程序员征服安全：分享与学习系列 - 业务逻辑问题

与本系列课程中介绍的其他大多数漏洞不同，业务逻辑问题并非直接由编码错误引起。虽然编码问题可能是原因之一，但业务逻辑错误通常源于应用程序在初始设计阶段存在的缺陷或不正确的逻辑假设。

当用户在使用应用程序时采取了非预期的操作，就可能引发业务逻辑问题。这种情况多种多样，例如意外取消订单、多次使用同一优惠券代码，或者仅仅是跳过某个预期步骤，执行了应用程序无法处理的操作。利用业务逻辑缺陷甚至不需要任何专业培训，只需一个心怀恶意且善于打破常规思考的用户即可。

在本期节目中，我们将学习：

• 攻击者如何利用业务逻辑缺陷
• 为什么存在业务逻辑缺陷的应用程序具有危险性
• 预防业务逻辑错误的技巧。

攻击者如何利用业务逻辑问题？

与大多数漏洞不同，我们无法指出导致此类问题的具体代码字符串。相反，它归结为用户采取了未被预期的操作，而程序又不知道如何处理这些操作。举个例子，假设一个银行应用程序允许用户向其他账户转账。但恶意用户没有发送正数金额，而是尝试发送负数金额。银行应用程序会如何反应？它会崩溃吗？它会拒绝转账吗？还是为了平衡这个负数，反而向发起转账的用户发送资金？

电子商务网站尤其容易受到业务逻辑缺陷的影响（尽管并非唯一受害者），因为它们的设计初衷是供大量用户交互，且包含许多组件。用户意外取消订单、尝试多次使用单次优惠券，甚至超载购物车，都可能使应用程序面临未曾预料的情况。当程序面对未知状况时，确实无法预知其反应。最好的情况可能是生成一条错误消息，但无法保证应用程序不会采取更糟糕的行动，例如免费提供商品。

为什么业务逻辑问题很危险？

业务逻辑问题极其危险，因为任何人都可以利用它们，即使是没有任何编程或黑客背景的人。这实际上只需要实验和时间，通过不断点击并尝试发现应用程序设计响应方式中的漏洞。一旦恶意用户发现了网站业务逻辑中的缺陷，可以肯定他们会尽可能地利用它。

最大的危险通常是经济损失，例如用户在不付款的情况下购买了 20 台大屏幕电视，诸如此类。但业务逻辑缺陷也可能导致其他问题。例如，如果保护网站的密码功能不知道在用户不断点击“取消”时该如何处理，它可能会让用户完全绕过登录过程。

确实无法预料业务逻辑问题会造成多大的损害。通常，在用户利用这些问题很久之后，我们才会发现问题的迹象。

修复业务逻辑问题

遗憾的是，使用漏洞扫描器等常用工具无法识别或修复业务逻辑问题，因为针对业务逻辑问题的测试很难实现自动化。避免此类问题的最佳方法是在应用程序开发过程中实施良好的规划、错误处理和负面测试用例。这首先需要一套定义明确的业务规则，涵盖应用程序设计中所有可能和预期的操作。

有了业务规则计划，防止业务逻辑缺陷潜入的最佳方法之一是创建流程图，展示数据和交易在应用程序中应有的所有流转方式。这包括为用户能够做出选择或输入数据的每一个环节建立行为模型。不断检查以确保流程图中的可能操作与业务规则计划中的功能相匹配。

最后，利用威胁建模来帮助在设计、实施和测试阶段识别业务逻辑中的缺陷。作为故障保护措施，应为程序在遇到任何未明确预期的状况时设定应采取的操作。这可以很简单，例如拒绝该操作并向管理员发出有关所遇问题的警报。

关于业务逻辑问题的更多信息

如需深入了解，请参阅 OWASP 关于 业务逻辑问题 的页面。您还可以通过 免费演示 来测试您新掌握的防御知识，该平台旨在将网络安全团队培养成顶尖的网络战士。如需了解更多关于攻克此漏洞及其他各类威胁的信息，请访问 Secure Code Warrior 博客。

准备好立即寻找并消除业务逻辑漏洞了吗？前往平台测试您的技能： [立即开始]