Web 逻辑漏洞超全详解

一、什么是逻辑漏洞？

逻辑漏洞是业务层面设计缺陷产生的漏洞，区别于 SQL 注入、XSS 等代码漏洞。
攻击者不利用恶意代码、不破坏程序运行，完全走正常合法流量，通过篡改请求参数、绕过业务校验、打乱执行顺序等方式，越权操作、篡改数据、窃取信息、恶意牟利。

逻辑漏洞WAF、防火墙无法拦截，属于业务层漏洞，主要出现在：登录、注册、改密、找回密码、个人中心、支付、订单、抽奖、投票等功能模块。

核心特点：

1. 程序代码正常运行，无报错、无异常；
2. 完全合法请求，设备防御无法识别；
3. 纯业务逻辑缺陷，属于开发设计不严谨导致。

二、越权漏洞（核心必考）

越权漏洞是最常见的逻辑漏洞，成因是后端仅做前端展示校验，未做服务端权限校验，过度信任客户端参数。

1. 水平越权（平行越权）

同级用户之间互相越权。
攻击者利用自身普通账号，通过修改 ID、手机号、订单号、用户参数，查看、修改、删除其他同级用户数据。
常见危害：查看他人个人信息、修改他人资料、重置他人密码、遍历所有用户订单。

2. 垂直越权（权限提升）

低权限用户执行高权限用户操作。
网站仅在页面按钮隐藏高权限功能，后端接口未做权限拦截。攻击者抓包猜测后台接口、替换登录态，实现普通用户操作管理员功能。

渗透测试流程

1. 登录超级管理员，抓包新增用户、删除用户、后台管理操作数据包；
2. 退出管理员，登录普通账号；
3. 将抓取的管理员数据包中的 Cookie、Token、登录态替换为普通用户；
4. 重放数据包，成功执行高权限操作，证明存在垂直越权。

三、密码修改逻辑漏洞

业务未校验原密码、未做参数校验导致任意改密。

1. 无原密码校验：直接输入新密码即可修改本人密码；
2. 越权改密：抓包修改 UID、手机号、用户名参数，直接修改任意用户密码；
3. 结合 CSRF 漏洞：诱导用户点击链接，自动篡改密码；
4. 无随机校验机制：数据包无 csrf_token、无验证码校验，可无限重放改密。

四、密码找回逻辑漏洞

全部属于验证码逻辑缺陷，可直接重置任意账号密码：

1. 验证码直接在前端返回、返回包明文展示；
2. 验证码无次数限制、无时效限制，可暴力爆破；
3. 验证码规律可控（固定值、日期生成、简单递增）；
4. 允许空验证码提交，后端未做空值判断；
5. 拦截数据包，修改响应包状态（false 改 true）绕过验证；
6. 短信接口未做限制，可批量发送、短信劫持；
7. 同一验证码可重复复用、不失效。

五、验证码通用漏洞

1. 万能验证码（固定验证码可通用）；
2. 验证码前端返回、源码可见；
3. 删除验证码参数直接绕过验证；
4. 验证码不失效、可重复使用；
5. 无频率限制，可无限爆破。

六、支付逻辑漏洞（高危、可直接牟利）

支付漏洞是危害最大的业务逻辑漏洞，核心在于后端未二次校验金额、订单、状态。

1. 金额篡改

下单、确认订单、支付任意环节抓包，修改金额为小数、负数、0 元，低价甚至免费购买商品。

2. 订单数量篡改

修改购买数量参数，实现多买少付。

3. 优惠券漏洞

修改优惠券抵扣金额、负数抵扣，实现商家倒找钱。

4. 支付状态篡改

将未支付订单抓包修改为已支付状态，直接绕过付款。

5. 越权支付

修改支付用户 ID，使用他人账户余额为自己付款。

6. 支付接口替换

伪造不存在的支付接口，后端未校验接口合法性，判定支付成功。

7. 订单替换 / 多重替换

支付低价订单，抓包替换为高价订单 ID，低价购买高价商品。

8. 请求重放漏洞

支付成功后重复重放数据包，无限叠加商品、只付一次钱。

9. 边界值逻辑漏洞

购买负数商品，系统计算总价为负数，实现余额增加、套现。

10. 业务顺序漏洞

跳过下单、确认步骤，直接请求支付接口，绕过所有校验。

七、投票 / 积分 / 抽奖逻辑漏洞

核心：前端限制次数、后端无校验，可无限刷取。

1. Cookie / 参数绕过：修改 is_draw、is_vote 状态值，0/1 互换，无限抽奖、投票；
2. IP 校验绕过：通过伪造 X-Forwarded-For 伪造 IP，绕过单 IP 限制；
3. 账号批量绕过：无手机号限制、可批量注册账号刷积分、刷票；
4. 并发漏洞：高并发请求，突破单次限制，批量领取奖品。

八、短信轰炸漏洞

短信接口无频率限制、无 IP 限制、无验证码限制：

1. 数据包无限重放，批量发送短信；
2. 修改 Cookie、参数、大小写绕过次数限制；
3. 手机号拼接 + 86、空格、符号绕过拦截；
4. 分站接口测试，主站防护、子接口无防护；
5. 修改返回包状态，强制判定发送成功。

