常見邏輯漏洞:
交易支付、密碼修改、密碼找回、非授權修改、非授權查詢、突破限制等各種邏輯漏洞。
不安全對象引用是指缺乏對並行權限的訪問控制。
甲和乙都是普通用戶，他們的個人資料應該保密。
如果A的信息被用戶B利用程序訪問控制的缺失查看，這就是平行權限的關系。
功能層的訪問控制缺失是指垂直權限的訪問控制缺失。
a是普通用戶，B是管理員，B需要密碼和令牌才能登錄訪問頁面。
壹個賬號可以直接輸入管理頁面的URL，繞過管理員登錄限制，查看管理員頁面。這時A和B是垂直的。
挖掘邏輯漏洞；
基本步驟:
1，先嘗試正確操作流程，用不同的檢索方式記錄所有數據包。
2.分析數據包並找到有效的數據部分。
3、推測性數據構建方法
4.構造數據包驗證猜測
比如我加入購物車，可以修改我買的數量改成負數嗎，可以修改商品的價格嗎？
在確認購物車信息時，能否將商品數量修改為負數，能否突破折扣限制？
輸入運費，是否可以修改；
確認訂單後，是直接修改付款金額，還是不付款直接跳轉交易成功？
利用邏輯漏洞:
用戶憑證的暴力破解:
四六位數的純數字，沒有驗證碼，直接打嗝爆破；
如果驗證不是很驗證，burp搶包，在手機號後面加特殊字符，繞過第壹道防線。
防禦——只要嘗試三次以上，就會被列入黑名單。
退貨憑證:
burp抓取包裹時，url返回驗證碼和令牌，時間戳的md5，將令牌改為1或0，繞過憑證。