逻辑漏洞（业务逻辑）dami CMS

逻辑漏洞（业务支付逻辑漏洞）dami CMS

0x01 业务逻辑简介

业务逻辑指的是一个系统或应用程序中的实际业务规则和流程。它描述了如何处理特定的业务需求、数据和操作。业务逻辑通常是根据特定行业或组织的需求而设计的。

在软件开发中，业务逻辑是指应用程序处理数据的方式、进行计算和决策的规则，以及用户执行特定操作时系统的响应方式。这些规则和流程定义了系统的行为，并确保系统能够按照预期的方式工作。

举例来说，对于在线购物系统，业务逻辑包括但不限于以下内容：

  • 用户添加商品到购物车后如何计算总价；
  • 用户下单后的支付和物流处理流程；
  • 管理员如何管理商品库存和价格；
  • 用户的个人信息如何存储和保护。

业务逻辑通常在软件开发过程中被转化为代码，实现特定的功能和需求。在安全方面，了解业务逻辑对于发现潜在的安全漏洞和保护系统安全也非常重要。

0x02 dami靶场

dami cms 靶场是一个使用thinkphp2.1版框架搭设的网站，它是thinkphp的早期版本，目前也很少在使用。

ThinkPHP是一个基于PHP语言的开源Web应用框架，采用MVC（Model-View-Controller）设计模式，有助于更好地组织应用程序代码。它提供了丰富的工具和函数库，简化了开发流程，包括强大的路由功能、模板引擎和ORM支持。

image-20231122143400469

首先通过注册页面，多注册几个账号，用于测试越权。

image-20231122145651559

漏洞 一

​ 验证码验证漏洞，未设置过期时间，导致验证码一直有效，会被暴力破解利用。

  • 经测试，验证码机制为页面刷新才会重新生成新的验证码
  • image-20231122151818492

漏洞 二

支付漏洞，订单数量未严格限制，导致可通过抓包修改负数，导致支付漏洞

image-20231122152244389

支付选项中，分别为 支付宝支付、货到付款、站内支付，选择站内支付，点击购买后，进行抓包。

image-20231122152814511

发现前端使用POST的方式，发送的订单信息给后端进行处理。发送的内容经过了URL编码，通过解码了解到发送为以下内容

  • id[]=69: 一个 ID 列表，包含一个 ID 为 69 的条目。
  • pic[]=\/Public\/Uploads\/thumb\/thumb_1393206337.jpg: 图片列表，指向一个图片路径 /Public/Uploads/thumb/thumb_1393206337.jpg。
  • name[]=大米CMS手机开发专版: 名称列表，包含一个名称为“大米CMS手机开发专版”的条目。
  • gtype[]=灰色: 类型列表，包含一个类型为“灰色”的条目。
  • qty[]=1: 数量列表，包含一个数量为 1 的条目。
  • price[]=5400: 价格列表，包含一个价格为 5400 的条目。
  • realname=123: 真实姓名为 “123”。
  • tel=123: 电话号码为 “123”。
  • province=宁夏、city=银川市、area=市辖区: 地址信息，包括省份为“宁夏”，城市为“银川市”，地区为“市辖区”。
  • address=: 地址为空。
  • trade_type=2: 交易类型为 2。
  • iscart=0: 是否在购物车中为 0。
  • __hash__=7fe310a6298f63572cae4f0f818eafd9: 可能是用于验证或身份验证的哈希值。

在支付漏洞中，黑客最想干的事情就是白嫖，所以在这一串信息中，我们着重关注与金钱相关的的内容，那么我们可以尝试去修改qty[]和price[]两条信息，来尝试修改数量或金额来达到白嫖的目的。

由于我们注册的账号并没有钱，所以我修改qty[]为-1，来尝试购买。

image-20231122154457393

通过回显发现，已经成功下单，通过站内查询，我购买了一个产品，网站又给了我5400元，这是又白嫖，又拿钱。

image-20231122154626339

现在账号有钱了，继续尝试，查看price[]在金额参数中是否还存在漏洞。

image-20231122155417288

将price[]参数值改为1，回显页面显示余额不足，应该是做了相对应的限制，继续尝试。

image-20231122160052583

多次尝试后，任然不行，price[]参数应该是后端已经根据id[]锁定了。所信把qty[]改为-100，price[]改为16000，回显订单提交成功，但是订单数量应该变了，金额应该不会有变化。

image-20231122160541339

与我猜想是一样，价格金额仍然是6000元，数量却变成是-100，而我的余额变成60万5千400元，由此也可以看出业务逻辑漏洞的可怕之处，空手套白狼的一把好手！！！

