金融SRC漏洞挖掘实战教学文档<\/h1>

1. 注册开户场景漏洞挖掘<\/h2>

1.1 绕过信息校验开户<\/h3>

漏洞原理<\/strong>：前端进行格式校验但后端未严格验证必填字段<\/p>

手机号、邮箱、身份证号等字段仅在前端进行正则格式校验<\/li>
后端处理逻辑：只处理传入的字段，不强制要求所有字段都必须存在<\/li>
可选填字段（如推荐码）的存在导致验证逻辑不完整<\/li> <\/ul>
攻击方法<\/strong>：<\/p>

拦截开户请求数据包<\/li>
移除手机号相关字段（如mobile、phone等参数）<\/li>
重放请求，观察是否成功开户<\/li> <\/ol>
检测要点<\/strong>：<\/p>

检查请求参数中是否存在非必填字段<\/li>
尝试删除必填字段观察后端响应<\/li>
验证后端是否真正进行了完整的字段校验<\/li> <\/ul>
1.2 KYC信息复用伪造<\/h3>
漏洞原理<\/strong>：已认证资料可重复用于注册新账户<\/p>

系统对证件信息进行统一化处理、SDK加签后存储<\/li>
后端为节省资源，优先查询缓存数据库结果<\/li>
同一套认证资料可被多个账户重复使用<\/li> <\/ul>
攻击流程<\/strong>：<\/p>

