عيوب منطق الأعمال Business Logic

عيب منطق الأعمال خلل فيما يسمح للتطبيق بفعله لا في طريقة تحليله للمدخل الحمولة بيانات عادية صحيحة سعر أو رمز خصم أو كمية تستخدم بطريقة لم يقصدها المصمم أدوات الفحص نادرا ما تجدها لأن لا شيء مشوه فقط من يفهم سير العمل يلاحظ أن خطوة يمكن تخطيها أو تكرارها أو إعادة ترتيبها لمصلحته

ما هي الثغرة؟

ثلاث صور كلاسيكية كلها في اللابات

• الثقة بحالة من العميل في قرار الشراء يقبل السعر من الطلب عدله وادفع ريشة واحدة
• غياب فرادة العملية قسيمة ترحيب لمرة واحدة لا تعلم كمستخدمة فاستخدامها عشر مرات يضيف رصيدا عشر مرات
• تجميع بلا حد نسب الخصم تجمع بلا سقف فتكديسها فوق مئة بالمئة يجعل الإجمالي سالبا

لماذا تحدث؟

الكود يعمل تماما في المسار الأمين الذي اختبره المبرمج والعيب في المسارات التي لم يختبرها إعادة إرسال نفس الطلب وتغيير قيمة تعاملها الواجهة كثابتة ودمج ميزات لم تصمم لتجتمع لا يوجد حقن لتصفيته فالبيانات صحيحة

كيف تتوقف؟

افرض القواعد في الخادم حيث لا يصل المهاجم ابحث عن الأسعار ولا تقبلها واجعل العمليات لمرة واحدة تستهلك رمزا ذريا وضع سقفا للخصم وامنع التكديس ولا تدع الإجمالي ينزل تحت الصفر فكر عدائيا في كل سير عمل ماذا لو تكررت الخطوة أو جاءت بترتيب مختلف أو بقيمة لا ترسلها الواجهة أبدا

اللابات الثلاثة أدناه هي هذه الصور بالضبط العبث بالسعر وإعادة استخدام القسيمة وتكديس الخصومات حتى الصفر