代码分析

ThinkPHP采用了自己的一套约定俗成的文件架构，这种方式有别于一些其他框架。

在ThinkPHP中，index.php文件是整个应用的入口文件，它通常放置在Web服务器的根目录中。通过这个入口文件，整个应用被启动并初始化。

通常，ThinkPHP的核心代码会放置在/lib/目录下。在这个目录中，包含了各种类文件，这些文件定义了框架的核心功能和组件。这些类文件包括路由处理、模板引擎、数据库操作、安全特性等。

在整个应用的生命周期中，index.php文件会加载这些核心类文件，并根据请求的路由信息调用相应的控制器和方法。这种架构隐藏了很多细节，使得开发者可以更专注于业务逻辑，同时框架会自动处理很多底层工作。

此次漏洞挖掘我们是经过，www.dami.me/index.php?s=/Member/dobuy.html,那么我们就应该从Web文件下去找类文件/Member下去找dobuy()方法。

image-20231122161956258

if($trade_type ==3){
$title='';
$total_fee =0;
$total_num =0;
for($i=0;$i<count($_POST['id']);$i++){
$price = (float)M('article')->where('aid='.intval($_POST['id'][$i]))->getField('price');
if(!is_numeric($_POST['id'][$i]) || !is_numeric($_POST['price'][$i]) || !is_numeric($_POST['qty'][$i])){continue;}
$total_fee += (intval($_POST['qty'][$i]) * $price)*1;	
}
$have_money = M('member')->where('id='.$_SESSION['dami_uid'])->getField('money');
if($have_money < $total_fee){
$this->assign('jumpUrl',U('Member/chongzhi'));
$this->error('您的余额不足，请充值!');exit();
}
for($i=0;$i<count($_POST['id']);$i++){
if(!is_numeric($_POST['id'][$i]) || !is_numeric($_POST['price'][$i]) || !is_numeric($_POST['qty'][$i])){continue;}$data['gid'] = $_POST['id'][$i];$data['uid'] = $_SESSION['dami_uid'];	$data['price'] = (float)M('article')->where('aid='.$data['gid'])->getField('price');//必须$data['province'] = $_POST['province'];$data['city'] = $_POST['city'];$data['area'] = $_POST['area'];$data['sh_name'] = $_POST['realname'];$data['sh_tel'] = $_POST['tel'];$data['address'] = $_POST['address'];$data['group_trade_no'] = $group_trade_no;$data['out_trade_no'] = "DB".time()."-".$_SESSION['dami_uid'];	$data['servial'] = $_POST['gtype'][$i];$data['status'] = 1;//已付款等待发货$data['trade_type'] = 3;$data['addtime'] = time();$data['num'] = (int)$_POST['qty'][$i];$total_num += $data['num'];$trade->add($data);if(strlen($title)<400){$title .= $_POST['name'][$i]."&nbsp;&nbsp;数量:".$data['num'].' 单价:'.$data['price'].'<br>';}
}

在第6行的代码中，可以看到价格并不是由前端页面传入到$data变量中，而是从名为 article 的数据库表中，根据指定条件（aid 等于 $data['gid']），获取对应记录的 price 字段值，并将其转换为浮点数类型，最后存储在 $data['price'] 中。所以我们在BP中修改price没有任何效果。

然而在第8行代码中，qty 只做了转换为整型的操作，验证的不够验证，所以导致了该漏洞的生成.

在初步的代码审计后，感觉该靶场应该还存在很多漏洞，在日后的博客更新中在慢慢挖掘。

0x03 总结

业务支付漏洞的产生通常源于在编写支付逻辑时的不严谨。这些漏洞可能是因为开发者未能充分考虑各种支付场景、未进行全面的输入验证、或者对支付过程中的边界条件和异常情况缺乏考虑。一旦这些漏洞被利用，可能会造成巨大的损失。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.mzph.cn/news/160124.shtml

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

零编程基础Python的全面学习指南

零编程基础Python的全面学习指南

文章目录 前言什么是编程&#xff1f;Python代码对应的机器码准备开始Windows变量类型整型字符串型布尔类型字符串连接和整数相加if 语句捕获用户输入导入MacWindows游戏时间&#xff01;小结关于Python技术储备一、Python所有方向的学习路线二、Python基础学习视频三、精品Pyt…
阅读更多...
磐舟CI使用说明及案例

