搜索

[18286] 2021-02-12_从零开始的业务逻辑漏洞挖掘

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-18
2021-02-12_从零开始的业务逻辑漏洞挖掘 从 零 开 始 的 业 务 逻 辑 漏 洞 挖 掘 T 1 h 2 u a   H A C K 之 道   2 0 2 1 - 0 2 - 1 2 最 近 总 是 有 人 私 信 我 ， 怎 么 挖 漏 洞 啊 ， 哪 些 大 佬 平 时 是 怎 么 挖 洞 的 啊 ， 为 什 么 我 挖 不 到 啊 ， 针 对 这 些 问 题 我 只 能 回 答 ： “ 很 抱 歉 ， 我 不 是 什 么 大 佬 ， 也 不 是 靠 挖 S R C 平 台 生 活 的 人 ， 我 只 是 一 个 菜 鸡 ” ， 所 以 博 主 作 为 一 名 菜 鸡 ， 将 自 己 的 逻 辑 漏 洞 挖 掘 技 巧 分 享 出 来 ， 请 注 意 ： 本 篇 文 章 并 没 有 什 么 新 思 路 ， 骚 姿 势 ， 完 全 是 很 基 础 的 文 章 请 注 意 ： 本 篇 文 章 并 没 有 什 么 新 思 路 ， 骚 姿 势 ， 完 全 是 很 基 础 的 文 章 什 么 是 逻 辑 漏 洞 ？ 什 么 是 逻 辑 漏 洞 ？ 如 果 要 正 式 的 回 答 ， 我 认 为 “ 所 有 漏 洞 都 可 以 是 逻 辑 漏 洞 ， 因 为 每 个 漏 洞 都 有 自 己 的 逻 辑 顺 序 ， 比 如 S Q L 注 入 ， 因 为 攻 击 者 输 入 恶 意 的 S Q L 语 句 ， 并 且 服 务 端 没 有 做 任 何 防 御 措 施 ， 所 以 S Q L 语 句 会 在 数 据 库 进 行 拼 接 ， 导 致 了 S Q L 注 入 ” 这 样 的 过 程 不 就 是 整 个 逻 辑 导 致 的 吗 ？ 当 然 ， 一 般 说 的 逻 辑 漏 洞 是 对 在 业 务 逻 辑 验 证 中 ， 改 变 了 业 务 系 统 原 有 的 逻 辑 ， 导 致 实 现 对 在 业 务 逻 辑 验 证 中 ， 改 变 了 业 务 系 统 原 有 的 逻 辑 ， 导 致 实 现 了 攻 击 者 预 期 的 效 果 了 攻 击 者 预 期 的 效 果 ， 博 主 在 这 里 也 不 较 真 了 ， 其 实 主 要 想 告 诉 你 们 的 是 ， 如 果 想 要 挖 掘 逻 辑 漏 洞 ， 就 必 须 打 好 基 础 。 不 用 于 通 用 型 的 漏 洞 ， 用 工 具 一 跑 就 得 到 结 果 了 ， 挖 掘 逻 辑 漏 洞 更 讲 究 的 是 你 对 这 整 个 业 务 的 逻 辑 是 怎 么 样 的 理 解 ， 如 果 理 解 ， 那 么 就 必 须 拥 有 一 定 的 开 发 方 便 的 知 识 和 基 础 ， 以 下 我 会 一   一 列 举 ， 如 果 有 漏 掉 的 ， 也 欢 迎 指 出 ： H T T P 协 议 原 理 （ 这 个 不 用 多 说 ， 挖 逻 辑 漏 洞 就 是 要 和 H T T P 打 交 道 ） 服 务 端 语 言 （ 了 解 语 言 的 特 性 ， 可 以 让 你 理 解 ， 整 个 业 务 的 数 据 流 在 后 端 是 怎 么 处 理 的 ） B u r p   S u i t e 工 具 的 熟 练 使 用   （ 