L'intégrité du flux interroge la cohérence de l'histoire d'un workflow avant d'analyser les races ou l'altération de valeurs numériques. Le planificateur la divise en séquencement (ordre, approbations, annulations) et alignement de l'état (ce que croient respectivement l'interface, la ligne en base de données et la session).
Sous-thèmes#
- Séquencement : saut d'étape, accès hors ordre, contournement d'approbation, omission de paramètre, renouvellement de droits, workflows d'annulation.
- Alignement de l'état : interface vs enregistrement vs points de contrôle de session.
- Effets parallèles : races, double dépense, rejeu de callback (nœud frère sous workflow).
Frontières de confiance pour les paramètres numériques et métier : Frontières de confiance.
Outils#
- Burp Suite (Repeater) : rejouer et réordonner les étapes de workflow capturées pour sonder le séquencement et l'alignement de l'état.
- Tests manuels avec Burp Repeater et payloads sur mesure.
Références#
- PortSwigger Web Security Academy: Business logic vulnerabilities
- OWASP WSTG: Testing for Business Logic