0×1登錄功能 2
0×2找回密碼功能 3
0×3註冊功能 4
0×4支付功能 4
0×5賬戶功能 5
0×6個人中心 5
0×7 評論功能 6
0×8 上傳功能 7
0×9 訂單功能 7
0×10 收穫地址功能 7
0×1登錄功能
1、賬號密碼能否爆破 即驗證碼是否有效
2、登錄權限是否能繞過
3、登錄賬號能否被枚舉
4、登錄賬號是否存在弱口令
5、驗證碼是否能被繞過 （圖形 短信 郵箱）
6、是否存在COOKIE/TOKEN未失效 大多數網站的cookie過期時間爲一天、一週或更長
7、賬號密碼或驗證碼是否存在xss
8、賬號密碼是否明文傳輸或加密傳輸 不同平臺可能會對數據進行自定義的加密（如銀行） 前端加密，可以通過js腳本反推
9、賬號密碼或驗證碼是否存在sql注入漏洞
0×2找回密碼功能
1、是否存在任意用戶密碼重置漏洞
2、用戶郵箱驗證是否能夠被劫持
3、是否存在郵箱炸彈漏洞
4、短信驗證碼是否能夠被繞過 抓包（返回包）、
5、密碼修改功能是否能被繞過
6、是否存在短信炸彈漏洞
7、驗證碼是否能被繞過
8、是否存在用戶名枚舉漏洞
9、用戶密碼找回問題是否能被繞過
10、是否存在xss
11、是否存在sql注入漏洞
0×3註冊功能
1、是否存在短信炸彈漏洞
2、是否存在xss漏洞 填寫信息時
3、是否存在sql注入漏洞 二次注入
4、短信驗證碼是否能被繞過
5、是否存在用戶名二次註冊漏洞
6、是否存在任意賬號註冊 特殊字符賬號
7、是否存在用戶名枚舉漏洞
8、是否存在用戶惡意註冊漏洞
9、是否存在郵箱炸彈漏洞
0×4支付功能
1、是否能夠篡改支付金額
2、是否能夠篡改支付商品
3、是否能夠修改商品訂單數量
4、是否能夠修改投資ID
5、是否存在敏感信息泄露
0×5賬戶功能
1、是否能夠篡改認證信息 服務器如何識別賬戶，更改其識別信息（如用戶名、id等）
2、是否能盜取金額
3、是否能夠篡改充值賬戶
4、是否能夠修改綁定信息
5、是否能夠繞過賬戶權限
6、是否能夠修改提現賬戶
0×6個人中心
1、是否能夠越權修改他人密碼
2、是否能夠越權查看他人資料
3、是否能夠越權更改他人資料
4、是否能夠越權刪除他人資料
5、是否存在儲存型xss漏洞
6、是否存在sql注入漏洞
7、是否存在上傳漏洞
8、是否存在csrf漏洞
9、是否存在資料僞造
個人中心頭像
圖片是以url保存的可能存在url跳轉漏洞
Xss漏洞 文件上傳漏洞
任意URL跳轉高危 可以仿站（網上有很多扒站工具）監聽重要信息加以利用
SSRF (服務器端請求僞造攻擊)
0×7 評論功能
1、是否存在儲存型xss漏洞
2、是否存在csrf漏洞
3、是否能夠越權發佈評論
4、是否能夠越權刪除評論
5、是否能夠越權審覈評論
6、是否能夠無限制刷取評論
評論區也可能有上傳圖片的地方可以進行xss或者文件上傳
還可能會出現打分狀況可以進行惡意刷分
0×8 上傳功能
1、是否存在敏感信息泄露漏洞
2、是否存在xss漏洞
3、是否存在任意文件上傳漏洞
4、是否存在路徑泄露
0×9 訂單功能
1、是否存在越權取消訂單
2、是否存在越權查看訂單
3、是否存在訂單信息泄露漏洞
4、是否存在sql注入漏洞
5、是否存在xss漏洞
0×10 收貨地址功能
1、是否存在越權修改他人收穫地址漏洞
2、是否存在越權查看他人收穫地址漏洞
3、是否存在越權查看他人收穫地址漏洞
4、是否存在xss漏洞