如 果 你 连 这 个 工 具 都 不 知 道 的 话 ， 那 么 你 就 没 必 要 往 下 看 了 ） 前 端 语 言 （ 了 解 前 端 语 言 ， 尤 其 是 j s ， 可 以 让 你 理 解 ， 当 返 回 信 息 到 浏 览 器 的 时 候 ， 浏 览 器 是 怎 么 一 个 过 程 ） F 1 2 的 使 用 （ F 1 2 就 是 审 查 元 素 啦 ， 火 狐 的 话 用 F i r e   B U G 插 件 ， 调 到 网 络 选 项 卡 ， 用 来 查 看 数 据 流 ） C o o k i e 与 S e s s i o n 的 理 解 （ 这 个 比 较 重 要 的 一 个 了 ， 不 过 学 服 务 端 语 言 中 会 学 到 ， 大 部 分 逻 辑 漏 洞 都 和 C o o i e 和 S e s s i o n 有 关 ） 这 里 博 主 就 想 不 出 了 ， 如 果 还 有 的 话 ， 欢 迎 联 系 博 主 Q Q 来 补 充 ， 接 下 来 ， 我 将 分 享 如 何 挖 掘 逻 辑 漏 洞 如 何 挖 掘 逻 辑 漏 洞 ： 如 何 挖 掘 逻 辑 漏 洞 ： 如 果 不 满 足 博 主 列 举 的 基 础 的 话 ， 就 没 必 要 往 下 看 了 。 废 话 不 多 说 ， 进 入 正 题
挖 掘 逻 辑 漏 洞 之 前 ， 一 定 一 定 要 理 解 这 个 业 务 系 统 他 是 怎 么 运 作 的 ， 他 的 逻 辑 是 什 么 。 这 里 我 们 看 一 下 ， 本 人 在 实 际 挖 掘 中 的 一 个 案 例 我 们 首 先 来 到 这 个 直 播 平 台 密 码 重 置 的 地 方 ， 输 入 手 机 号 ， 然 后 发 送 验 证 码 这 里 我 发 现 了 一 个 问 题 ， 我 收 到 的 验 证 码 是 4 位 数 ， 时 效 性 这 里 我 忘 记 了 ， 反 正 时 间 是 挺 长 的 ， 这 样 的 话 ， 我 们 思 考 一 下 ， 他 的 业 务 逻 辑 是 怎 么 样 的 判 断 账 号 是 否 存 在 ， 让 用 户 获 取 验 证 码 ， 当 用 户 提 交 过 来 数 据 的 时 候 ， 先 判 断 验 证 码 是 否 是 4 位 数 ， 判 断 验 证 码 是 否 存 在 ， 判 断 验 证 码 是 否 是 这 个 手 机 号 的 ， 验 证 第 一 次 输 入 的 密 码 和 第 二 次 输 入 的 密 码 是 否 是 一 样 的 。 如 果 以 上 条 件 满 足 ， 系 统 就 会 重 置 密 码 ， 这 样 看 起 来 没 有 什 么 问 题 ， 也 就 是 说 ， 如 果 我 们 想 要 重 置 密 码 ， 就 必 须 把 验 证 码 输 入 正 确 ， 验 证 码 也 只 会 往 你 填 写 的 手 机 号 上 发 。 如 何 突 破 呢 ？ 我 们 思 考 一 下 ， 验 证 码 是 4 位 数 位 数 纯 数 字 ， 纯 数 字 ， 那 么 我 们 从 0 0 0 0 - 9 9 9 9 每 次 加 一 ， 每 次 加 一 ， 肯 定 有 一 个 验 证 码 是 正 确 的 ， 那 么 他 这 里 的 逻 辑 漏 洞 就 是 ， 验 证 码 可 以 被 破 解 ， 验 证 码 的 时 效 性 ， 足 够 让 我 们 从 0 0 0 - 9 9 9 9 完 全 跑 完 ， 这 样 的 话 ， 就 直 接 重 置 了
