pentest-business-logic-abuse

业务逻辑滥用

适用场景

• 主要问题涉及绕过工作流、竞态条件、重放、配额滥用、困惑代理行为或未授权状态转换。
• 如果步骤被重新排序、跳过、重复或委托，已梳理的工作流会造成显著业务影响。

移交标准

• 当工作流尚未充分梳理，无法进行测试时，移交给 pentest-web-application-logic-mapper。
• 当解析器或载荷行为成为主要障碍时，移交给 pentest-input-protocol-manipulation。
• 仅在存在确定性的业务逻辑原语后，才移交给 pentest-exploit-execution-payload-control。

输出格式

• 工作流模型：step、required controls、bypass hypothesis
• 滥用序列：按顺序列出请求/事件，并附上时间说明
• 影响证明：未授权状态变更及由此获得的能力

说明

1. 在进行对抗性测试前，先梳理预期的状态转换。
2. 找出有关顺序、并发和跨系统协调的假设。
3. 执行最小化的滥用序列，挑战这些假设。
4. 通过可观察到的未授权状态或操作结果确认影响。
5. 验证修复是否需要调整控制措施的位置，而不仅仅是过滤输入。
6. 仅移交已确认的原语以供漏洞利用执行。

验证关卡

• 将逻辑滥用视为系统行为测试，而非仅测试载荷。
• 对竞态和重放案例，使用考虑时间因素的证据。
• 对有状态系统，采用可逆的测试设计。
• 只有在证明存在未授权影响时，才报告逻辑漏洞。
• 使用预期状态、未授权状态以及重放/竞态时序方面的控制措施。
• 限制并发度，一旦证明获得相关能力便停止测试。