搜索

[20705] 2017-04-13_Web安全测试中常见逻辑漏洞解析

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2017-04-13_Web安全测试中常见逻辑漏洞解析 W e b 安 全 测 试 中 常 见 逻 辑 漏 洞 解 析 L e m o n S e c   2 0 1 7 - 0 4 - 1 3 一 ： 订 单 金 额 任 意 修 改 解 析 很 多 中 小 型 的 购 物 网 站 都 存 在 这 个 漏 洞 。 在 提 交 订 单 的 时 候 抓 取 数 据 包 或 者 直 接 修 改 前 端 代 码 ， 然 后 对 订 单 的 金 额 任 意 修 改 。 如 下 图 所 示 ： 经 常 见 到 的 参 数 大 多 为 r m b v a l u e a m o u n t c a s h f e e m o n e y 等 关 于 支 付 的 逻 辑 漏 洞 这 一 块 还 有 很 多 种 思 路 ， 比 如 相 同 价 格 增 加 订 单 数 量 ， 相 同 订 单 数 量 减 少 产 品 价 格 ， 订 单 价 格 设 定 为 负 数 等 等 。 预 防 思 路
1 . 订 单 需 要 多 重 效 验 ， 如 下 图 所 演 示 。 2 .   订 单 数 值 较 大 时 需 要 人 工 审 核 订 单 信 息 ， 如 下 图 所 演 示 。 3 .   我 只 是 提 到 两 个 非 常 简 单 的 预 防 思 路 ， 第 二 个 甚 至 还 有 一 些 不 足 之 处 。 这 里 需 要 根 据 业 务 环 境 的 不 同 总 结 出 自 己 的 预 防 方 式 ， 最 好 咨 询 专 门 的 网 络 安 全 公 司 。 二 ： 验 证 码 回 传 解 析 这 个 漏 洞 主 要 是 发 生 在 前 端 验 证 处 ， 并 且 经 常 发 生 的 位 置 在 于 账 号 密 码 找 回 账 号 注 册
支 付 订 单 等 验 证 码 主 要 发 送 途 径 邮 箱 邮 件 手 机 短 信 其 运 行 机 制 如 下 图 所 示 ： 黑 客 只 需 要 抓 取 R e s p o n s e 数 据 包 便 知 道 验 证 码 是 多 少 。 预 防 思 路 1 . r e s p o n s e 数 据 内 不 包 含 验 证 码 ， 验 证 方 式 主 要 采 取 后 端 验 证 ， 但 是 缺 点 是 服 务 器 的 运 算 压 力 也 会 随 之 增 加 。
2 . 如 果 要 进 行 前 端 验 证 的 话 也 可 以 ， 但 是 需 要 进 行 加 密 。 当 然 ， 这 个 流 程 图 还 有 一 些 安 全 缺 陷 ， 需 要 根 据 公 司 业 务 的 不 同 而 进 行 更 改 。 三 ． 未 进 行 登 陆 凭 证 验 证 解 析 有 些 业 务 的 接 口 ， 因 为 缺 少 了 对 用 户 的 登 陆 凭 证 的 效 验 或 者 是 验 证 存 在 缺 陷 ， 导 致 黑 客 可 以 未 经 授 权 访 问 这 些 敏 感 信 息 甚 至 是 越 权 操 作 。 常 见 案 例 ： 1 .   某 电 商 后 台 主 页 面 ， 直 接 在 管 理 员 w e b 路 径 后 面 输 入 m a i n . p h p 之 类 的 即 可 进 入 。 2 .   某 航 空 公 司 订 单 I D 枚 举
3 .   某 电 子 认 证 中 心 敏 感 文 件 下 载
4 . 某 站 越 权 操 作 及 缺 陷 ， 其 主 要 原 因 是 没 对 I D 参 数 做 c o o k i e 验 证 导 致 。
5 .   实 际 上 还 有 很 多 案 例 ， 这 里 就 不 一 一 例 举 了 ， 但 是 他 们 都 存 在 一 个 共 同 的 特 性 ， 就 是 没 有 对 用 户 的 登 陆 凭 证 进 行 效 验 ， 如 下 图 为 例 。
预 防 思 路 对 敏 感 数 据 存 在 的 接 口 和 页 面 做 c o o k i e ， s s i d ， t o k e n 或 者 其 它 验 证 ， 如 下 图 所 示 。 四 ： 接 口 无 限 制 枚 举 解 析 有 些 关 键 性 的 接 口 因 为 没 有 做 验 证 或 者 其 它 预 防 机 制 ， 容 易 遭 到 枚 举 攻 击 。 常 见 案 例 ：
1 .   某 电 商 登 陆 接 口 无 验 证 导 致 撞 库 2 .   某 招 聘 网 验 证 码 无 限 制 枚 举 3 .   某 快 递 公 司 优 惠 券 枚 举
4 .   某 电 商 会 员 卡 卡 号 枚 举
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理