声明：只是用于学习交流，笔记记录，不可用作违规用途。一、业务逻辑漏洞简介简单理解：就是编程人员的思维逻辑不够严谨导致攻击者有机可乘的漏洞。逻辑漏洞还是一种虽然没有在owasp top10中提及到，但是往往会存在的漏洞，并且在hvv，渗透测试中广泛存在，造成的破坏可能一点不比sql注入，xss等漏洞小，如下是逻辑漏洞的top10挖掘方向。二、常见的逻辑漏洞交易支付、密码修改、密码找回、越权修改、越权查询、突破限制等各类逻辑漏洞，逻辑漏洞很多时候都需要脑洞大开。三、场景1、饮料贩卖机替换订单ID，创建订单时在支付界面，在此创建订单替换订单ID（高价替换低价）无限新用户优惠订单，重复创建优惠订单替换优惠券ID（未达到条件使用）个别情况订单数量为1.99时，客户端只支付1元，实际上服务器认为支付了2元。取货时并发2、直播快速进出房间炸房无限发送点赞协议修改礼物数量，0，小数，负数，特定值（一般情况下为1073741824）修改礼物ID，遍历尝试是否有隐藏ID。并发送礼物，抽奖无限创建首次优惠订单，有些首次优惠订单是一个特殊的pid，这种直接替换pid进行支付，有些是相同的ID，这种的提前创建订
易水哲
一个什么都会一点的白帽子
京公网安备11010802044340号