Try Hack Box
ا🔎 IDOR را با عوض کردن ID اشتباه نگیرید
خیلی ها وقتی یک Endpoint مثل این میبینند:
GET /api/users/123
اولین کاری که میکنند این است:
GET /api/users/124
اگر جواب گرفتند، می گویند IDOR پیدا شد.
اما تست حرفه ای کمی متفاوت است.
اول باید بفهمی این Endpoint چه Objectی را کنترل میکند و Authorization دقیقاً کجا اعمال میشود.
یک روش ساده:
با Account A یک Object بساز.
همان Object را با Account B درخواست کن.
ببین Server فقط Authentication را بررسی میکند یا واقعاً Ownership را هم بررسی میکند.
بعد سراغ تغییر Identifier برو.
چون سؤال اصلی این نیست:
«آیا میتوانم ID را تغییر بدهم؟»
سؤال اصلی این است:
«آیا Server قبل از دسترسی به Object، بررسی میکند این Object واقعاً متعلق به من است؟»
اگر پاسخ دوم «نه» باشد، مشکل فقط یک ID قابل‌حدس نیست؛ یک Authorization Failure است.
@TryHackBox
#تست_نفوذ #امنیت_وب #امنیت_سایبری
27 · 1.6K ·