业务逻辑漏洞

翻译

原文：https://portswigger.net/web-security/logic-flaws

- name: 翻译
  desc: 原文：https://portswigger.net/web-security/logic-flaws
  bgColor: '#F0DFB1'
  textColor: 'green'

1
2
3
4

# 1业务逻辑漏洞

在本节中，我们将介绍业务逻辑漏洞的概念，并解释 “由于对用户行为的错误假设” 而导致产生这些漏洞的原因。

我们将讨论逻辑缺陷的潜在影响，并教你如何利用它们。你还可以使用我们的交互式实验室来练习所学的知识，这些实验室基于我们在野遇到的真实错误。

最后，我们将提供一些常规的最佳实践，以帮助和防止你自己的应用程序中出现此类逻辑缺陷。

实验室

如果您已经熟悉业务逻辑漏洞背后的基本概念，并且只想在一些实际的、易受攻击的目标上练习和利用它们，那么您可以从下面的链接访问本主题中的所有实验室。

业务逻辑漏洞是应用程序设计和实现中的缺陷，允许攻击者引发非预期的行为。这可能使攻击者能够操控合法功能来实现恶意目的。这些缺陷通常是由于 “未能预测可能发生的应用程序异常状态”，因此未能安全地处理它们。

笔记

在此上下文中，术语 “业务逻辑” 只是指定义应用程序运行方式的规则集。由于这些规则并不总是与业务直接相关，因此一些漏洞也被称为 “应用程序逻辑漏洞” 或简称为 “逻辑缺陷” 。

逻辑缺陷对于没有明确寻找漏洞的人来说，一般是不可见的，因为它们通常不会在应用程序的正常使用中暴露出来。但是，攻击者能够通过 “以开发人员从未想过的方式” 与应用程序交互来利用怪异行为。

业务逻辑的主要目的之一是 “强制实施在设计应用程序或功能时定义的规则和约束” 。一般来说，业务规则规定了应用程序在给定场景发生时应如何进行操作。这包括防止用户执行会对业务产生负面影响或根本没有意义的操作。

逻辑缺陷可能允许攻击者绕过这些规则。例如，他们无需通过预期的购买工作流程，就能够完成交易。在其他情况下，对用户提供的数据进行无效或不存在的验证，可能允许用户对事务关键值进行任意更改或提交无意义的输入。通过将意外值传递到服务器端逻辑中，攻击者可能会诱使应用程序执行不应该执行的操作。

基于逻辑的漏洞可能非常多样化，并且通常是应用程序及其特定功能所独有的。识别它们通常需要一定的人类知识，例如对业务领域的理解，或攻击者在给定上下文中可能具有的目标。这使得它们很难被自动化漏洞扫描程序检测到。因此，逻辑缺陷通常是漏洞赏金猎人和手动测试人员的主要目标。

业务逻辑漏洞经常出现，因为设计和开发团队对用户如何与应用程序交互做出了有缺陷的假设。这些错误的假设可能导致对用户输入的不充分验证。例如，如果开发人员假设用户仅通过 Web 浏览器传递数据，则应用程序可能完全依赖于弱客户端控件来验证输入。攻击者使用代理拦截将很容易绕过这些控件

最终，这意味着当攻击者偏离预期的用户行为时，应用程序无法采取适当的措施来防止这种情况，并且无法安全地处理这种问题。

逻辑缺陷在过于复杂的系统中尤其常见，甚至开发团队自己也不完全理解。为了避免逻辑缺陷，开发人员需要从整体上了解应用程序。这包括如何以意想不到的方式组合不同的功能。

如果开发人员没有明确记录所做的任何假设，那么这类漏洞很容易潜入应用程序当中。

业务逻辑漏洞的影响有时可能相当微小。这是一个广泛的类别，其影响差异很大。但是，如果攻击者能够以正确的方式操纵应用程序，则任何非预期的行为都可能导致高严重性的攻击。一般情况下，古怪的程序逻辑应该得到修复，即使你自己无法弄清楚如何利用它，因为总有别人能够利用该风险。

从根本上说，任何逻辑缺陷的影响都取决于 “它与什么功能相关” 。

例如，如果缺陷存在于身份验证机制中，这可能会对整体安全性产生严重影响。攻击者可能利用此漏洞进行权限提升，或完全绕过身份验证，从而访问敏感数据和功能。这也暴露了其他漏洞的攻击面。
金融交易中的逻辑缺陷，显然会导致资金被盗、欺诈等业务的巨大损失。

你还应该注意，即使逻辑缺陷可能不允许攻击者直接受益，但仍然可能允许恶意者以某种方式破坏业务。

了解业务逻辑漏洞的最佳方法，查看真实案例并从所犯的错误中吸取教训。我们提供了各种常见逻辑缺陷的具体示例，以及一些故意易受攻击的网站，以便你可以自己练习利用这些漏洞。

学习更多

简而言之，防范业务逻辑漏洞的关键在于：

你应该确定你对服务器端状态做出了哪些假设，并实现必要的逻辑来验证这些假设是否得到满足。这包括在程序执行之前，确保任何输入的值都是可预测的。

确保开发人员和测试人员都能够完全理解这些假设，以及理解应用程序在不同场景中应该如何反应。这可以帮助团队尽早的发现逻辑缺陷。为了促进这一点，开发团队应尽可能遵循以下最佳实践：

为所有事务和工作流程维护清晰的设计文档和数据流，并留意在每个阶段所做的任何假设。
编写尽可能清晰的代码。如果对应用程序的行为理解不透彻，就很难发现逻辑缺陷。理想情况下，良好的代码不需要文档来理解它。在不可避免的复杂代码情况下，需要生成清晰的文档，确保其他开发人员和测试人员知道应用程序的行为，理解正在进行的假设以及预期行为的确切内容，这点至关重要。
请注意，应用程序对组件或其他代码的任何引用关系（引入第三方代码）。如果恶意方以一种不寻常的方式操纵这些依赖关系，会产生什么副作用。

由于许多逻辑缺陷具有相对独特性，所以很容易将其视为 “人为导致的一次性错误” ，并在之后继续犯错。但是，正如我们所展示的，这些缺陷通常是在构建应用程序的初始阶段就产生的，是不良实践的结果。

首先分析逻辑缺陷存在的原因，以及团队是如何忽略它的，可以帮助你发现流程中的缺点。通过微小的调整，你可以增加以下可能性：在源代码处切断类似缺陷或在早期开发过程中捕获缺陷。