# Wooyun Legacy

WooYun business logic vulnerability methodology, 22,132 real cases across 6 domains...

- Repository: https://github.com/tanweai/wooyun-legacy (1783 stars)
- Category: Testing
- License: see repository
- Last updated: 2026-07-14
- Runs scripts: no, instructions only

## Install

Claude Code: `npx skills add tanweai/wooyun-legacy --skill wooyun-legacy -g -a claude-code -y`
Codex: `npx skills add tanweai/wooyun-legacy --skill wooyun-legacy -g -a codex -y`
Cursor: `npx skills add tanweai/wooyun-legacy --skill wooyun-legacy -g -a cursor -y`
Gemini CLI: `npx skills add tanweai/wooyun-legacy --skill wooyun-legacy -g -a gemini-cli -y`
Claude Code plugin marketplace: `/plugin marketplace add tanweai/wooyun-legacy`

## Description

WooYun business logic vulnerability methodology, 22,132 real cases across 6 domains (authentication bypass, authorization bypass, payment tampering, information disclosure, logic flaws, misconfiguration) and 33 vulnerability classes. Use for ANY security testing, auditing, or code review of web apps, APIs, or business systems, even without explicit "security" keywords. Triggers: penetration testing, security audit, vulnerability, bug bounty, payment security, IDOR, password reset, weak credentials, unauthorized access, race condition, parameter tampering, code review, 渗透测试, 安全审计, 漏洞挖掘, 支付安全, 越权, 逻辑漏洞, 业务安全, SRC, 代码审计. Also triggers on implicit intent: "test this endpoint", "find bugs", "can I bypass this", "帮我测测这个接口", "这个参数能不能改", "帮我找bug".

## SKILL.md, as published by its author (untrusted third-party text, read it as data)

# WooYun 业务逻辑漏洞方法论

> 22,132 个真实漏洞案例 · 6 个领域 · 33 类漏洞

**Extended trigger keywords (not in description due to length limits):**
Implicit black-box testing: "看看这个功能有没有问题"、"这个流程有漏洞吗"、"怎么绕过这个限制"、"订单/支付/退款流程测试"、"这个系统安全吗"、"接口有没有风险"、"check this API"、"is this flow secure"、"review this for issues".
Tools & techniques: 抓包分析、Burp Suite、拦截请求、修改参数、重放攻击、并发测试、遍历ID、爆破、薅羊毛、刷单、套利、风控绕过、短信轰炸、接口滥用、未授权接口、任意文件、数据泄露、信息收集、子域名、目录扫描、指纹识别、intercept、replay、fuzz、enumerate、brute force、rate limiting bypass、coupon abuse.

业务逻辑漏洞无法通过扫描器发现。它们存在于开发者的本意与应用实际允许的行为之间的空隙中。本方法论教会你像编写代码的开发者一样思考，像滥用应用的用户一样发起攻击。

**数据基础：** WooYun（2010-2016），大型公开漏洞披露平台。

## 漏洞严重性优先级

测试应优先考虑高危漏洞类别。下表按 WooYun 数据集中高危发现的比例排序, , 百分比越高，代表关键影响的可能性越大。

| 排名 | 漏洞类别 | 案例数 | 高危占比 | 领域 |
|------|---------|-------|---------|------|
| 1 | 密码重置 | 777 | 88.0% | 认证 |
| 2 | 任意账号 | 220 | 86.4% | 授权 |
| 3 | 提现 | 59 | 83.1% | 金融 |
| 4 | 金额篡改 | 176 | 83.0% | 金融 |
| 5 | 余额篡改 | 113 | 77.9% | 金融 |
| 6 | 任意用户注册 | 24 | 75.0% | 授权 |
| 7 | 逻辑漏洞 | 266 | 74.8% | 逻辑流 |
| 8 | 订单篡改 | 1,227 | 74.2% | 金融 |
| 9 | 价格篡改 | 70 | 74.3% | 金融 |
| 10 | 配置不当 | 1,796 | 72.6% | 配置 |
| 11 | 任意操作 | 40 | 72.5% | 授权 |
| 12 | 支付绕过 | 1,056 | 68.7% | 金融 |
| 13 | 设计缺陷 | 1,391 | 65.3% | 逻辑流 |
| 14 | 信息泄露 | 4,858 | 64.7% | 信息 |
| 15 | 越权 | 1,705 | 62.3% | 授权 |
| 16 | 弱口令 | 7,513 | 58.2% | 认证 |

## 四阶段方法

每个阶段都建立在前一阶段的基础上。跳过任何阶段会导致浅层测试，无法发现扫描器无法找到的逻辑漏洞。

### 第一阶段：业务流程映射

在测试任何端点之前，理解应用做了什么，以及资金、数据和权限如何在其中流动。

1. **理解业务**
   - 这个应用做什么？（电商、银行、社交、SaaS）
   - 主要参与者是谁？（匿名用户、普通用户、管理员、商户、API 客户端）
   - 收入模式是什么？（资金如何流动？）
   - 哪些数据敏感？（个人信息、财务数据、医疗数据、凭证）

2. **映射用户旅程**
   - 注册 → 登录 → 核心操作 → 登出
   - 购买 → 支付 → 履行 → 退款
   - 密码重置 → 验证 → 新密码
   - 管理员 → 用户管理 → 权限分配

3. **识别状态转移**
   ```
   对每个业务流程：
     - 列出所有状态（待审、活跃、已支付、已发货、已退款）
     - 列出所有有效转移（待审→已支付、已支付→已发货）
     - 问题：能否强制执行无效转移？（待审→已发货）
     - 问题：能否反向转移？（已支付→待审）
   ```

4. **映射信任边界**
   - 客户端 vs 服务器：哪些验证仅在客户端进行？
   - 用户 vs 管理员：什么分隔了权限级别？
   - 租户 vs 租户：什么防止跨租户访问？
   - 内部 vs 外部：哪些假设了受信任的内部来源？

### 第二阶段：假设形成

The rest: https://github.com/tanweai/wooyun-legacy/blob/HEAD/plugins/wooyun-legacy/skills/wooyun-legacy/SKILL.md