mcpField
W
web-app-logic

web-app-logic

github.com/transilienceai安全598206 次安装13 周前更新
代码仓库

关于 web-app-logic

用于测试自动扫描器可能漏掉的 Web 应用逻辑缺陷的安全技能，面向安全测试人员。它覆盖工作流、竞态条件、访问控制、缓存及信息泄露检查，并指导记录影响和 PoC。

主要功能

  1. 01业务逻辑缺陷测试
  2. 02竞态条件测试
  3. 03访问控制检查
  4. 04缓存攻击测试
  5. 05信息泄露测试
  6. 06记录 PoC 与影响

适用场景

  1. 01测试工作流与价格规则
  2. 02检查并发请求是否绕过限制
  3. 03验证不同用户角色的权限
  4. 04记录应用特定漏洞

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/transilienceai/communitytools --skill web-app-logic

安装后在 Claude Code 中输入/web-app-logic确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

reference/
access-control-resources.md
business-logic-resources.md
INDEX.md
information-disclosure-resources.md
race-conditions-resources.md
reference/scenarios/access-control/
data-leakage-redirect.md
header-bypass.md
idor-action.md
idor-read.md
mass-assignment.md
method-bypass.md
multi-step-bypass.md
parameter-based-controls.md
referer-bypass.md
unprotected-functionality.md
reference/scenarios/business-logic/
burp-extension-scanner.md
coupon-stacking.md
csrf-and-session-bypass.md
email-domain-bypass.md
gift-card-loop.md
parameter-pollution.md
price-manipulation.md
quantity-manipulation.md
regex-input-validation-bypass.md
workflow-bypass.md
reference/scenarios/cache/
deception-delimiter.md
deception-normalization.md
deception-path-mapping.md
deception-via-smuggling.md
poisoning-body-args.md

详细介绍

Web 应用程序逻辑

测试自动化扫描器容易遗漏的逻辑缺陷和应用程序特定漏洞。

技巧

类型关键攻击向量
业务逻辑绕过工作流、价格操纵、滥用功能
竞态条件TOCTOU、绕过限制、双重消费、并行请求
访问控制IDOR、水平／垂直权限提升、强制浏览
缓存投毒未纳入缓存键的标头／参数、fat GET、响应拆分
缓存欺骗路径混淆、静态扩展名技巧、规范化
信息泄露错误消息、调试端点、源代码、元数据

工作流

  1. 梳理应用程序工作流和业务规则
  2. 找出依赖状态的操作和信任边界
  3. 使用边缘情况和竞态条件测试逻辑假设
  4. 验证不同用户角色的访问控制
  5. 通过 PoC 演示记录影响

参考

  • reference/business-logic*.md - 业务逻辑测试技巧
  • reference/race-conditions*.md - 竞态条件利用
  • reference/access-control*.md - 访问控制绕过方法
  • reference/web-cache-poisoning*.md - 缓存投毒技巧
  • reference/web-cache-deception*.md - 缓存欺骗攻击
  • reference/information-disclosure*.md - 信息泄露测试

评论

支持 Markdown