 描述
不止一个的产品支持会话行为必须由一个演员表演,但这并不正确确保演员执行所需的行为序列。
扩展描述
一个意想不到的顺序执行操作,或省略步骤,攻击者可以操纵产品的业务逻辑或输入一个无效的状态。在某些情况下,这也暴露了合成不足。
例如,一个文件共享协议可能会要求演员执行单独的步骤提供一个用户名,密码,能够传输文件。如果文件共享服务器接受密码命令后跟一个传输命令,没有任何用户名提供,产品可能仍然执行转移。
请注意,这是不同的cwe - 696,其重点是当产品执行操作错误的序列;这个条目是密切相关的,但它是专注于确保演员以正确的顺序执行操作。
与行为包括:
- 预期的顺序执行的步骤。
- 所需步骤省略。
- 步骤不中断。
- 及时执行的步骤。
的关系
 此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
相关的视图”研究概念”(cwe - 1000)
| 自然 |
类型 |
ID |
的名字 |
| ChildOf |
 支柱——一个弱点是最抽象类型的弱点和代表一个主题类/基地/变体相关弱点。支柱是不同于一个类别作为支柱技术上仍然是一种弱点,描述了一个错误,而一个类别代表一个共同特征用于组相关的东西。 |
691年 |
控制流管理不足 |
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
 相关视图”架构概念”(cwe - 1008)
| 自然 |
类型 |
ID |
的名字 |
| MemberOf |
 类别——CWE条目包含一组其他条目,共享一个共同的特点。 |
1018年 |
管理用户会话 |
模式的介绍
不同模式的引入提供了信息如何以及何时可以纳入这一弱点。生命周期的阶段识别点的介绍可能发生,而相关的报告提供了一个典型的场景介绍在给定的阶段。
| 阶段 |
请注意 |
| 实现 |
实现:造成这一弱点在建筑安全策略的实施。 |
常见的后果
这个表指定不同的个人相关后果的弱点。标识应用程序范围的安全领域侵犯,而影响了负面的技术影响,如果敌人成功利用这个弱点。可能提供的信息如何可能的具体结果预计将看到列表中相对于其它后果。例如,可能会有高可能性,缺点将被利用来实现一定的影响,但较低的可能性,它将被利用来实现不同的影响。
| 范围 |
影响 |
可能性 |
其他
|
攻击者可能导致产品跳过关键步骤或执行错误的订单,绕过其预期的业务逻辑。这有时会有安全隐患。 |
|
示范例子
示例1
这段代码是一个FTP服务器的一部分,处理各种命令,可以发送的用户。成功的目的,用户必须登录之前执行任何其他操作如检索或清单文件。
def dispatchCommand(命令、用户参数):
如果命令= =“登录”:
loginUser (args)
返回
#用户请求一个文件
如果命令= =“Retrieve_file”:
如果身份验证(用户)和ownsFile(用户,args):
sendFile (args)
返回
如果命令= =“List_files”:
listFiles (args)
返回
…
服务器正确避免发送文件到用户没有登录,没有自己的文件。然而,服务器将不正确列出任何目录中的文件没有确认命令来自经过身份验证的用户,而用户是否被授权查看目录的内容。
这是一个固定的版本上面的例子:
def dispatchCommand(命令、用户参数):
…
如果命令= =“List_files”:
如果身份验证(用户)和ownsDirectory(用户,args):
listFiles (args)
返回
观察到的例子
| 参考 |
描述 |
|
|
绕过访问/计费限制通过发送流量限制的无限制的目的地之前发送的目的地。 |
|
|
攻击者可以访问受限页面的部分取消的对话框。 |
|
|
问题跟踪系统不执行权限设置。 |
|
|
购物车不关闭数据库连接,当用户恢复先前的订单,导致连接的疲劳。 |
|
|
|
|
|
链:认证绕过跳过启动的第一步根据协议。 |
|
|
链:文件服务器崩溃时发出了一个“查找下一个”请求没有最初的“找。” |
|
|
FTP服务器允许远程攻击者绕过身份验证通过发送(1),(2)RETR,(3)的,或其他命令没有执行所需的登录步骤。 |
|
|
FTP服务器允许远程攻击者任意目录列表作为根用户登录前通过运行命令列表。 |
会员资格
这MemberOf关系表显示额外CWE类别和视图引用这个弱点作为成员。这些信息通常是有用的在理解一个弱点符合外部信息源的上下文中。
笔记
研究的差距
这个弱点通常是与业务逻辑缺陷,除非它产生合成的弱点。
业务逻辑缺陷的分类已超,尽管开发业务缺陷经常发生在实际系统中,和许多应用脆弱性研究人员调查。最大的焦点是web应用程序。这些问题有争论在社区内是否代表尤其是新概念,或者如果他们是众所周知的原则的变化。
许多业务逻辑缺陷似乎是面向业务流程、应用程序流,和序列的行为,是不像弱点CWE的优秀代表输入验证、内存管理等。
分类法映射
| 映射分类名称 |
节点ID |
适合 |
映射节点名 |
| WASC |
40 |
|
工艺验证不足 |
引用
|
描述
此表显示了弱点和高水平类别相关的这一弱点。这些关系被定义为ChildOf、ParentOf MemberOf,并洞察类似项目可能存在的在较高和较低的抽象级别。此外,关系如PeerOf和CanAlsoBe定义显示类似的弱点,用户可能想要探索。
相关视图”架构概念”(cwe - 1008)