然 后 接 下 来 我 们 输 入 正 确 的 验 证 码 就 可 以 改 密 码 了 ， 如 果 你 感 觉 不 够 逻 辑 的 话 ， 那 么 我 们 再 博 主 实 际 挖 掘 中 的 一 个 案 例 ， 以 下 博 主 用 两 个 账 号 来 测 试 ， 模 拟 攻 击 者 和 被 攻 击 者 ， 攻 击 者 的 邮 箱 是 我 朋 友 的 号 ， 被 攻 击 者 的 邮 箱 就 是 我 自 己 的 号 第 一 步 ， 我 们 先 输 入 被 攻 击 者 邮 箱 账 号 ， 获 取 验 证 码
验 证 码 发 送 成 功 ， 但 是 我 们 并 不 知 道 验 证 码 是 多 少 ， 因 为 验 证 码 发 送 到 了 被 攻 击 者 的 邮 箱 中 去 ， 接 下 来 ， 我 们 等 待 一 分 钟 ， 然 后 开 启 抓 包 ， 点 击 重 新 获 取 ， 接 下 来 就 会 抓 到 一 个 这 样 的 包 ， 然 后 我 们 把 e m a i l 参 数 修 改 为 攻 击 者 的 邮 箱 （ 下 图 为 已 经 修 改 好 了 的 ） ， 点 击 放 包
然 后 攻 击 者 的 邮 箱 收 到 了 验 证 码 ， 博 主 这 里 就 直 接 登 录 我 朋 友 的 邮 箱 ， 将 两 个 验 证 码 对 比 ， 我 们 发 现 两 个 邮 箱 里 面 的 验 证 码 是 一 模 一 样 的 然 后 填 写 获 取 到 的 验 证 码 ， 就 可 以 重 置 了 。
W h y ？ 为 什 么 会 发 生 这 样 的 事 情 ， 我 们 看 一 下 这 个 业 务 系 统 的 流 程 ： 输 入 要 重 置 的 邮 箱 ， 发 送 验 证 码 ， 生 成 生 成 S e s s i o n ， 验 证 验 证 S e s s i o n ， 完 成 重 置 ， 这 个 过 程 似 乎 没 什 么 问 题 ， 接 下 来 我 来 解 释 一 下 漏 洞 就 出 在 了 生 成 S e s s i o n 和 验 证 S e s s i o n 这 一 步 ， 当 我 们 输 入 被 攻 击 者 账 号 的 时 候 ， 第 一 次 发 送 验 证 码 他 会 生 成 被 攻 击 者 账 号 的 S e s s i o n ， 当 我 们 点 击 再 次 发 生 的 时 候 ， 因 为 这 个 S e s s i o n 已 经 存 在 了 ， 所 以 就 不 会 生 成 ， 会 直 接 往 指 定 的 邮 箱 里 面 发 生 验 证 码 ， 这 里 因 为 我 们 接 收 验 证 码 的 邮 箱 篡 改 了 ， 服 务 端 那 边 只 是 校 验 了 S e s s i o n ， 而 没 有 校 验 接 收 的 邮 箱 是 否 和 S e s s i o n 是 绑 定 关 系 ， 导 致 了 第 二 次 发 送 的 验 证 码 ， 会 直 接 发 送 到 攻 击 者 的 邮 箱 里 面 ， 这 个 逻 辑 上 就 存 在 了 缺 陷 ， 如 果 他 的 逻 辑 是 ， 验 证 S e s s i o n 和 邮 箱 是 否 绑 定 ， 那 么 这 样 的 情 况 也 不 发 生 了 ， 或 者 根 本 不 生 成 S e s s i o n ， 只 验 证 发 信 和 要 重 置 的 邮 箱 ， 这 样 攻 击 者 改 成 了 自 己 的 邮 箱 ， 那 么 要 重 置 的 邮 箱 也 会 跟 着 改 变 ， 这 样 就 无 法 重 置 被 攻 击 者 的 邮 箱 账 号 了 。 