API攻击认知：业务逻辑滥用——利用规则漏洞

随着网络安全意识月的持续，我们希望更深入地研究影响API的攻击方法。我们已经回顾了破碎对象级别认证（BOLA）、注入攻击和身份验证缺陷；本周我们将探讨业务逻辑滥用（BLA）。

与技术缺陷不同，业务逻辑缺陷利用API的设计行为方式。这些缺陷难以捕捉，因为没有安全控制监控"已批准"的行为，因此必须以更具创造性的方式捕捉。

这意味着没有异常检测的安全团队将面临艰巨任务。

本文将涵盖以下内容：

• 什么是业务逻辑滥用
• 实际中的API业务逻辑滥用如何运作
• 检测面临的挑战
• 使用Wallarm缓解API中的业务逻辑滥用

什么是业务逻辑滥用

业务逻辑滥用发生在攻击者滥用系统（此处指API）的预期功能，使其执行非设计功能时。这些是技术上可以执行的操作，但由于设计缺陷和疏忽而成为可能。

API中BLA的实例包括：

• 绕过工作流程步骤，如跳过支付页面
• 数据操纵，如更改网站上的商品价格
• 违反业务规则，如超出优惠券限制
• 利用身份验证间隙提升权限
• 通过利用未正确过期的会话进行会话劫持

此类例子不胜枚举。

实际中的API业务逻辑滥用如何运作

根据最新的Wallarm 2025年第二季度API威胁统计报告，BLA是导致上一季度API漏洞增加近10%的主要原因。在过去一年中，金融和零售API中的攻击显著增加。

正如Wallarm首席执行官Ivan Novikov所指出的：“攻击者不再只是扫描过时的库；他们正在利用API的行为方式，特别是那些支持AI系统和自动化的API。”

那么，在这些行业中，业务逻辑滥用是什么样子的？以下是一些真实世界的例子。

零售业中的API略读

今年，研究人员发现了对流行支付处理API Stripe的攻击。Stripe API略读活动是业务逻辑滥用的一个很好例证，攻击者利用了一个已弃用的API，该API原本用于合法的支付验证。他们不是利用编码缺陷，而是滥用API的预期逻辑来验证被盗卡片详情，将正常的业务流程变成了欺诈工具——突显了有效功能如何被恶意重新利用。

快餐连锁店中的API注册滥用

在汉堡王事件中，道德黑客滥用RBI的"开放注册"API和GraphQL变异来自行注册，绕过电子邮件验证，并将权限提升为管理员。然后他们访问了得来速音频、内部商店系统和员工数据——将合法的注册和角色管理逻辑变成了深度内部入侵的载体。

热门活动的API票务滥用

在FTC调查的另一起案件中，转售商滥用合法的购买API来超过许多热门活动（包括Taylor Swift的Eras Tour）的票务购买限制，并以显著更高的价格转售门票，产生了数百万的收入。他们使用虚假账户、虚拟卡片、代理和SIM盒绕过了保护措施（例如，每账户/信用卡限制、短信验证）。他们将Ticketmaster的预期控制变成了大规模收购和转售的工具，颠覆了本应执行公平性的业务逻辑。

检测面临的挑战

攻击者倾向于业务应用程序攻击，因为捕捉它们需要不寻常的知识和专业 expertise。

Wallarm安全策略师Tim Erlin解释说：“发现漏洞很重要，但检测正在发生的攻击也很重要。它们是同一枚硬币的两面，两者都需要对正常应用程序逻辑的理解。“正如他告诉TechNadu的那样，检测BLA需要对业务逻辑有深入的理解，而这并不是每个人都拥有的。

API BLA检测的另一个挑战是，API作为"内部工具"的地位使它们自动显得更安全。因此，在实践中它们受到的保护较少。Erlin说，安全团队需要认识到的是"内部工具通常可以通过外部或其他外部工具访问。”

这些挑战——缺乏业务逻辑专业知识和错误的安全感——导致了BLA最近在范围和成功上的上升。

使用Wallarm缓解API中的业务逻辑滥用

Wallarm通过关注传统安全工具经常失败逻辑层，为API提供高级保护。该平台结合了API发现、规范执行和AI驱动的行为分析，以理解API的设计操作方式，并检测它们何时偏离该意图。通过持续分析流量模式并强制执行逻辑一致性，Wallarm阻止攻击者利用工作流程、转换或过程规则中的弱点，这些弱点可能导致欺诈或数据操纵。例如：

• 行为异常检测——使用AI识别与正常API交互模式的偏差，阻止违反预期工作流程或参数逻辑的请求。这有助于在欺诈尝试和滥用传播到系统之前阻止它们。
• 流程顺序执行——确保API调用以正确顺序发生，防止攻击者绕过中间步骤或触发无序操作。这防御像过早交易完成或跳过身份验证步骤这样的逻辑滥用。
• 规范执行——根据批准的OpenAPI模式验证每个请求，确保参数、数据类型和端点符合预期设计。这阻止利用隐藏或已弃用功能的尝试。

Wallarm在业务流程和安全相交的地方提供保护。其运行时可见性、行为智能和精确规范验证的结合使安全团队能够检测和阻止针对工作流程设计而非代码漏洞的微妙滥用。通过Wallarm，组织可以确保其API按预期行为，保护收入和客户信任，并在基于逻辑的攻击造成损害之前预防它们。

保护支撑您收入的API。使用Wallarm防范新兴API威胁，包括OWASP业务逻辑滥用前十名。业务逻辑对每个API都是独特的，因此保护也必须适应。查看Wallarm的高级API安全，了解适应性端到端API防御的实际运作。