该技能用于 Web 应用业务逻辑漏洞的检测与利用，核心判断是服务端未正确校验业务规则，攻击者可通过修改请求参数违反预期业务流程。此类问题 WAF 与自动化扫描器难以发现，因为请求本身看起来正常。
适用场景：目标存在支付/交易/订单/优惠券/积分/余额/充值/转账/购物车等商业功能，或存在注册/登录/短信验证码/邮箱验证/密码重置等账户功能时使用。
攻击面识别：先梳理所有涉及状态变化或价值转移的操作，包括支付购买（price/amount/total）、优惠券促销（coupon/promo/discount）、积分余额（points/balance/credits）、订单流程（order_id/status/step）、短信邮箱验证（phone/email/code）、密码重置（token/code/user_id）、用户注册（role/type/is_admin）、文件资源操作（file_id/doc_id）。
主要能力：一是支付与交易测试，如金额与数量篡改（0、负数、极大值、小数精度）、订单状态跳转与回退、支付回调签名与重放检查；二是优惠券与积分测试，如复用、枚举、叠加、负折扣、负数转账及并发竞争；三是验证码与认证测试，如短信轰炸、验证码爆破复用泄露、参数污染、任意用户密码重置、Host 头注入、账户锁定绕过；四是流程跳过，包括多步骤操作跳过验证、前端校验绕过。
使用方式以手动抓包修改请求参数为主，将价格、数量、状态、ID、验证码等字段替换为异常值逐一验证。通用清单建议对全部价格金额、数量、状态、ID、验证码、优惠券、多步骤操作及并发请求进行测试。文中部分内容涉及与其他技能配合，如越权访问、竞争条件、权限提升等。
限制：资料未提供具体工具依赖、安装命令、执行脚本与平台环境要求；实际测试需获得合法授权。