正常上传身份证正反面、人脸信息<\/li>
获取返回的加密filekey<\/li>
使用相同资料尝试注册第二个账户<\/li>
观察系统是否检测到资料重复使用<\/li> <\/ol>
关键API接口特征<\/strong>：<\/p>
POST \/api\/upload\/identity <\/span><\/span><\/span>Content-Type: multipart\/form-data <\/span><\/span><\/span> <\/span><\/span><\/span>响应包含：{"filekey": "encrypted_filename"} <\/span><\/span><\/span><\/code><\/pre>1.3 申请状态查询越权<\/h3> 漏洞原理<\/strong>：查询接口缺乏权限控制<\/p> 申请状态查询接口使用可预测的参数（id、orderNo、ticketId、userId）<\/li> 未验证当前用户是否有权查询指定资源<\/li> <\/ul> 攻击方法<\/strong>：<\/p> 找到状态查询接口（如"\/api\/application\/status"）<\/li> 修改request_id、order_no等参数<\/li> 重放请求获取其他用户敏感信息<\/li> 使用自动化脚本遍历可预测ID<\/li> <\/ol> 敏感信息提取<\/strong>：<\/p> 手机号码、身份证号、银行卡信息<\/li> 用户个人信息、账户余额等<\/li> <\/ul> 2. 支付场景漏洞挖掘<\/h2> 2.1 高并发下单\/提现<\/h3> 漏洞原理<\/strong>：缺乏分布式锁导致重复操作<\/p> 后端未对关键操作加锁控制<\/li> 高并发请求可绕过业务限制<\/li> <\/ul> 攻击步骤<\/strong>：<\/p> 使用Burp Suite快速提交多次请求（1秒内多次请求）<\/li> 观察是否创建多笔相同订单<\/li> 验证资金是否被重复扣除或增加<\/li> <\/ol> 检测工具配置<\/strong>：<\/p> Burp Intruder：Turbo模式，高并发请求<\/li> 自定义脚本：模拟多线程并发操作<\/li> <\/ul> 2.2 负值反冲<\/h3> 漏洞原理<\/strong>：金额参数可为负值<\/p> 支付\/退款接口未校验金额必须为正数<\/li> 传入负值导致账户余额异常增加<\/li> <\/ul> 攻击方法<\/strong>：<\/p> POST \/api\/transfer <\/span><\/span><\/span>{"amount": -1000, "to_account": "xxx"} <\/span><\/span><\/span><\/code><\/pre> 修改amount为负值<\/li> 观察账户余额变化<\/li> <\/ul> 关键校验点<\/strong>：<\/p> 金额参数是否允许为负数<\/li> 后端是否有正数校验逻辑<\/li> <\/ul> 2.3 int64金额溢出<\/h3> 漏洞原理<\/strong>：大数值计算导致整数溢出<\/p> 金融计算涉及金额×精度（×10000或×100000）<\/li> int64最大范围：9.22×10¹⁸<\/li> 超大数值乘倍率后溢出变成负数或小数值<\/li> <\/ul> 漏洞代码示例<\/strong>：<\/p> repayAmount<\/span> :=<\/span> precision<\/span>.ConvertAmountByBase<\/span>( <\/span><\/span> bo<\/span>.RepayAmount<\/span>.String<\/span>(), <\/span><\/span> eaBo<\/span>.MoneyMultiBase<\/span>, \/\/ 可能为100000 <\/span><\/span><\/span><\/span>) <\/span><\/span><\/code><\/pre>攻击载荷<\/strong>：<\/p> 传入极大数值：9999999999999999999<\/li> 观察计算后金额是否变为异常值<\/li> <\/ul> 2.4 篡改参数免手续费<\/h3> 漏洞原理<\/strong>：手续费计算参数可被篡改<\/p> 转账涉及多个计算参数（渠道、汇率、活动ID等）<\/li> 特定参数组合可绕过手续费计算<\/li> <\/ul> 攻击方法<\/strong>：<\/p> 分析转账接口参数结构<\/li> 尝试修改campaign_id、fee_waived_amount等参数<\/li> 特别关注值为0的参数情况<\/li> <\/ol> 关键代码逻辑<\/strong>：<\/p> if<\/span> remittanceTicketReq<\/span>.GetFeeWaivedAmount<\/span>() !=<\/span> 0<\/span> { <\/span><\/span> if<\/span> remittanceTicketReq<\/span>.GetCampaignId<\/span>() ==<\/span> ""<\/span> { <\/span><\/span> return<\/span> common<\/span>.ErrWalletInvalidRequestParam<\/span> <\/span><\/span> } <\/span><\/span>} <\/span><\/span><\/code><\/pre>3. 优惠券场景漏洞挖掘<\/h2> 3.1 优惠券码爆破<\/h3> 漏洞原理<\/strong>：优惠券码可预测且无限次尝试<\/p> 券码未采用加密或随机化生成<\/li> 缺乏网关限流保护<\/li> <\/ul> 攻击方法<\/strong>：<\/p> 收集优惠券码模式（长度、字符集）<\/li> 使用Intruder进行高并发遍历<\/li> 根据响应差异判断券码有效性<\/li> <\/ol> 响应差异分析<\/strong>：<\/p> 存在券码：响应长度820\/819字节<\/li> 不存在券码：响应长度798字节<\/li> <\/ul> 3.2 优惠券无锁重复领取<\/h3> 漏洞原理<\/strong>：并发环境下缺乏锁机制<\/p> 安全代码示例<\/strong>（加锁）：<\/p> func<\/span> applyCouponWithLock<\/span>(amount<\/span> float64<\/span>) float64<\/span> { <\/span><\/span> coupon<\/span>.mu<\/span>.Lock<\/span>() <\/span><\/span> defer<\/span> coupon<\/span>.mu<\/span>.Unlock<\/span>() <\/span><\/span> <\/span><\/span> discounted<\/span> :=<\/span> amount<\/span> -<\/span> coupon<\/span>.Discount<\/span> <\/span><\/span> coupon<\/span>.UsageCount<\/span>++<\/span> <\/span><\/span> return<\/span> discounted<\/span> <\/span><\/span>} <\/span><\/span><\/code><\/pre>漏洞代码示例<\/strong>（无锁）：<\/p> func<\/span> applyCoupon<\/span>(amount<\/span> float64<\/span>) float64<\/span> { <\/span><\/span> discounted<\/span> :=<\/span> amount<\/span> -<\/span> coupon<\/span>.Discount<\/span> <\/span><\/span> atomic<\/span>.AddInt64<\/span>(&<\/span>coupon<\/span>.UsageCount<\/span>, 