常用语法

0x00 索引说明 在OWASP的分享，关于业务安全的漏洞检测模型。 0x01 身份认证安全 1 暴力破解 在没有验证码限制或者一次验证码可以多次使用的地方，使用已知用户对密码进行暴力破解或者用一个通用密码对用户进行暴力破解。 简单的验证码爆破。URL: http://zone.wooyun.org/content/20839 一些工具及脚本 Burpsuite htpwdScan 撞库爆破必备 URL: https://github.com/lijiejie/htpwdScan hydra 源码安装xhydra支…

业务逻辑问题是一种设计缺陷。逻辑缺陷表现为设计者或开发者在思考过程中做出的特殊假设存在明显或隐含的错误。精明的攻击者会特别注意目标应用程序采用的逻辑方式，设法了解设计者与开发者做出的可能假设，然后考虑如何攻破这些假设。黑客挖掘逻辑漏洞有两个重点，就是业务流程和HTTP/HTTPS请求篡改。 逻辑错误分类： 1.欺骗密码找回功能 程序根据一个验证码来确定是用户本人，但是攻击者可以暴力破解验证码。 2.规避交易限制 攻击者篡改数据报，使得购买的商品为负数，或者商品价格为负数。 3.越权缺陷 攻击者更改数据包中指示用户的…