运维派
·
攻防演练中的业务逻辑漏洞及检测思路
💡
原文中文，约4800字，阅读约需12分钟。
📝
内容提要
随着前后端框架的成熟，传统的SQL注入和XSS等漏洞减少，攻击者更倾向于利用业务逻辑漏洞。本文介绍了业务逻辑漏洞的特征和常见类型，并介绍了使用行为分析模型和应用程序威胁建模过程来检测和避免业务逻辑漏洞。常见的业务逻辑漏洞包括越权访问、Cookie提权和验证码更新逻辑绕过。为了避免业务逻辑漏洞，可以使用应用程序威胁建模过程来进行安全设计和测试。
🎯
关键要点
- 随着前后端框架的成熟，传统的SQL注入和XSS等漏洞减少，攻击者更倾向于利用业务逻辑漏洞。
- 业务逻辑漏洞具有攻击特征少、自动化工具无法检测等特点，给安全检测带来难度。
- 业务逻辑漏洞的核心原因是开发者未考虑异常操作导致的安全漏洞。
- 常见的业务逻辑漏洞包括越权访问、Cookie提权和验证码更新逻辑绕过。
- 越权访问分为水平越权和垂直越权，主要由于前端简单隐藏菜单而未进行后端权限判断。
- Cookie提权攻击通过修改Cookie中的权限值实现，检测可基于Cookie参数对返回内容的影响。
- 验证码更新逻辑绕过攻击通过直接调用接口绕过验证码，检测可基于访问日志和异常行为。
- 避免业务逻辑漏洞可通过应用程序威胁建模过程进行安全设计和测试。
- 引入威胁建模可帮助进行安全设计、调研资源、评估风险和定义安全测试用例。
- 微软提供的威胁建模工具可用于帮助识别和缓解业务逻辑漏洞。
➡️