看 到 这 里 ， 不 知 道 你 对 业 务 逻 辑 漏 洞 是 否 有 了 初 步 的 认 识 ， 如 果 你 还 是 感 觉 太 模 糊 ， 那 么 再 看 博 主 实 际 挖 掘 中 的 一 个 案 例 ： 业 务 逻 辑 缺 陷 + C S R F 劫 持 用 户 权 限 这 个 漏 洞 蛮 鸡 肋 的 ， 只 要 是 C S R F 肯 定 也 只 是 针 对 单 人 定 向 攻 击 ， 所 以 理 所 应 当 的 给 了 一 个 低 危 ， 不 过 这 个 思 路 还 是 可 以 学 习 一 下 的 你 瞧 瞧 ， 人 家 审 核 都 这 么 说 了 ， 我 也 怪 不 好 意 思 的 ， 这 个 思 路 最 初 是 由 花 茶 安 全 团 队 的 创 始 人 — — 天 堂 空 气 发 觉 的 ， 不 过 我 感 觉 应 该 很 多 的 大 佬 早 就 发 现 了 这 样 的 一 个 逻 辑 漏 洞 ， 怎 么 说 也 算 是 一 个 组 合 拳 了 吧 o k ， 不 废 话 了 ， 首 先 来 到 个 人 中 心 ， 有 一 个 绑 定 邮 箱 （ 我 是 手 机 号 注 册 的 ） ， 然 后 输 入 自 己 的 手 机 号 获 取 验 证 码 ， 输 入 验 证 码 ， 点 击 确 定 绑 定 的 时 候 抓 包
然 后 生 成 C S R F   p o c   ， 再 把 包 丢 掉 ， 这 样 等 于 这 个 包 没 发 出 去 ， 这 样 的 话 ， 我 的 账 号 理 所 应 当 的 也 没 有 绑 定 这 个 邮 箱 ， 然 后 打 开 p o c 地 址 ， 点 击 触 发 按 钮 ， 会 发 现 ， 返 回 状 态 为 1 ， 1 一 般 代 表 t r u e ， 也 就 是 说 绑 定 成 功 了 。 然 后 就 可 以 开 始 搞 事 情 了 ， 打 开 密 码 重 置 ， 然 后 让 我 们 输 入 手 机 号 或 者 邮 箱 或 者 邮 箱 重 置 密 码 ， 我 们 输 入 刚 刚 利 用 C S R F 绑 定 的 邮 箱 ， 然 后 获 取 验 证 码 ， 输 入 验 证 码 ， 输 入 新 密 码 ， 确 认 重 置 ， 这 样 就 重 置 了 密 码 了 ， 是 不 是 看 着 有 点 懵 ， 我 下 面 就 从 攻 击 者 的 角 度 利 用 。 1 . 攻 击 者 在 自 己 的 个 人 中 心 绑 定 邮 箱 ， 获 得 验 证 码 ， 然 后 输 入 验 证 码 的 时 候 ， 抓 包 生 成 p o c 2 . 攻 击 者 将 按 钮 设 置 为 自 动 点 击 ， 并 把 p o c 放 到 网 站 服 务 器 上 面