磐舟CI使用说明及案例

整体介绍 磐舟作为一个devops产品&#xff0c;它具备基础的CI流水线功能。同时磐舟的流水线是完全基于云原生架构设计的&#xff0c;在使用时会有一些注意事项。这里首先我们要了解磐舟整体的流水线打包逻辑。 文档结构说明 一般来说&#xff0c;磐舟推荐单个业务的标准git库…
阅读更多...
反编译-ApkTool

反编译-ApkTool

ApkTool下载地址&#xff1a; Apktool | ApktoolA tool for reverse engineering Android apk fileshttps://apktool.org/ 1、使用 apktool 解包 执行 java -jar apktool_2.4.1.jar d demo.apk -o demo 命令 java -jar apktool_2.4.1.jar d demo.apk -o demo 其中 d 后面是…
阅读更多...
Nevron Vision for .NET 2023.1 Crack

Nevron Vision for .NET 2023.1 Crack

Nevron Vision for .NET 适用于桌面和 Web 应用程序的高级数据可视化 Nevron Vision for .NET提供最全面的组件&#xff0c;用于构建面向 Web 和桌面的企业级数据可视化应用程序。 该套件中的组件具有连贯的 2D 和 3D 数据可视化效果&#xff0c;对观众产生巨大的视觉冲击力。我…
阅读更多...
基于window10的远程桌面报错：要求的函数不受支持 的问题解决方法

基于window10的远程桌面报错：要求的函数不受支持 的问题解决方法

基于window10的远程桌面报错&#xff1a;要求的函数不受支持 的问题解决方法 设置方法&#xff1a; 一、WINR 在框内输入gpedit.msc 二、依次打开 计算机配置----管理模板-----系统—凭据分配—加密数据库修正–改为以启用—易受攻击 第一步&#xff1a; 第二步&#xff1a;…
阅读更多...
并查集总结

并查集总结

并查集简介 并查集是一种可以动态维护若干个不重叠的结合&#xff0c;并支持合并与查询的数据结构 并查集是一种树状的数据结构&#xff0c;可以用于维护传递关系以及联通性。 并查集有两种操作&#xff1a; find&#xff1a;查询一个元素属于哪个集合merge:合并两个集合 模…
阅读更多...
爆款文章有诀窍，内容创作者如何能持续产出优质内容

爆款文章有诀窍，内容创作者如何能持续产出优质内容

内容营销人有没有这么一种共鸣&#xff1a;10 万 那么多&#xff0c;为什么不能多我一个&#xff1f; 通常&#xff0c;我们把浏览量 / 阅读量高、转评赞数量高的内容看作爆款&#xff0c;而数据如果达到 10 万 则是超级爆款。因为&#xff0c;阅读量高意味着内容得到了大量的曝…
阅读更多...
8年老鸟整理，自动化测试-准备测试数据详细...

8年老鸟整理，自动化测试-准备测试数据详细...

目录&#xff1a;导读 前言一、Python编程入门到精通二、接口自动化项目实战三、Web自动化项目实战四、App自动化项目实战五、一线大厂简历六、测试开发DevOps体系七、常用自动化测试工具八、JMeter性能测试九、总结&#xff08;尾部小惊喜&#xff09; 前言 大部分类型的测试…
阅读更多...
基于C#实现Bitmap算法

基于C#实现Bitmap算法

在所有具有性能优化的数据结构中&#xff0c;我想大家使用最多的就是 hash 表&#xff0c;是的&#xff0c;在具有定位查找上具有 O(1)的常量时间&#xff0c;多么的简洁优美&#xff0c;但是在特定的场合下&#xff1a; ①&#xff1a;对 10 亿个不重复的整数进行排序。 ②&am…
阅读更多...
AI原生应用为百度带来新增量

AI原生应用为百度带来新增量

我是卢松松&#xff0c;点点上面的头像&#xff0c;欢迎关注我哦&#xff01; AI将彻底改变每一个行业!得益于AI和基础模型的驱动&#xff0c;百度在AI原生应用领域厚积薄发。 11月21日&#xff0c;百度Q3财报发布&#xff0c;数据显示&#xff1a;三季度营收达344.47亿元&…
阅读更多...
Redis篇---第九篇

Redis篇---第九篇

系列文章目录 文章目录 系列文章目录前言一、如果有大量的 key 需要设置同一时间过期，一般需要注意什么？二、什么情况下可能会导致 Redis 阻塞？三、缓存和数据库谁先更新呢？前言 前些天发现了一个巨牛的人工智能学习网站，通俗易懂，风趣幽默，忍不住分享一下给大家。点击…
阅读更多...
Axios简单使用与配置安装-Vue

