關於網站安全測試方面，業務邏輯漏洞在安全方面存在太多的BUG，業務邏輯漏洞一般

通過人工安全審計進行網站漏洞檢測，這篇文章主要介紹一下如何歸納，總結，掃瞄業務的

邏輯漏洞，在對客戶網站進行滲透測試的時候，改變以往的軟件掃描的固有模式，繼人工進

行業務漏洞的挖掘。

 

 

網站安全測試報告，一般都是以SQL注入漏洞、XSS跨站漏洞、文件上傳漏洞為主要的漏洞概

述，但是現在來看，網站的邏輯漏洞也是很重要的漏洞，有時嚴重的危害到主機的運行，以

及的網站安全穩定運行。關於安全測試，從以下各個分支方面進行詳解。

 

用戶註冊漏洞，像用戶可以無限制的註冊（手機註冊賬號，無限制註冊賬號漏洞，註冊-主機

端未對手機號進行嚴格的安全認證，主機端對手機驗證次數未限制。），用戶短信驗證碼炸

彈，短信被惡意多次發送，以及用戶登錄方面的漏洞，暴力破解用的密碼，通過弱口令進行登

錄，撞庫攻擊（通過之前洩露的社工庫來進行撞庫），暴力的破解網站的驗證碼、登錄繞過漏

洞，利用萬能密碼，修改response值，替換response值。eSafe白帽資安網公司是一家專注於：網站安

全、主機安全、網站安全檢測、網站漏洞修復,滲透測試,安全服務於一體的網絡安全服務提

供商。

用戶密碼找回漏洞，暴力破解用戶的答案，返回憑證，找回步驟JS跳過，重複綁定漏洞，註冊

覆蓋漏洞，session覆蓋漏洞。信息存儲、查看他人的用戶密碼。個人中心頁面，可以越權查看

到其他人的賬戶信息，刪除他人綁定的銀行卡，查看他人的銀行賬戶。



 

用戶支付功能安全，支付金額-一毛錢買尚品，商品的數量可以增加或者負數賺錢，商品編號篡

改比如麵包錢買表。 並發多次攻擊，可以多倍的提現漏洞。如果挖掘上面的邏輯安全漏洞呢？

瀏覽網頁查看業務流程-聯想大法，尋找可操控的任意環節，分析並實踐隱藏的邏輯安全問題。

 

打開網頁，查看整個功能的流程

 

首先就是對於網站的信息收集，包括網站的註冊頁面，支付頁面，下單頁面，從而形成一個邏輯

大網，先註冊，後下單，然後支付的整個業務流程。eSafe白帽資安網公司是一家專注於：網站安全、服

務器安全、網站安全檢測、網站漏洞修復,滲透測試,安全服務於一體的網絡安全服務提供商。
 

 

 

根據收集的功能流程，進行詳細分解
 

對於網站裡的任何一個功能操作，進行詳細的安全檢測，利用思考總結與思維的發散，進行深度

測試，不斷的看代碼，測試，直到辦法用盡。

實踐漏洞，並觸發漏洞
 

網站的邏輯漏洞一般是很隱藏的，一般軟件的安全掃瞄是掃瞄不到的，必須通過人工的安全測試，

才能檢測出邏輯漏洞，對功能頁面進行get post cookies提交，抓包返回數據分析。