OWASP十大业务逻辑滥用：您需要了解的内容
过去几年，API安全已从一个相对小众的关注点演变为一个头条问题。一系列引人注目的数据泄露事件以及PCI DSS 4.0等合规性要求，让安全团队清醒地认识到，API是他们数据、基础设施和收入流的门户。
OWASP近期发布了其首个《业务逻辑滥用十大清单》，这清楚地表明行业正在认真对待API安全及其所有细微差别。正如Wallarm首席执行官、该项目的主要贡献者Ivan Novikov所言：
“对于社区而言，围绕业务逻辑攻击建立一种共同语言至关重要。这类攻击超越了特定的软件堆栈或技术。它们不符合现有的分类法，但攻击者如今正在积极利用它们。”
在本文中，我们将探讨OWASP业务逻辑滥用十大风险清单，说明其重要性，并且至关重要的是，在涉及业务逻辑滥用和API时，Wallarm如何提供帮助。
这份清单为何重要
业务逻辑滥用不是一个理论问题；它是全球所有行业和地区生产环境中的日常现实。更糟糕的是，这些漏洞很少留下与更传统的漏洞利用相关的明显痕迹。
现实世界的影响：RBI国际免下车餐厅事件
2025年9月，拥有汉堡王、Tim Hortons和Popeyes的Restaurant Brands International被发现其免下车运营存在多个API安全漏洞。攻击者可以在没有适当检查的情况下生成身份验证令牌、访问或窃听免下车音频，以及将权限从普通客户提升至管理员。
此场景映射到OWASP业务逻辑滥用十大类别中的多个：
- BLA6：缺失转换验证（MTV） – 初始注册端点未提供任何验证，以确保创建账户的个人是有效员工。
- BLA9：访问控制失效（BAC） — “createToken”端点允许任何用户无需身份验证即可请求令牌。
- BLA9：访问控制失效（BAC） — 从客户到管理员权限的提升显示了强制执行基于角色的权限方面的失败。
- BLA8：内部状态泄露（ISD） — 窃听实时音频以及个人信息的泄露构成了内部状态或数据的意外泄露。
- BLA10：影子功能滥用（SFA） – 一个开放的GraphQL端点既允许自省查询，又提供了一个绕过电子邮件验证的注册功能。
更广泛的领域：金融科技和电子商务
问题远不止于电信行业。金融科技和电子商务组织经常成为交易工作流滥用的受害者。例如，攻击者可能取消并重新发起支付，或发送多个并行请求以利用时间差和系统假设。这类滥用行为映射到多个OWASP类别，包括：
- BLA1：操作次数超限（ALO） — 滥用一次性或有限次数的操作，如优惠券、退款或重试。
- BLA2：并发工作流顺序绕过（CWOB） — 利用并行流程跳过强制性的工作流步骤。
- BLA7：资源配额违规（RQV） — 使系统的配额限制不堪重负，造成服务中断或获取优势。
传统安全的不足
与代码注入或配置错误不同，业务逻辑滥用在系统完全按设计（但非预期）运行时滋生。因此，这些威胁通常能够绕过Web应用防火墙（WAF）、扫描器或静态分析等传统安全工具，因为这些工具通常旨在检测已知的恶意代码模式或配置错误。
PCI DSS 4.0 的要求
随着PCI DSS 4.0要求6.2.4明确强制要求检测和防止逻辑滥用，安全团队不能再将其视为边缘案例。OWASP业务逻辑滥用十大清单为行业提供了一个关键框架，用于评估、确定优先级并防御这些日益普遍和复杂的威胁。
OWASP业务逻辑滥用十大（2025）
| 滥用类别 | 影响 |
|---|---|
| BLA1：操作次数超限（ALO） | 未同步的请求或重复操作绕过使用限制（例如，优惠券滥用、退款重放）。 |
| BLA2：并发工作流顺序绕过（CWOB） | 攻击者利用并发性跳过强制性的工作流步骤。 |
| BLA3：对象状态操纵（OSM） | 更改处于意外状态的对象以绕过业务规则（例如，先发货后付款）。 |
| BLA4：恶意逻辑循环（MLL） | 无限或递归循环耗尽资源或中断工作流。 |
| BLA5：凭证生命周期利用（ALE） | 滥用存活时间超出预期的令牌、会话或凭证。 |
| BLA6：缺失转换验证（MTV） | 工作流转换在没有所需验证的情况下进行（例如，绕过审批）。 |
| BLA7：资源配额违规（RQV） | 耗尽或利用系统资源配额导致服务降级。 |
| BLA8：内部状态泄露（ISD） | 系统行为无意中泄露敏感的内部状态。 |
| BLA9：访问控制失效（BAC） | 访问规则执行不充分导致未授权操作。 |
| BLA10：影子功能滥用（SFA） | 利用未记录或隐藏的、非供公众使用的功能。 |
Wallarm如何保护API免受业务逻辑滥用
业务逻辑缺陷非常微妙，传统工具难以检测。这就是为什么我们从头开始设计Wallarm，以在API中防御这些缺陷；不仅是在表面，而且在应用逻辑本身深处。
当攻击者利用工作流时，Wallarm能保持对API应如何运行的可见性，检测请求何时偏离正轨。例如，如果攻击者试图利用孤立令牌或操纵多步骤流程，我们的业务逻辑识别、行为基准和状态检查会在损害发生之前捕获不一致性。
此外，我们的模式验证对数据类型执行严格检查，阻止可能绕过松散逻辑的走私尝试。当出现逻辑循环、重放或并发缺陷时，我们的异常检测、令牌验证和速率限制协同工作，防止资源耗尽或金融滥用。
我们也理解，访问控制不仅仅是端点的问题，更是上下文的问题。Wallarm评估授权检查，验证状态转换，并确保在每次调用、跨所有API类型时，配额边界都得到遵守。缓解业务逻辑攻击需要的不仅仅是阻止一个请求或封锁一个IP地址。这些攻击发生在应用层，而Wallarm通过阻断发生该行为的API会话来缓解它们。
简而言之，OWASP十大类别中的每一项都映射到Wallarm平台中的一项保护能力。但更重要的是，我们的系统将逻辑视为您安全态势中一个活生生的、不断发展的层面；而不仅仅是一个检查清单项目。