扫码领资料

获网安教程

本文由掌控安全学院 -  洛川 投稿

来Track安全社区投稿~  

千元稿费！还有保底奖励~（https://bbs.zkaq.cn）

逻辑漏洞

漏洞即是逻辑缺陷，所有漏洞几乎都是人导致的。一旦某种规则形成了约束效力，漏洞也就随之形成了。漏洞存在的一个很重要的条件是规则的形成，有了规则的约束，才有绕过的可能性。

有限制就有突破，限制和突破是相对的。

基于凭证类的，最直接的方法就是伪造凭证；基于物理限制的，突破方法必不可少物理破坏，比如直接砸开门锁。值得注意的是：通过前端的限制都是可以突破的。

1.1.1 前端校验

如的属性可以设置为readonly；的属性可以设置为disabled；这类在前端的限制可以轻松绕过。可以通过burpsuite的 Intercept Server Response功能来批量替换服务器返回给客户端的数据。

1.1.2 突破功能限制场景分析

利用一些语言的特性，将提交的参数类型更改为数组类型，如：

couponeid=KeyA变成couponeid[0]=KeyA&couponeid[1]=KeyB

JSON格式为：{"couponeid": ["KeyA","KeyB"]}

当然，有时绕过限制并不一定非要绕过规定的限制，需要充分了解业务场景，在特定场景下通过一定的手段将网站原本设定为不允许的操作变为允许。理论上，只要能够实现违背网站设计者初衷的操作都可以被认定为突破功能限制。

1.2.1 用户信息泄露

用户信息泄露漏洞一般属于逻辑漏洞范畴，泄露的信息通常为手机号、姓名、邮箱、身份证号、收货地址、订单、用户名、密码、银行卡号等。

1.2.2 用户信息泄露场景分析

例1：注册、登录、找回密码时，服务器回显差异造成泄露。page.350

有些网站在登录时，可能会提示“==用户名不存在==”，而有时会提示“==用户名或密码错误==”。也就是说，当提交用户名在系统中存在时，如果密码错误，此时网站返回“用户名或密码错误”。当用户名明不存在时，网站提示“用户名不存在”。通过这一差异，攻击者就可以通过字典遍历，获取系统中可能存在的用户名列表。

对思维进行发散，同样在注册用户时，输入的账号（手机号、邮箱）如果已存在，系统也会报告出“该用户名已注册“的提示，攻击者可以在这个接口批量获取系统中已注册的用户名、手机号、邮箱列表的信息。

权限即为限制，跨越权限本身也是突破限制。

1.3.1 越权漏洞概述

越权漏洞是指攻击者跨越网站应用原本的权限管理设计，获取甚至控制其他用户或管理员数据的一类漏洞，分为水平和垂直。

水平：跨越到平行的用户的权限；

垂直：跨越自身所属用户组，获取更高级别的用户甚至是管理员的权限。

不敏感的信息如果形成规模，也就变得敏感了。遍历漏洞就是一种由量变到质变的特殊漏洞类型。

对抗最大错误次数阈值，可以使用固定密码攻击。使用一个固定的密码（123456）去遍历所有的用户名，这样一个个尝试，便能找出密码为123456的用户名。

撞库攻击是攻击者通过某些渠道获取的泄露的用户密码在目标网站上进行尝试，由于有相当一部分用户在多个网站使用同一个密码，所以撞库攻击的效率很高。

与支付相关的漏洞统称为支付漏洞，支付安全方面的漏洞很多，包括溢出、精度问题、负数问题、修改支付相关参数、支付接口问题、条件竞争、重放攻击等，其中条件竞争、重放攻击问题还经常出现在许多安全场景中。

寻找资产

访问学校官网点击教务在线

下滑至实践教学管理平台

点击毕业设计管理系统

漏洞挖掘

来到学校的毕业设计系统登录界面

遇到登录框首先直接密码喷洒一波，更何况这里还没有验证码，岂不是更好了

密码喷洒就不多说了，这里也是运气好直接测试出弱口令ceshistu/ceshiXXXXXX

直接登录系统

从cookie中可以看到有OA_User、unmber、powerid三个字段

• OA_User为系统的id号

• unmber相当于用户名

• powerid相对于组

通过学生这个用户组，我们尝试爆破id号和unmberid和powerid，但通过信息收集可以使我们减少了大量的无效数据，

水平越权

在优秀论文展示中，我们得知学号为十位数。
我们在登录的时候进行抓包，放掉登录的POST包，拦截之后的包并将id-1进行尝试

当前id为5xxx8 将后面的包都改为5xxx7，登录成功后我们点击个人信息

发现查看到了他人信息，越权成功，通过爆破可以返回大量其他用户信息

垂直越权

我们id+1继续测试，发现返回了教师信息

通过回显信息猜测学生和教师公用一张表

我们尝试将power-1进行构造cookie然后进行刷新界面

发现成功登录教师账号

此外，通过bp爆破成功爆出了管理员id为1 ，powerid为4 ，至此powerid 6为学生，5为教师，4为管理用户。

通过构造cookie能直接登录管理员账号

申明：本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，
所有渗透都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法.

原文始发于微信公众号（掌控安全EDU）：某大学毕业设计系统逻辑漏洞