web业务安全逻辑

Posted 2021-09-06 遗憾zzz

一、认识业务逻辑漏洞

业务逻辑漏洞是指由于程序逻辑不严谨或逻辑太复杂，导致一些逻辑分支不能正常处理或处理错误，如攻击者根据在线购物支付漏洞可以任意修改支付金额，薅羊毛等操作。

二、价格&数量&产品

漏洞测试：大米cms
靶场地址：http://59.63.200.79:8003/dami_777/dami_888/index.php

1.价格&数量修改

先随便注册一个用户进行登陆，然后来到购买产品处，点击购买抓包

可以看到这里的参数涉及数量和金额尝试修改

这里发现成功把原来的金额修改

2.产品参数替换
返回到购买可以看到有两种产品，测试产品-价格6000和手机CMS-价格5400

购买这两种产品分别抓包


最后我们尝试用5400去买大米测试产品6000


参数替换

成功以5400的价格购买大米测试产品

三、CTF-CISCN2019(ikun)

这里提示ikun们冲鸭,一定要买到lv6!!!，先注册一个账号

然后我们写一个脚本找如下

import requests
url="http://f58e736b-f8c5-4bce-8a24-0bd040fe3c28.node4.buuoj.cn:81/shop?page="

for i in range(0,2000):

	r=requests.get(url+str(i))
	if 'lv6.png' in r.text:
		print (i)
		break

找到v6

价格高低有点贵，我们通过抓包修改折扣购买

这里的discoun就是折扣修改成0.0000001

成功ru yang mao，后续就不做了和业务安全没有太大关系，涉及jwt伪造和php反序列化