攻击性业务逻辑

要解决的具体问题

业务逻辑漏洞通常藏在开发者的预期和攻击者能诱导系统接受的内容之间：流程跳转少了一步、隐藏字段被篡改、退款按订单而不是按退货数量计算，或并发请求让一次优惠券兑换成多次。这类问题很难被常规扫描器发现，却会直接造成负余额、免费商品、权限提升和资金损失。

技能如何工作

核心方法是把每个多步流程画成状态机，而不是只看单个 API 输入。先列出 states、transitions 和 side effects，例如 cart、pending payment、paid、shipped、refunded、cancelled；再检查谁能调用某个转移、在什么状态下调用、传入什么输入、能调用多少次。

随后沿四条轴探测假设：状态、身份、输入、频率。例如：

• 测试 cart → shipped 是否跳过 paid
• 重放一次性动作，或把已终态对象回退到可编辑状态
• 修改隐藏价格字段：price、total、discount、tax、shipping、subtotal、currency
• 并发兑换优惠券、提交 2FA 验证码、提现、投票、邀请、试用注册或礼品卡兑换，观察是否出现 TOCTOU

单点缺陷通常影响有限，真正的严重性来自链条。技能建议把发现串起来：先获得系统给予的信用、积分、席位或额度，再用竞态、重放或叠加放大，最后通过转账、退款或付款转成可提现价值。每条发现都量化为 loss-per-attack × scale，并记录前置条件、请求序列、状态变化和金融影响。

适用边界与注意点

它适用于已获授权的红队、Bug Bounty 和安全审计场景，需要访问真实业务流程、接口、角色体系和测试账号。它不替代代码审计或完整威胁建模，也不能凭空推断业务规则；离开实际系统上下文，状态机、端点清单和权限边界都需要先确认。