关于网站安全测试方面，业务逻辑漏洞在安全方面存在太多的BUG，业务逻辑漏洞一般

通过人工安全审计进行网站漏洞检测，这篇文章主要介绍一下如何归纳，总结，扫描业务的

逻辑漏洞，在对客户网站进行渗透测试的时候，改变以往的软件扫描的固有模式，继人工进

行业务漏洞的挖掘。

 

 

网站安全测试报告，一般都是以SQL注入漏洞、XSS跨站漏洞、文件上传漏洞为主要的漏洞概

述，但是现在来看，网站的逻辑漏洞也是很重要的漏洞，有时严重的危害到服务器的运行，以

及的网站安全稳定运行。关于安全测试，从以下各个分支方面进行详解。

 

用户注册漏洞，像用户可以无限制的注册（手机注册账号，无限制注册账号漏洞，注册-服务器

端未对手机号进行严格的安全认证，服务器端对手机验证次数未限制。），用户短信验证码炸

弹，短信被恶意多次发送，以及用户登录方面的漏洞，暴力破解用的密码，通过弱口令进行登

录，撞库攻击（通过之前泄露的社工库来进行撞库），暴力的破解网站的验证码、登录绕过漏

洞，利用万能密码，修改response值，替换response值。Sine安全公司是一家专注于：网站安

全、服务器安全、网站安全检测、网站漏洞修复,渗透测试,安全服务于一体的网络安全服务提

供商。

用户密码找回漏洞，暴力破解用户的答案，返回凭证，找回步骤JS跳过，重复绑定漏洞，注册

覆盖漏洞，session覆盖漏洞。信息存储、查看他人的用户密码。个人中心页面，可以越权查看

到其他人的账户信息，删除他人绑定的银行卡，查看他人的银行账户。



 

用户支付功能安全，支付金额-一毛钱买尚品，商品的数量可以增加或者负数赚钱，商品编号篡

改比如面包钱买表。 并发多次攻击，可以多倍的提现漏洞。如果挖掘上面的逻辑安全漏洞呢？

浏览网页查看业务流程-联想大法，寻找可操控的任意环节，分析并实践隐藏的逻辑安全问题。

 

打开网页，查看整个功能的流程

 

首先就是对于网站的信息收集，包括网站的注册页面，支付页面，下单页面，从而形成一个逻辑

大网，先注册，后下单，然后支付的整个业务流程。Sine安全公司是一家专注于：网站安全、服

务器安全、网站安全检测、网站漏洞修复,渗透测试,安全服务于一体的网络安全服务提供商。
 

 

 

根据收集的功能流程，进行详细分解
 

对于网站里的任何一个功能操作，进行详细的安全检测，利用思考总结与思维的发散，进行深度

测试，不断的看代码，测试，直到办法用尽。

实践漏洞，并触发漏洞
 

网站的逻辑漏洞一般是很隐藏的，一般软件的安全扫描是扫描不到的，必须通过人工的安全测试，

才能检测出逻辑漏洞，对功能页面进行get post cookies提交，抓包返回数据分析。