【渗透文库】注册场景业务逻辑测试

测试描述：通过抓包工具分析注册场景的接口内容及工作流程，逐条实施案例验证是否存在业务逻辑漏洞。若场景涉及认证要素，则参考对应的认证要素测试方式。

测试标签：WEB应用安全测试

业务场景：注册场景

测试工具：抓包工具

测试用例：

测试前置：涉及的业务场景，包括但不限于HTTP或https数据包中（header、get、post body等区域）username（可能为username、手机号、邮箱等）字段。

用例一：使用抓包工具代理模块拦截含有待注册用户名的报文，利用intruder模块结合用户名规则，对用户名进行枚举，查看能否枚举出其他用户的注册信息。

测试预期：如能通过报文返回内容判断出用户存在与否，则存在枚举用户名漏洞。

用例二：使用抓包工具代理模块拦截含有待注册用户名的报文，利用intruder模块对用户名进行枚举，查看能都否批量注册用户。

测试预期：如能成功批量注册用户，则存在批量注册漏洞。

测试前置：涉及的业务场景注册执行报文。

用例一：使用抓包工具代理模块获取执行注册的报文或流程，利用重放模块再次发送报文，查看能否重复注册同一个用户。

测试预期：如能重复注册一个用户，则存在重复注册漏洞。

测试前置：涉及的业务场景，包括但不限于HTTP或https数据包中（header、get、post body等区域）控制流程分支的字段。

用例一：通过抓包工具的代理模块截断流程中的上送报文或响应报文，篡改报文中控制流程分支的字段，或直接构造业务最终执行的报文，提交报文并验证业务流程。

测试预期：如可略过业务设置中不允许略过的业务流程或进入与用户权限不相符的业务流程，并最终完成注册，则存在工作流程逃逸漏洞。