的 问 题 发 生 。 3 ， 用 户 ， 用 户 I D 篡 改 测 试 篡 改 测 试 测 试 方 法 ： 很 多 业 务 请 求 中 都 会 有 U s e r I D 参 数 ， 而 后 台 判 断 其 身 份 时 也 会 根 据 这 个 参 数 来 做 判 断 ， 如 果 碰 到 类 似 参 数 ， 可 尝 试 修 改 其 值 为 另 一 个 账 号 ， 如 果 系 统 返 回 了 相 应 的 信 息 ， 则 存 在 此 问 题 。 经 验 之 谈 ： 如 果 存 在 此 问 题 ， 则 也 就 意 味 着 同 时 也 存 在 越 权 的 问 题 。 测 试 的 时 候 ， 可 以 准 备 两 个 账 号 ， 修 改 I D 时 方 便 测 试 。 修 复 方 法 ： 后 台 要 通 过 S e s s i o n 的 机 制 来 判 断 用 户 的 身 份 ， 当 程 序 逻 辑 需 要 用 到 I D 号 时 ， 要 在 服 务 器 判 断 传 过 来 的 I D 是 否 和 当 前 用 户 的 I D 一 致 ， 防 止 其 产 生 越 权 问 题 。 4 ， 邮 箱 和 用 户 篡 改 测 试 ， 邮 箱 和 用 户 篡 改 测 试 测 试 方 法 ： 例 如 有 一 个 发 邮 件 功 能 ， 当 写 好 邮 件 内 容 ， 填 好 收 件 人 后 ， 发 送 时 拦 包 修 改 其 发 件 人 的 邮 箱 地 址 ， 可 以 成 功 发 送 。 然 后 收 件 人 收 到 的 邮 件 也 会 成 功 显 示 刚 才 修 改 发 件 人 的 名 ， 则 就 存 在 此 问 题 。 修 复 方 法 ： 后 台 通 过 S e s s i o n 判 断 用 户 的 身 份 ， 如 果 在 传 输 的 过 程 中 需 要 用 到 类 似 上 例 中 的 邮 箱 参 数 ， 则 需 要 在 服 务 器 端 判 断 传 过 来 的 邮 箱 和 当 前 登 录 的 用 户 是 否 一 致 ， 避 免 问 题 的 发 生 。 5 ， 商 品 编 号 篡 改 测 试 ， 商 品 编 号 篡 改 测 试 测 试 方 法 ： 在 一 些 商 城 中 ， 购 买 商 品 时 在 生 成 订 单 页 时 或 者 是 支 付 时 ， 抓 包 可 以 修 改 其 支 付 的 金 额 ， 或 者 是 修 改 其 商 品 的 i d ， 实 现 低 价 买 高 价 商 品 ， 1 分 钱 买 商 品 等 情 况 ， 则 确 定 存 在 此 问 题 。 修 复 建 议 ： 对 于 商 品 的 金 额 ， 不 建 议 从 客 户 端 传 入 ， 防 止 被 篡 改 。 如 果 必 须 从 客 户 端 传 入 ， 则 应 在 服 务 端 接 收 后 检 查 商 品 价 格 和 交 易 金 额 是 否 一 致 。 也 可 以 对 支 付 的 金 额 做 一 个 签 名 校 验 ， 不 一 致 时 则 组 织 该 交 易 。 6 ， 竞 争 条 件 测 试 ， 竞 争 条 件 测 试 漏 洞 说 明 ： 这 个 不 像 x s s 、 s q l 注 入 那 样 人 人 皆 知 ， 所 以 简 要 说 明 一 下 ， 例 如 购 买 商 品 功 能 ， 商 品 1 块 ， 余 额 剩 余 1 块 ， 在 购 买 时 拦 截 包 ， 然 后 多 线 程 去 请 求 。 在 后 台 执 行 逻 辑 更 新 数 据 库 余 额 之 前 ， 可 能 会 有 其 他 的 请 求 也 执 行 成 功 ， 这 时 就 可 以 购 买 多 次 ， 然 后 余 额 变 为 负 数 。 例 如 以 下 代 码 ( 不 要 在 乎 代 码 的 写 法 ， 只 做 示 例 ) ： 测 试 方 法 ： 拦 截 请 求 ， 发 送 到 I n t r u d e r ， 把 线 程 设 置 多 点 ， 比 如 所 1 0 0 ， 然 后 开 始 跑 ， 随 后 对 比 数 据 ， 看 是 否 有 异 常 。 修 复 方 法 ： 在 处 理 订 单 、 支 付 等 业 务 时 ， 使 用 悲 观 锁 或 乐 观 锁 保 证 事 务 的 A C I D 特 性 （ 原 子 性 、 一 致 性 、 隔 离 性 、 持 久 $ r e s   =   m y s q l _ q u e r y ( " s e l e c t   c r e d i t   f r o m   u s e r s   w h e r e   i d = $ i d " ) ； $ r o w   =   m y s q l _ f e t c h _ a s s o c ( $ r e s ) ; i f ( $ r o w [ ' c r e d i t ' ]   > =   $ _ P O S T [ ' a m o u n t ' ] ) {         $ n e w _ c r e d i t   =   $ r o w [ ' c r e d i t ' ]   -   $ _ P O S T [ ' a m o u n t ' ] ;         $ r e s   =   m y s q l _ q u e r y ( " u p d a t e   u s e r s   s e t   c r e d i t = $ n e w _ c r e d i t   w h e r e   i d = $ i d " ) ; }
性 ） ， 并 避 免 数 据 脏 读 （ 一 个 事 务 读 取 了 另 一 个 事 务 未 提 交 的 数 据 ） 。 0 x 0 3 ： 总 结 ： 总 结 对 于 业 务 办 理 模 块 ， 主 要 是 观 察 各 个 请 求 参 数 ， 修 改 他 们 ， 造 成 业 务 逻 辑 上 的 问 题 。 后 续 会 继 续 总 结 其 他 的 模 块 。 欢 迎 将 文 章 分 享 到 朋 友 圈   如 果 想 g e t 更 多 的 技 能 ， 长 按 二 维 码 可 关 注 我
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理