3 . 攻 击 者 诱 导 用 户 点 击 p o c 的 链 接 ， 用 户 点 击 之 后 ， 用 户 的 个 人 中 心 被 绑 定 上 攻 击 者 的 邮 箱 4 . 攻 击 者 通 过 自 己 的 邮 箱 ， 获 得 验 证 码 ， 重 置 用 户 的 密 码 这 个 过 程 是 不 是 有 点 出 乎 意 料 ， 本 来 只 是 一 个 C S R F 漏 洞 ， 没 多 大 的 危 害 ， 但 是 这 样 利 用 的 话 ， 就 上 升 一 个 危 害 层 面 了 。 这 里 网 站 的 个 人 中 心 如 果 能 把 加 上 图 形 验 证 码 ， 或 者 直 接 修 复 这 个 C S R F 漏 洞 ， 也 就 不 会 发 生 这 种 情 况 了 。 为 什 么 鸡 肋 ： 1 ， 验 证 码 的 时 效 性 只 有 半 个 小 时 ， 也 就 是 说 ， 用 户 要 在 攻 击 者 获 取 验 证 码 的 半 个 小 时 内 点 击 攻 击 者 的 恶 意 链 接 ， 否 则 这 个 漏 洞 就 会 失 效 2 .   只 能 针 对 单 一 用 户 ， 范 围 小 首 先 感 谢 你 能 把 文 章 看 到 这 里 ， 就 算 再 不 懂 ， 至 少 知 道 逻 辑 漏 洞 是 个 什 么 东 西 了 吧 ， 所 以 我 最 后 再 做 一 个 总 结 ， 把 你 脑 子 里 面 乱 糟 糟 的 零 散 聚 集 一 下 ， 我 感 觉 博 主 已 经 写 的 很 详 细 了 ， 那 么 我 就 在 这 里 总 结 一 下 吧 。 总 结 ： 总 结 ： 1 . 永 远 不 要 依 赖 别 人 的 思 路 ， 然 后 遇 到 一 个 业 务 点 就 往 上 面 套 ， 那 样 挖 洞 只 是 靠 运 气 ， 没 有 一 点 技 术 含 量 2 . 要 善 于 思 考 ， 仔 细 研 究 这 个 业 务 系 统 的 处 理 流 程 ， 确 认 每 个 点 都 没 有 逻 辑 问 题 3 . 挖 到 一 个 漏 洞 之 后 ， 如 果 感 觉 危 害 低 ， 尝 试 思 考 下 有 没 有 别 的 辅 助 型 漏 洞 （ 比 如 C S R F ） 可 以 打 组 合 拳 4 . 如 果 感 觉 自 己 的 挖 洞 逻 辑 太 弱 ， 多 去 乌 云 镜 像 网 看 看 老 前 辈 的 漏 洞 案 例 ， 虽 然 老 ， 但 是 思 路 很 经 典 ， 英 文 阅 读 能 力 好 ， 可 以 去 H a c k o n e 看 漏 洞 案 例 ， 比 较 骚 的 思 路 ， 但 是 要 求 基 础 掌 握 的 很 稳 5 . 不 要 沉 迷 于 逻 辑 漏 洞 ， 多 多 注 意 信 息 泄 露 ， x s s ， s q l 注 入 等 漏 洞 ， 有 的 时 候 可 以 结 合 逻 辑 漏 洞 提 升 危 害 6 . 不 要 刚 学 会 就 去 挖 大 厂 ， 否 则 你 会 自 闭 ， 新 手 推 荐 挖 ： 漏 洞 盒 子 ， 补 天 公 益 厂 商 ， 小 厂 商 挖 熟 练 之 后 ， 就 开 始 尝 试 挖 大 厂 7 . 挖 洞 一 定 要 心 细 ， 每 个 链 接 。 每 个 点 都 点 开 看 一 下 ， 每 点 开 一 个 ， 就 要 思 考 后 台 处 理 逻 辑
8 . 最 后 一 句 话 ： “ 基 础 不 牢 ， 地 动 山 摇 ” 作 者 ： T 1 h 2 u a ， 文 章 来 源 ： h t t p s : / / w w w . t 1 h 2 u a . c n 点 击 上 方 ， 关 注 公 众 号 点 击 上 方 ， 关 注 公 众 号 如 文 章 对 你 有 帮 助 ， 请 支 持 点 下 “ 赞 ” “ 在 看 ” 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理