Web 攻防之业务安全：接口调用重放测试.
业务安全是指保护业务系统免受安全威胁的措施或手段。广义的业务安全应包括业务运行的软硬件平台（操作系统、数据库，中间件等）、业务系统自身（软件或设备）、业务所提供的服务安全；狭义的业务安全指业务系统自有的软件与服务的安全。
目录：
第二步：使用 Burp Suite 工具对生成订单的数据包进行重放测试。
免责声明：
严禁利用本文章中所提到的技术进行非法攻击，否则后果自负，上传者不承担任何责任。
验证码绕过测试：
测试原理和方法：
在短信，邮件调用业务或生成业务数据环节中，如短信验证码，邮件验证码，订单生成，评论提交等，对业务环节进行调用重放测试，如果业务经过调用重放后多次生成有效的业务或数据结果可判断为存在接口调用重放问题。
测试过程：
在进行接口调用重放测试时，攻击者以普通用户的区别在于他通过工具 Burp Suite 抓包，抓取订单请求，然后在短时间内通过 Burp Suite 工具的 Repeater（重放器） 请求进行多次重放，服务器则会根据请求的在短时间内执行多个有效操作。
第一步：在购买车票提交订单环节抓取数据包.
第二步：使用 Burp Suite 工具对生成订单的数据包进行重放测试.（右击选择 DO intercept >> Response to this request ）
第三步：查看返回结果，订单在一分钟内重复生成.
修复建议：
（1）对生成订单环节采用验证码机制，防止生成数据业务被恶意调用。
（2）每一个订单使用唯一的Token，订单提交一次后，Token失效。
学习的书籍：Web 攻防之业务安全实战指南.