1<\/span>) <\/span><\/span> return<\/span> discounted<\/span> <\/span><\/span>} <\/span><\/span><\/code><\/pre>攻击验证<\/strong>：高并发请求优惠券领取接口<\/p> 3.3 优惠券叠加使用<\/h3> 漏洞原理<\/strong>：互斥优惠券可同时使用<\/p> 系统未校验优惠券之间的互斥关系<\/li> 单笔订单可使用多张本应限用的优惠券<\/li> <\/ul> 测试步骤<\/strong>：<\/p> 获取多张优惠券<\/li> 单次交易中尝试同时使用<\/li> 观察折扣是否叠加计算<\/li> <\/ol> 4. 信息查询场景漏洞挖掘<\/h2> 4.1 越权查询敏感信息<\/h3> 漏洞原理<\/strong>：权限校验不完善<\/p> 简单越权<\/strong>：<\/p> 直接修改order_id、user_id等参数<\/li> 水平越权访问他人数据<\/li> <\/ul> 复杂越权<\/strong>：<\/p> 接口支持多种参数查询方式<\/li> 正常使用token中的uid，但支持post传入userid覆盖<\/li> <\/ul> Fuzz测试方法<\/strong>：<\/p> 收集历史返回包中的参数名（userphone、uid、role等）<\/li> 组成字典进行参数fuzz<\/li> 发现隐藏的查询参数<\/li> <\/ol> 4.2 Toc&ToB网关配置错误<\/h3> 漏洞原理<\/strong>：gRPC+Gateway架构权限配置错误<\/p> 攻击流程<\/strong>：<\/p> 导出管理端(a.com)的Burp历史记录<\/li> 使用脚本处理为CSV格式<\/li> 在用户端(b.com)测试管理接口<\/li> <\/ol> 数据处理脚本<\/strong>：<\/p> import<\/span> xml.etree.ElementTree as<\/span> ET <\/span><\/span>import<\/span> base64,<\/span> csv <\/span><\/span> <\/span><\/span># XML解析和Base64解码<\/span> <\/span><\/span>request_data =<\/span> base64.<\/span>b64decode(request_element.<\/span>text).<\/span>decode("utf-8"<\/span>) <\/span><\/span>header_body_split =<\/span> request_data.<\/span>split("<\/span>\r\n\r\n<\/span>"<\/span>, 1<\/span>) <\/span><\/span><\/code><\/pre>Intruder配置<\/strong>：<\/p> 模式：Pitchfork<\/li> Payload encoding取消勾选<\/li> 多参数同时测试<\/li> <\/ul> 5. 资源存储场景漏洞挖掘<\/h2> 5.1 合同资料遍历<\/h3> 漏洞原理<\/strong>：文件路径可预测<\/p> 路径模式：\/docs\/contract\/2025\/ID_0001.pdf<\/code><\/li> 缺乏访问权限控制<\/li> <\/ul> 攻击方法<\/strong>：<\/p> 爆破ID：0001-9999<\/li> 增量遍历时间目录（2024\/2025\/2026）<\/li> 批量下载敏感文件<\/li> <\/ul> 5.2 S3存储桶配置不当<\/h3> 漏洞原理<\/strong>：云存储权限设置为Public Read<\/p> 检测工具<\/strong>：<\/p> https:\/\/github.com\/dark-kingA\/cloudTools<\/li> AWS CLI：aws s3 ls s3:\/\/bucket-name\/<\/li> <\/ul> 敏感文件类型<\/strong>：<\/p> 合同文档、财务报表<\/li> 用户身份证扫描件<\/li> 内部系统配置文件<\/li> <\/ul> 5.3 SSRF及绕过<\/h3> 漏洞原理<\/strong>：外部URL请求功能可被利用<\/p> 白名单绕过技术<\/strong>：<\/p> 域名前缀匹配：evil.example.com.white.com<\/li> URL编码、特殊字符<\/li> HTTP重定向绕过<\/li> <\/ul> 攻击验证<\/strong>：<\/p> 使用DNSLog平台生成测试域名<\/li> 尝试各种绕过技巧<\/li> 观察DNS解析记录<\/li> <\/ol> 6. 第三方厂商相关漏洞<\/h2> 6.1 JWT\/密码硬编码<\/h3> 漏洞原理<\/strong>：默认配置未修改<\/p> 初始化的appid、jwttoken密钥保持默认值<\/li> 攻击者可伪造任意用户Token<\/li> <\/ul> 检测方法<\/strong>：<\/p> 检查JWT签名算法<\/li> 尝试使用常见默认密钥签名<\/li> 验证Token伪造可能性<\/li> <\/ul> 6.2 运维后门<\/h3> 漏洞原理<\/strong>：外部URL获取敏感信息<\/p> 常见后门模式<\/strong>：<\/p> curl http:\/\/password.example.com\/db-prod-pass <\/span><\/span>wget http:\/\/x.x.x.x\/getKey?env=<\/span>prod <\/span><\/span><\/code><\/pre>检测要点<\/strong>：<\/p> 监控外部网络请求<\/li> 检查代码中的硬编码URL<\/li> 分析SSO接口的权限控制<\/li> <\/ul> 7. 漏洞挖掘方法论<\/h2> 7.1 业务逻辑分析<\/h3> 深入理解资金流转规则<\/li> 分析风控策略和账户体系<\/li> 识别业务链路的关键节点<\/li> <\/ul> 7.2 测试优先级<\/h3> 资金相关操作（支付、转账、提现）<\/li> 用户敏感信息查询<\/li> 身份认证和授权机制<\/li> 文件存储和访问控制<\/li> <\/ol> 7.3 自动化检测<\/h3> 定制化脚本针对特定业务逻辑<\/li> Burp插件开发辅助测试<\/li> 持续监控和回归测试<\/li> <\/ul> 8. 防御建议<\/h2> 8.1 技术层面<\/h3> 实施完整的参数校验机制<\/li> 关键操作添加分布式锁<\/li> 使用decimal类型处理金融计算<\/li> 实施最小权限原则<\/li> <\/ul> 8.2 流程层面<\/h3> 安全开发生命周期管理<\/li> 第三方组件安全评估<\/li> 定期安全审计和渗透测试<\/li> <\/ul> 本教学文档涵盖了金融SRC漏洞挖掘的完整知识体系，重点突出了业务逻辑漏洞的识别和利用技巧，为安全测试人员提供实用的方法论指导。<\/p>