业务逻辑漏洞方法论

业务逻辑漏洞的本质是：应用在服务端没有正确校验业务规则，导致攻击者可以通过修改请求参数来违反预期的业务流程。这类漏洞 WAF 和自动化扫描器几乎无法检测——因为每个请求看起来都是"正常"的 HTTP 请求。

Phase 0: 攻击面识别

先通读应用功能，找到所有涉及"状态变化"或"价值转移"的操作：

功能类型	关注点	典型漏洞
支付/购买	price/amount/total 参数	金额篡改、0元购、负数退款
优惠券/促销	coupon/promo/discount	复用、枚举、叠加
积分/余额	points/balance/credits	负数充值、并发消费
订单流程	order_id/status/step	状态跳转、重复操作
短信/邮箱验证	phone/email/code	轰炸、爆破、绕过
密码重置	token/code/user_id	任意用户重置
用户注册	role/type/is_admin	角色注入（→ privilege-escalation-web）
文件/资源操作	file_id/doc_id	越权访问（→ idor-methodology）