【渗透文库】业务解约/中止场景业务逻辑测试

测试描述：通过抓包工具分析业务解约/中止场景的接口内容及工作流程，逐条实施案例验证是否存在业务逻辑漏洞。若该场景涉及人脸、证书、短信验证码等认证要素，请参考对应的认证要素测试方式，详见x.x.x章节

测试标签：WEB应用安全测试

业务场景：涉及金融业解约/中止务变更场景

测试工具：抓包工具

测试用例：

测试前置：涉及的业务场景，包括但不限于HTTP或https数据包中（header、get、post body等区域）有关交易号、流水号、商品编号等业务标识字段。

用例一：通过抓包工具的代理模块拦截报文，篡改业务标识字段为同权限受害人的业务标识，验证业务解约/中止情况。

测试预期：如可解约/中止受害人业务，则存在水平越权漏洞。

测试前置：涉及的业务场景，包括但不限于HTTP或https数据包中（header、get、post body等区域）有关用户名、身份证号、手机号等用户身份标识字段。

用例一：通过抓包工具的代理模块拦截报文，篡改用户身份标识字段为同权限受害人的身份标识，验证业务解约/中止情况。

测试预期：如可解约/中止受害人业务，则存在水平越权漏洞。

测试前置：涉及的业务场景，包括但不限于HTTP或https数据包中（header、get、post body等区域）控制流程分支的字段。

用例一：通过抓包工具的代理模块截断流程中的上送报文或响应报文，篡改报文中控制流程分支的字段，或直接构造业务最终执行的报文，提交报文并验证业务流程。

测试预期：如可略过业务设置中不允许略过的业务流程或进入与用户权限不相符的业务流程，并最终完成业务解约/中止，则存在工作流程逃逸漏洞。