发帖
 找回密码
 立即注册
搜索
0 0

WEB bp官方靶场Business logic vulnerabilities 业务逻辑漏洞1

CTF练习 827 0 2025-8-8 12:29:23

第一关 对客户端控制的过度信任

这一关就是服务器太相信客户端传来的价格数据,没有在后端再次检查,导致商品价格被改,买到了原本价格很高的商品

提示:1、靶场未充分验证用户输入

2、可以利用其购买工作流程中的逻辑缺陷以意外价格购买商品

具体操作:

1、登录给的账号:

wiener:peter

回到首页,点击商品详情页的按钮,就来到把商品添加到购物车的页面

2、来到购物车准备结算,正常情况,余额不足,购买不了

以上就是一个正常的购买商品流程的业务逻辑

3、研究了下订单流程,发现将商品添加到购物车时,相应的请求包含价格参数,那我们找到这个添加到购物车的POST /cart请求包,发往repeater

把价格改成我们买的起,比如99

price=99

4、回到页面刷新,改价成功

5、提交订单,成功购买到商品,靶场过关

──── 0人觉得很赞 ────
免责声明:
1、本论坛中所有用户发布的内容仅代表作者个人观点,与本网站立场无关,本站不对其真实性、完整性或观点承担任何责任。
2、本论坛所提供的全部信息与内容,不保证其准确性、完整性或时效性。因阅读或使用本站内容而产生的任何误导、损失或风险,本站概不承担任何连带或法律责任。
3、当国家司法、行政机关依照法定程序要求本论坛披露用户信息时,本站予以配合并因此免责。
4、因网络线路故障、技术问题、不可抗力或本站无法控制的其他原因导致的服务中断或暂停,本站不承担由此造成的任何直接或间接损失。
5、对于任何通过技术手段破坏、攻击本论坛系统或扰乱正常秩序的行为,本站有权采取包括但不限于限制账号、封禁账号、追究法律责任等措施。
您需要登录后才可以回帖 立即登录
高级模式
返回