业务逻辑漏洞 基础知识补充： User Agent User Agent中文名为用户代理，简称 UA，它是一个特殊字符串头，使得服务器能够识别客户使用的 "操作系统" 及版本、CPU 类型、 "浏览器" 及版本、浏览器渲染引擎、浏览器语言、 "浏览器插件" 等。 例：微信的： 常见的user age ...
分类：
其他好文 时间：
2020-05-09 01:11:41
阅读次数：
498
文末有网盘链接！ 互联网行业： P2P金融行业： 电商行业： 政务行业： 常规漏洞： EXCEL网盘链接：https://ww.lanzous.com/ic8ddvc 更多分享：https://www.cnblogs.com/Yang34/p/12375242.html ...
分类：
其他好文 时间：
2020-05-04 00:16:52
阅读次数：
78
本文仅为了学习交流，严禁非法使用！！！ (随笔仅为平时的学习记录，若有错误请大佬指出) 一:越权漏洞 注册某网站后，修改个人地址处(地址处均是随意填写的)，开始抓包 直接修改addressid的值，放包，并观察页面变化(由于涉及个人隐私，故全部打码) 再更改一个addressid的值，再次观察页面变 ...
分类：
其他好文 时间：
2020-04-06 13:40:45
阅读次数：
107
逻辑漏洞 逻辑漏洞是指由于开发者不够严谨，导致程序在处理用户参数的过程中在逻辑上出现漏洞 常见逻辑漏洞 任意用户注册 短信轰炸、邮箱轰炸 密码重置绕过验证 订单价格修改 接口枚举 登录凭证绕过 实战 打开页面发现有用户注册和登录功能 我们先注册一个账号，在邮箱验证处用burp抓包重放看看可否绕过验证 ...
分类：
其他好文 时间：
2020-03-31 21:00:24
阅读次数：
224
快捷支付原理：商户网站接入支付结果有两种方式1.浏览器跳转（不可靠）2. 服务器端异步通知（常见） 支付漏洞：属于逻辑漏洞，挖这类漏洞有发散思维，往往有事半功倍的后果。 常见漏洞：1、修改支付的价格 2、修改支付状态（创建订单时和支付订单时的数据包改了一下，做了一个商品的替换，而服务器没有校验支付订 ...
分类：
其他好文 时间：
2020-02-24 13:26:53
阅读次数：
93
Insecure CAPTCHA，意思是不安全的验证码，CAPTCHA是Completely Automated Public Turing Test to Tell Computers and Humans Apart (全自动区分计算机和人类的图灵测试)的简称。这块主要是验证流程出现了逻辑漏洞 ...
分类：
其他好文 时间：
2020-02-13 14:49:49
阅读次数：
89
Bug的产生，通常分为三种类型：逻辑漏洞、越界访问、条件考虑不全面。 为了便于你理解，我以女朋友来大姨妈举例。 某日，你收到了女朋友的一条微信，跟你说自己来大姨妈，肚子疼。这时，你要写一段文字回复，这段回复你就可以认为是你写的一段代码。 这段代码需要达到的目的是让你的女朋友感受到你对她的爱，增进（至 ...
分类：
其他好文 时间：
2020-01-10 22:02:00
阅读次数：
61
正确的面对一个需求 多问几个为什么：这比如你这个需求背后的目的和价值是什么？做了之后有什么预期的收益，为什么这么做就可以达到这个收益，你可以不直接问业务方，但是你也需要问自己，业务方的这个目标和做这个需求的路径是否可以匹配得上，如果实现路径存在逻辑漏洞或者不是最佳的则这个需求也就没有做的必要性； 给 ...
分类：
其他好文 时间：
2019-11-30 11:51:24
阅读次数：
99
文章来源i春秋 白帽子挖洞的道路还漫长的很,老司机岂非一日一年能炼成的。 本文多处引用了 YSRC 的 公(qi)开(yin)漏(ji)洞(qiao)。挖SRC思路一定要广！！！！漏洞不会仅限于SQL注入、命令执行、文件上传、XSS，更多的可能是逻辑漏洞、信息泄露、弱口令、CSRF。本文着重分析逻辑 ...
分类：
其他好文 时间：
2019-11-06 22:37:50
阅读次数：
329
bug 考查： 逻辑漏洞、文件内容检测绕过 ，文件头是位于文件开头的一段承担一定任务的数据，一般开头标记文件类型，如gif的gif89a，或gif87a， png的x89PNG\x0d\x0a,等等 register注册一个账号，然后登陆看看 点击manage会说你不是admin 也不是个sql注入 ...
分类：
其他好文 时间：
2019-10-30 11:56:00
阅读次数：
198
