逻辑漏洞

典型模式

逻辑漏洞千变万化，但有几类高频模式：

• 负数金额攻击：支付接口接受负数商品数量或价格，使购物车总价变为负值，甚至使账户余额增加。某电商被曝可以购买「-1件」商品，不仅不扣款反而到账余额。
• 重放攻击 / 条件竞争：积分兑换、优惠券使用、转账操作在并发情况下因缺乏数据库级原子锁，同一优惠券可被同时使用多次。这类漏洞在单线程测试中不会出现。
• 流程步骤跳跃：多步骤流程（实名认证→支付→完成）中，若服务端不验证用户是否真正完成了前序步骤，攻击者可直接跳至「完成」步骤。
• 参数篡改修改价格：部分实现把商品价格作为参数传递给支付接口，服务端直接信任客户端传来的价格值，1 元购价值万元商品。

为什么难以发现和防御

自动化扫描器（DAST 工具如 Burp Scanner、AWVS）对逻辑漏洞几乎无能为力——它们不理解业务语义，无法判断「用负数数量下单」是不是一个有意义的攻击。漏洞赏金平台上，逻辑漏洞往往奖励较高（因为发现难度大），也是资深测试人员区别于工具操作者的核心竞争力。

防御同样需要业务层面的思考：所有涉及资产（金额、积分、权限）的操作应在服务端重新计算而非信任客户端传值；并发操作用数据库事务和行锁保证原子性（SELECT FOR UPDATE）；关键流程状态机在服务端维护，拒绝步骤乱序的请求；对异常交易模式（单用户短时间大量优惠操作）建立风控告警。