业务安全漏洞挖掘——业务一致性安全

抓包修改手机号码参数为其他号码尝试，例如在办理查询页面，输入自己的号码然后抓包，修改手机号码参数为其他人号码，查看是否能查询其他人的业务。

抓包修改用户或者邮箱参数为其他用户或者邮箱

案例：绿盟RSAS安全系统全版本通杀权限管理员绕过漏洞，包括最新 RSAS V5.0.13.2

RSAS默认的审计员

账号是：reporter，auditor

密码是：nsfocus

普通账户登陆后

查看自己的订单id，然后修改id（加减一）查看是否能查看其它订单信息。

案例：广之旅旅行社任意访问用户订单

可以任意访问旅客的订单，泄露旅客的敏感信息！

用户登陆广之旅官方网站注册登陆

http://www.gzl.com.cn/

http://www.gzl.com.cn/Users/Order/Groups.aspx?OrderId=订单号

该页没过滤权限，相信还有更大的漏洞。

修复方案：

对http://www.gzl.com.cn/Users/Order/Groups.aspx

订单页增加过滤

例如积分兑换处，100个积分只能换商品编号为001,1000个积分只能换商品编号005，在100积分换商品的时候抓包把换商品的编号修改为005，用低积分换区高积分商品。

案例：联想某积分商城支付漏洞再绕过

http://ideaclub.lenovo.com.cn/club/index.php?m=goods&c=lists

还是这个积分商城、 看我怎么用最低的积分换最高积分的礼物的~

2.选择积分最低的礼物兑换（5积分的杯子），并填好相关信息，抓包修改goods_id

到这我们心仪的礼物要30积分，我只花5积分就兑换来了，是不是很划算？

修复方案：

积分参数还是放后台来操作，有goods_id,在后台计算的时候取出并计算，这样会安全些。

抓包查看自己的用户id，然后修改id（加减1）查看是否能查看其它用户id信息。

案列：拉勾网百万简历泄漏风险(包括手机、邮件、应聘职位等信息、还可冒充企业身份筛选简历、发面试通知等)

经过自己的账号测试，简历操作都会真实改动。

使用pydbg这种工具可瞬间建立离线简历库，还好我是良民- -，有没有信息贩子路过你们好好查查吧。