危害：骚扰用户、消耗厂商短信资费、恶意刷接口。

九、常见业务逻辑漏洞汇总（SRC 实战总结）

1. 注册模块

• 短信 / 邮箱轰炸
• 验证码失效、可爆破
• 批量注册、无拦截
• 用户名枚举漏洞

2. 登录模块

• 账号密码爆破、撞库
• 密码参数置空可登录
• 凭证替换越权登录他人账号
• Cookie 伪造、返回包篡改登录
• SQL 注入、XSS

3. 找回密码模块

• 任意用户密码重置
• 验证码绕过、短信劫持
• 跳过验证步骤直接改密

4. 支付充值模块

• 金额、数量、订单篡改
• 整数溢出漏洞
• 替换充值用户 ID
• 支付绕过、订单替换

5. 活动营销模块

• 无限刷积分、刷奖品
• 并发抢券漏洞
• 优惠券金额篡改

6. 订单模块

• 订单遍历泄露用户隐私
• 越权删除他人订单

7. 个人中心 / 上传模块

• 文件上传 XSS、XXE、命令执行
• 横向越权遍历用户信息
• 个人信息存储 XSS

8. 数据传输漏洞

• 账号密码明文传输
• 无 Token/Session 导致全站 CSRF
• Cookie、POST 参数注入

9. 评论模块

• 存储型 XSS、POST 注入
• 无校验导致 CSRF

十、高级逻辑漏洞原理总结

1. 返回包篡改绕过

前端校验全部可绕过，修改返回包关键字段：
false→true、0→1、error→success
可实现：绕过手机验证、绕过登录、绕过改密验证。

2. ID 遍历与替换

• 数字 ID 直接遍历批量获取用户数据；
• 加密 ID 可双账号互换测试，判断是否存在越权。

3. 业务顺序漏洞

正常流程：A→B→C→D
攻击者跳过中间验证步骤，直接请求最后接口，完成非法操作。

4. 支付高级漏洞

• 购物车二次篡改：下单后改购物车内容，支付低价买高价商品；
• 秘钥泄露、APP 反编译篡改支付参数；
• HeartBleed 漏洞导致支付密钥、用户数据泄露。

十一、逻辑漏洞通用防御方案

1. 所有校验必须放在服务端，禁止仅前端校验；
2. 所有关键操作（改密、支付、后台操作）二次身份校验；
3. 参数白名单校验，禁止用户可控敏感参数；
4. 验证码时效、次数、唯一性严格限制；
5. 订单、金额、权限后端强制校验，不 trust 客户端；
6. 关键接口添加 Token、签名、时间戳防重放；
7. 限制短信、登录、注册接口频率，防止轰炸与爆破。

十二、全文总结

逻辑漏洞是渗透测试中含金量最高、危害最大、设备最难防御的漏洞类型。不同于代码漏洞，逻辑漏洞完全依托业务设计缺陷，流量合法、隐蔽性强、危害直接（可套现、可批量盗号、可批量泄露数据）。

学习逻辑漏洞的核心思路：抓包、改参、遍历、打乱流程、篡改状态、替换身份。掌握以上所有场景，可覆盖 99% 的 Web 业务逻辑渗透测试考点与实战场景。

---

最后

关于网络安全技术储备

学好网络安全不论是就业还是做副业赚钱都不错，但要学会网络安全还是要有一个学习规划。最后大家分享一份全套的网络安全学习资料，给那些想学习网络安全的小伙伴们一点帮助！

对于0基础小白入门：

如果你是零基础小白，想快速入门网络安全是可以考虑的。

一方面是学习时间相对较短，学习内容更全面更集中。

二方面是可以找到适合自己的学习方案

包括：网安成长学习路线图、SRC&黑客文档、护网行动、黑客必读书单、面试题、学习视频等教程。带你从零基础系统性的学好网络安全！

需要的可以微信扫描下方优快云官方认证二维码免费领取【保证100%免费】

👉1.成长路线图&学习规划👈
要学习一门新的技术，作为新手一定要先学习成长路线图，方向不对，努力白费。

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图&学习规划。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

👉2.网安入门到进阶视频教程👈
很多朋友都不喜欢晦涩的文字，我也为大家准备了视频教程，其中一共有21个章节，每个章节都是当前板块的精华浓缩。（全套教程文末领取哈）

👉3.SRC&黑客文档👈
大家最喜欢也是最关心的SRC技术文籍&黑客技术也有收录

SRC技术文籍：

黑客资料由于是敏感资源，这里不能直接展示哦！（全套教程文末领取哈）

👉4.护网行动资料👈
其中关于HW护网行动，也准备了对应的资料，这些内容可相当于比赛的金手指！

👉5.黑客必读书单👈

随着互联网技术的飞速发展，网络安全已经成为了当今科技领域的一大热点。这些SQL注入、CCNA、Web渗透、Linux服务器等，以其强大的语言理解和防御能力，正在守护着我们网络世界。 那以下这些PDF籍就是非常不错的学习资源。

👉6.网络安全岗面试题合集👈
当你自学到这里，你就要开始思考找工作的事情了，而工作绕不开的就是真题和面试题。

这份完整版的网络安全学习资料已经上传优快云，朋友们如果需要可以微信扫描下方优快云官方认证二维码免费领取【保证100%免费】