业务逻辑攻防图谱

要解决的具体问题

• 业务逻辑漏洞是流量型扫描器和 AST 规则盲区，/api/pay 能返回 200，但业务语义已崩坏。
• 这类问题在赏金榜里回报高，却很难用纯自动化方案覆盖。
• 常见的工具只关注 SQLi/XSS，对竞态、价格操控、状态机绕过缺乏系统认知。

技能如何工作

核心能力：本技能聚焦六类高频业务漏洞：竞态条件（Race Conditions）、价格操控（Price Manipulation）、工作流绕过（Workflow Bypass）、优惠券/推荐滥用、负值注入、状态机攻击。它不是一套可以盲目跑的工具链，而是一个专家级攻击手册，强制注入人工推理。

关键步骤：

1. 加载 METHODOLOGY.md 获取工作流：先建模完整业务流程，再抽象为状态机，然后生成攻击面矩阵，最后依赖人工判断验证。
2. 针对具体模块（如支付精度、验证码绕过、密码重置）加载 SCENARIOS.md 获取细化利用技术。
3. 逐项核对 CHECKLIST.md 中的检查项，覆盖每个业务分支的逻辑边界。

适用边界与注意点

• 拒绝自动化幻觉：本技能明确强调“需要人类推理，而非自动化”，任何声称能一键扫出业务逻辑漏洞的工具都是误导。
• 跨文件依赖：单独加载主文件只能获得总览，实际审计必须按需拉取三份配套文档，否则检查项会缺失。
• 边界防御：对于涉及复杂规则引擎、多租户隔离、分布式事务的场景，本技能只提供分析框架，不包含具体流量构造脚本，需要使用者具备上下文补充能力。
• 更新滞后性：业务逻辑变化快，清单和场景需定期复核，避免用旧规则套新业务。