Злоупотребление функциональными возможностями

• Отказ в обслуживании: атаки данного класса могут быть проведены не только на сетевом уровне (рассматривалась ранее), но и используя непосредственно функциональность приложения и направлены на исчерпание системных ресурсов, таких как оперативная память, дисковое пространство, вычислительные мощности. При этом может быть задействована любая подсистема приложения — подсистема аутентификации, СУБД и т. д.

• Недостаточное противодействие автоматизации: некоторые функции приложения, например, система регистрации учетных записей, должны быть защищены от автоматизированного использования. Автоматизированным способом можно генерировать тысячи запросов в минуту, что может отразиться на производительности приложения в целом. Недостаточное противодействие автоматизации — прекрасная возможность для организации атаки класса «отказ в обслуживании».

• Недостаточная проверка процесса: уязвимости этого класса возникают, когда приложение недостаточно проверяет последовательность выполнения бизнес-операций. Например, при покупке двух товаров в системе электронной торговли предусмотрено получение скидки. Предположим, что при ручной корректировке формы возможно удаление из заказа второй товар. Если при этом система не пересчитает цену первого, то товар будет приобретен со скидкой.