32、业务逻辑漏洞检测与安全无分行银行系统方案

业务逻辑漏洞检测与安全无分行银行系统方案

1. APP_LogGIC框架检测业务逻辑漏洞

在业务逻辑漏洞检测领域，目前还没有工具或框架能够检测代码中的业务逻辑漏洞（BLV）或逻辑漏洞注入。APP_LogGIC框架通过新颖的模糊排名系统，在检测Java GUI应用程序中的BLV方面展现出了独特的优势。

1.1 检测原理与排名系统

APP_LogGIC的排名系统基于严重程度（Severity）和漏洞等级（Vulnerability）两个维度，通过公式C = SxV计算综合风险。具体的严重程度和漏洞等级分类如下表所示：
| | 严重程度 | | |
| — | — | — | — |
| 漏洞等级 | 低 | 中 | 高 |
| 低 | 低 | 低 | 中 |
| 中 | 中 | 低 | 中 |
| 高 | 高 | 中 | 高 |

严重程度和漏洞等级又有更细致的划分：
- 严重程度等级 ：
- 中等：作为数据汇的变量（即源自用户输入的数据）严重程度为3。
- 漏洞等级 ：
- 高：分支条件依赖输入数据的变量未进行检查或检查不当，漏洞等级为4。

1.2 实际应用测试

为了验证APP_LogGIC的有效性，对三个注入了BLV的应用程序进行了测试，包括一个真实世界的应用程序CleanSheets和两个专门为该项目编写的LogicBomb版本应用程序。

<