攻击性业务逻辑

业务逻辑漏洞的检测困境

扫描器擅长匹配已知的语法特征，却很难理解业务规则之间的因果关系。业务逻辑漏洞恰恰出现在开发者的设计与攻击者能诱导系统接受的行为之间的缝隙里，比如越权的状态跳转、隐藏的频次限制、未校验的前置条件。这类问题很少暴露在接口参数或响应体里，而是藏在多步流程的状态转换中，因此传统工具经常漏报，厂商也往往低估其风险。

攻击性测试的核心工作流

这套方法论将多步业务流视为状态机，而非一组孤立接口。核心流程包括：

• 状态建模：把每个流程拆成 状态、允许的跳转 和 副作用，理清用户、订单、权限等对象的生命周期。
• 轴点探测：对每个跳转追问四个维度——谁可以调用、处于什么状态、需要哪些输入、允许调用多少次——找出开发者未言明的假设。
• 漏洞组合：单一维度的缺陷往往危害有限，但跨状态、跨身份、跨频次的链路组合，经常能构造出高危攻击路径。
• 金融量化：将每个发现换算为 单次攻击损失 × 可规模化程度，帮助优先级排序。

适用边界与落地注意点

• 它不是自动漏洞扫描器，而是一套分析框架。测试者需要自行将业务流程映射为状态机，工具不会替你建模。
• 金融损失计算依赖对业务参数的估算，应作为风险沟通的起点，而非精确财务预测。
• 状态跳转的识别需要对权限模型、订单流转、风控规则有足够理解；若流程定义模糊，应先与开发方澄清状态集合。
• 仅在获得授权的测试环境中使用，该方法会系统性地尝试绕过业务规则，可能触发风控告警。