保存成功
保存失败,请重试
提交成功

Web 安全恩仇录:再谈逻辑漏洞

作者/分享人:肖志华
不知名白帽子,渗透测试工程师,现在四川某安全公司就职。

江湖大道险恶,武林各派不断在切磋琢磨。这边吃我一招乌鸦坐飞机(…)那边就来一记力劈华山。俨然一派江湖相。可你知道攻防人员也有江湖?加之我本人是个金庸古龙迷,便将这命名为“Web 安全恩仇录”顺带各位来看看该领域的各行武林。如果有精力,我将会持续输出 Web 安全恩仇录体系文章。

以前看了汤青松老师分享的《Web安全:聊聊密码找回》,非常好的一篇文章,推荐看看。里面汤老师讲了 Web 开发中的“密码找回”漏洞,这就是一个逻辑漏洞。

逻辑漏洞不单单是密码找回,同时还可以出现在“一元购买跑车”这种场景下,都是 Web 程序的“逻辑”出了问题。逻辑漏洞比例如 SQL 注入漏洞难修也难防,因为问题出在底层代码上。本场 Chat 我将分享逻辑漏洞的相关内容,如:

  1. 订单任意金额修改
  2. 越权访问
  3. 密码找回
  4. 用户凭证等相关问题
    ……
已有781人预订
预订达标
文章出炉
交流日期
     
17.12.05
17.12.13
17.12.20 20:30
查看文章评论/提问
星航2 年前
想问问那个iphoneX到货了嘛?
肖志华(作者)2 年前
标注了安全测试 不发货的哈🤣
glenwang真北敏捷2 年前
设计时要各种防截胡。
北小鸟2 年前
惯例
文丑2 年前
哈哈。很详细。
禹鱼2 年前
前排混眼熟
你可能还喜欢
Redis 难题突破,最经典 36 题含详细解析
慕容千语
送卫衣:GitChat 1024 留言有奖活动来啦!
GitChat 内容组
如何依靠副业赚钱,应对人到中年的职场危机
代码GG陆晓明
数据结构算法常见的 100 道面试题全解析:2019 版
攻城狮
Redis 面试题全解析
驰骋
【有奖活动】用一句话证明你是程序员
🐡赵小胖
微信扫描登录
关注提示×
扫码关注公众号,获得 Chat 最新进展通知!
入群与作者交流×
扫码后回复关键字 入群
Chat·作者交流群
入群码
该二维码永久有效