Axios简单使用与配置安装-Vue

安装Axios npm i axios main.js 导入 import Axios from axios Vue.prototype.$axios Axios简单发送请求 get getTest() {this.$axios({method: GET,url: https://apis.jxcxin.cn/api/title?urlhttps://apis.jxcxin.cn/}).then(res > {//请求成功回调console.log(res)}…
阅读更多...
②⑩ 【MySQL Log】详解MySQL日志：错误日志、二进制日志、查询日志、慢查询日志

②⑩ 【MySQL Log】详解MySQL日志：错误日志、二进制日志、查询日志、慢查询日志

个人简介&#xff1a;Java领域新星创作者&#xff1b;阿里云技术博主、星级博主、专家博主&#xff1b;正在Java学习的路上摸爬滚打&#xff0c;记录学习的过程~ 个人主页&#xff1a;.29.的博客 学习社区&#xff1a;进去逛一逛~ MySQL日志 ②⑩ MySQL日志&#xff1a;错误日志…
阅读更多...
SpringBoot3.x最简集成SpringDoc-OpenApi

SpringBoot3.x最简集成SpringDoc-OpenApi

为什么使用SpringDoc 在SpringBoot低版本时一般使用Swagger扫描接口生成Json格式的在线文档&#xff0c;然后通过swagger-ui将Json格式的文档以页面形式展示文档。可惜遗憾的是swagger更新到3.0.0版本(springfox)后不更新了。 SpringBoot3.x以后需要的JDK版本最低为Java17&…
阅读更多...
MQ和redis的内部原理一些总结

MQ和redis的内部原理一些总结

首先&#xff0c;先知道内部原理&#xff1b;其次&#xff0c;就是查官方文档实战了。 但是如果不熟悉内部原理&#xff0c;那么仅仅只是安装官方文档&#xff0c;并不能排除跟踪问题和故障、预防风险等策略&#xff1b; 以下总结图解&#xff1a;&#xff08;mysql 8.0新增的…
阅读更多...
YOLO目标检测——卫星遥感舰船检测数据集下载分享【含对应voc、coco和yolo三种格式标签】

YOLO目标检测——卫星遥感舰船检测数据集下载分享【含对应voc、coco和yolo三种格式标签】

实际项目应用&#xff1a;卫星遥感舰船检测数据集说明&#xff1a;卫星遥感舰船检测数据集&#xff0c;真实场景的高质量图片数据&#xff0c;数据场景丰富&#xff0c;含船一个类别标签说明&#xff1a;使用lableimg标注软件标注&#xff0c;标注框质量高&#xff0c;含voc(xm…
阅读更多...
Redis的持久化

Redis的持久化

redis是一个内存数据库,是把数据存储在内存中的,而我们知道内存中的数据是不持久的,一旦服务器重启或者进程重启,内存的数据就丢失了.为了让数据达到持久化的效果,就必须把数据写到硬盘上. redis相对于mysql这样的关系型数据库最明显的优势就是快.所以为了保证速度快,数据还得…
阅读更多...
动态跳过测试用例

动态跳过测试用例

动态跳过测试用例 说明 我们可以通过指定环境变量来动态判断是否执行指定的测试用例设置环境变量有很多种方法&#xff0c;例如命令行方式&#xff0c;格式&#xff1a;--env keyval1,key2val2 &#xff0c;若需要指定多个环境变量则需要逗号来隔开&#xff0c;而不是空格 t…
阅读更多...
Live800：企业提升客户互动体验，有哪些关键因素？

Live800：企业提升客户互动体验，有哪些关键因素？

如今&#xff0c;随着信息时代的不断发展&#xff0c;企业已经不再是单向的商业机构&#xff0c;他们需要与客户进行及时的沟通与反馈&#xff0c;从而更好地提升客户互动体验&#xff0c;达到营销和用户体验的双赢局面。那么&#xff0c;企业如何提升客户互动体验呢&#xff1…
阅读更多...
设计模式——RBAC 模型详解

设计模式——RBAC 模型详解

1.什么是 RBAC 呢&#xff1f; RBAC 即基于角色的权限访问控制&#xff08;Role-Based Access Control&#xff09;。这是一种通过角色关联权限&#xff0c;角色同时又关联用户的授权方式。 简单地说&#xff1a;一个用户可以拥有若干角色&#xff0c;每一个角色又可以被分配…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023