Gjqhs的博客

普及常见业务逻辑漏洞与测试业务逻辑漏洞方法业务逻辑 不同的项目有不同的功能，不同的功能需要不同的实现，实现这些核心功能的代码就叫业务逻辑。 比如实现两个数求和功能，所写的如何获得任意给定的两个数的和，这个程序实现过程即可成为 业务逻辑处理。 业务是指一个实体单元向另一个实体单元提供的服务。 逻辑是指根据已有的信息推出合理的结论的规律。 业务逻辑是指一个实体单元为了向另一个实体单元提供服务，应该具备的规则与流程业务逻辑的内容包括四个部分： 领域实体：定义了业务中的对象，对...

普及权限控制的方法、常见非授权访问漏洞以及水平越权与垂直越权的成因与利用方法、修复方法权限控制某个主体（subject）对某个客体（object）需要实施某种操作（operation），系统对这种操作的限制就是权限控制。在一个安全的系统中，通过身份验证来确认主体的身份。客体是一种资源，是主体发起请求的对象。主体所能做什么，就是权限，权限可以细分为不同的能力。例如：在Linux文件系统中，将权限分为读、写、执行三种能力。 权限控制一般分为两个步骤，身份验证与授权。首先进行的是身份验证的工作...

普及会话与令牌的作用以及针对令牌的常用攻击手段会话令牌 HTTP协议本身是“无状态”，“无连接”的，也就是说HTTP协议本身并不会记住客户端访问的上下文，也无法保存客户端的各种状态，这其中就包括登录状态。如果HTTP不能保存用户的登录状态，那就意味着用户在每次访问需要身份验证的网站时都必须填写用户名及密码，这里的“每次访问”是指每个单次的HTTP请求包括刷新一次页面。为了解决上述的问题，Web应用程序就需要使用会话这个概念，即用户登录成功后为其建立一个会话，通过会话记录用户的各种状态，通常使用C..

普吉应用系统验证机制的脆弱点以及验证机制中的设计缺陷、执行缺陷验证机制身份验证是核心防御机制中最薄弱的环节，身份验证机制也是攻击者的主要攻击目标之一。验证机制是应用程序防御恶意攻击的中心机制。它处于防御未授权的最前沿，如果用户能够突破那些防御，他们通常能够控制应用程序的全部功能，自由访问其中的数据。缺乏安全稳定的验证机制，其他核心安全机制（如会话管理和访问控制）都无法有效实施。验证机制最常见的方式是信息系统要求用户提交用户名与密码，正确则允许用户登录，错误则拒绝用户登录。验证机制问题主要分

普及访问控制与访问控制模型，进而了解逻辑漏洞的定义及分类访问控制概述在某种程度上来说，信息安全就是通过控制如何访问信息资源来防范资源泄露或未经授权修改的工作。访问控制（AccessControl）指系统对用户身份及其所属的预先定义的策略组限制其使用数据资源能力的手段。通常用于系统管理员控制用户对服务器、目录、文件等网络资源的访问。访问控制是系统保密性、完整性、可用性和合法使用性的重要基础，是网络安全防范和资源保护的关键策略之一，也是主体依据某些控制策略或权限对客体本身或其资源进行的不同授权访问