APP渗透测试 支付逻辑漏洞

本套课程在线学习（网盘地址，保存即可免费观看）地址：

扫描二维码免费下载观看

https://pan.quark.cn/s/e8916da68b7f

00:04 - 安卓业务安全测试课程介绍及讲师背景

在本次安卓业务安全测试课程中，讲师将分享其在杭州一家乙方公司作为安全工程师的工作经验，重点讲解在实际工作中遇到的有趣漏洞。讲师主要负责安全研究和客户支持，通过接触各种业务场景，总结了众多问题和漏洞，包括代码审计和渗透测试等方面。课程中将分享近期挖掘的严重且有趣的漏洞案例，鼓励学员边操作边学习，以加深对安卓安全测试的理解。

01:44 - APP和后端业务中的支付逻辑漏洞及其危害

对话讨论了在许多APP和后端业务中存在的支付逻辑漏洞，特别是这种漏洞可能带来的严重后果。通过一个具体案例，描述了如何通过篡改支付请求中的金额和积分数据，绕过后端的校验，从而成功实现非预期的充值行为。此类逻辑漏洞由于难以被防火墙识别，可能给企业和用户带来巨大的危害，强调了在软件开发和测试阶段需要充分考虑逻辑层面的安全问题。

09:13 - 游戏积分商城系统漏洞分析与利用

对话详细描述了一种在游戏积分商城中的系统漏洞利用方式。游戏通过小游戏赠送积分，但系统前端限制了每日抽奖次数，后端却没有实施真正的限制。通过中间代理抓包并重放请求，用户可以绕过前端的限制，不断刷积分。此外，还提到用户可能通过修改数据包，购买物品时修改金额，导致游戏公司可能遭受经济损失。这一漏洞揭示了游戏系统中前端和后端限制不一致导致的安全风险。

11:44 - 电影网站支付逻辑漏洞的详细分析

在测试多个电影网站的过程中，发现存在严重的支付逻辑漏洞。这些问题包括后端对前端金额的缺乏校验、金额被篡改为负数或零、手续费比例计算错误、数量问题、付款账户和优惠券使用不当等。其中，支付宝接口的签名校验缺失导致能够篡改金额并成功支付，从而造成支付漏洞。此类漏洞在行业中较为普遍，对业务安全构成较大威胁。

17:05 - 网络安全法下的授权测试与技术学习

今年实施的网络安全法强调了进行网络安全测试需获得授权的重要性，以避免触犯法律。世纪佳缘和原味的案例起到了警示作用，提醒大家未经许可不得进行渗透测试。技术本身无罪，但在未经授权的情况下使用可能引发法律问题。建议通过合法途径，如在个人环境中搭建和测试开源代码，来提升技术能力和识别代码中的潜在问题。

18:29 - 安卓APP反编译与逆向工程课程大纲

课程大纲计划通过四个主要部分讲解安卓APP的反编译、重新打包签名、dev c指令介绍以及逆向工程基础。讲师强调学员应具备一定的开发基础和基本的Linux、Windows操作知识，并推荐使用模拟器或真机进行实践操作。课程将通过具体案例，如破解correct me小程序，教授如何修改代码和绕过授权码验证，以深入理解二进制和逆向工程知识。学员被鼓励安装并使用各种模拟器，并在遇到问题时及时反馈。

25:35 - Android APP动态调试与静态调试及工具使用教程

对话主要讨论了Android APP的动态调试与静态调试方法，包括通过分析反编译出的smali文件理解字节码指令和逻辑，以及在Android Studio中使用smell插件进行动态调试的过程。此外，还提到了使用叉Pose框架和bb shot工具进行渗透测试、抓包和重放等操作的教程。

27:38 - 网络安全教程：从Web测试到移动应用安全

本教程涵盖从Web业务测试到移动应用安全的多个方面，包括抓包改包、安卓hook、WebView漏洞、数据备份与劫持、APP加固与脱壳、本地数据库注入、二进制插桩、通讯协议分析、数据加密、内置证书处理、逻辑漏洞分析以及图形验证码和爆破技术。教程将通过实例演示，如PHP后端逻辑漏洞和图形验证码的常见问题及其解决方案，旨在全面提高网络安全测试能力。

30:48 - 软件安全漏洞详解与案例分析

本次对话详细探讨了多种软件安全漏洞及其实际应用案例，包括越权操作（平行越权和垂直越权）、短信攻击、重放攻击、二维码漏洞、支付漏洞、二次漏洞、SQL注入、XSS（跨站脚本攻击）以及文件上传漏洞。特别通过具体案例，如通过修改订单号实现电影票的非法退票、短信内容构造与拦截、以及支付过程中产生的二次漏洞，来说明这些安全漏洞的具体操作和危害。此外，讨论还强调了对开发人员有一定基础、正准备转向安全领域的学习者来说，本课程将特别有益，通过讲解原理和简单实例，帮助理解和复现这些漏洞。

36:03 - APK反编译安全课程及学习建议

本次课程讨论了腾讯SRC发布的关于APK反编译的文章，特别提及了针对低版本Android系统的潜在攻击风险。课程中将演示如何利用这些漏洞，并介绍了适合不同操作系统的学习环境，强调了使用终端工具的便利性。此外，讲师分享了关于web bypass的研究，并对初学者提出了建议，强调兴趣驱动和主动学习的重要性，同时鼓励在遇到问题时先尝试自行解决，再寻求帮助时提供详细背景信息。最后，讲师邀请大家积极参与讨论，共享学习经验。

该内容转载自网络，仅供学习交流，勿作他用，如有侵权请联系删除。

https://pan.quark.cn/s/8c91ccb5a474