idor-testing

IDOR不安全的直接对象引用测试的专业技能和方法论

1. Zainstaluj skill IDOR-testing z repozytorium CyberStrikeAI i zintegruj go ze swoim środowiskiem testowania bezpieczeństwa. 2. Zidentyfikuj w aplikacji docelowej miejsca, gdzie aplikacja bezpośrednio odwołuje się do zasobów na podstawie danych wejściowych użytkownika — szukaj parametrów w URL (np. /user?id=123), danych POST, ciasteczek lub nagłówków HTTP zawierających identyfikatory takie jak ID użytkownika, ID pliku, ID zamówienia czy ID dokumentu. 3. Przeprowadź testy enumeracji: dla parametrów z sekwencyjnymi ID spróbuj zmienić wartość (id=1, id=2, id=3 itd.), a dla UUID testuj warianty numeryczne. Obserwuj odpowiedzi aplikacji — zwrócone dane wskazują na podatność. 4. Wykonaj testy uprawnień poziomych, próbując dostać się do zasobów innych użytkowników (np. zmień ID z 100 na 101, 102), oraz testy uprawnień pionowych, gdzie zwykły użytkownik próbuje dostać się do zasobów administracyjnych (/admin/users, /admin/settings). 5. Jeśli aplikacja zwraca błędy lub brak dostępu, spróbuj technik obejścia: koduj ID w Base64, testuj różne nazwy parametrów (id, uid, user_id), lub łącz z directory traversal (../admin/config.php). 6. Udokumentuj wszystkie znalezione podatności, ich lokalizacje i potencjalny wpływ na bezpieczeństwo — dane użytkownika, dostęp do plików, możliwość modyfikacji cudzych danych.