用途
该技能用于系统化地识别和利用 Web 应用中的不安全直接对象引用（IDOR）漏洞，覆盖数据库对象引用和静态文件引用两类场景，提供检测技术、利用流程与修复策略。
主要能力
- 识别 IDOR 漏洞类型：直接引用数据库对象（如通过 id 参数访问用户资料）和直接引用静态文件（如通过文件名或路径枚举下载收据）。
- 侦察与准备：创建攻击者与受害者两个测试账号，识别 URL、参数、请求体、文件路径、GUID/UUID 等对象引用，映射用户 ID 模式。
- 检测技术：URL 参数篡改、请求体篡改、HTTP 方法切换（GET/POST/PUT）。
- 利用工具：使用 Burp Suite 手动拦截修改请求，或通过 Intruder 进行自动化枚举（Sniper、Battering Ram 攻击类型）。
- 常见 IDOR 位置：API 端点、文件下载、查询参数。
- 快速参考：测试清单、响应状态码解读、常见易受攻击参数。
- 修复指导：实现正确的访问控制、使用间接引用、服务端验证。
使用方式
- 准备目标 Web 应用 URL、至少两个测试账号、Burp Suite 或代理工具、书面授权，并理解应用对象引用方式。
- 创建攻击者与受害者账号，捕获并分析包含数字 ID、文件路径、GUID/UUID 的请求。
- 通过修改 ID 参数、请求体或 HTTP 方法检测越权访问。
- 使用 Burp Suite 手动或 Intruder 自动化枚举验证漏洞。
- 记录漏洞报告、概念验证、受影响端点、影响评估和修复建议。
适用场景
- 授权渗透测试中检测水平/垂直越权。
- 验证 API 端点、文件下载、查询参数中的访问控制缺陷。
- 评估应用对用户资源隔离的有效性。
限制
- 需要至少两个有效用户账号进行验证。
- 部分应用使用会话绑定令牌而非 ID，GUID/UUID 更难枚举但并非不可能。
- 速率限制可能限制枚举尝试。
- 某些 IDOR 需要链式漏洞才能利用。
- 检测挑战包括水平与垂直权限提升、盲 IDOR、异步操作中的时间型 IDOR、WebSocket 通信中的 IDOR。
- 法律要求：仅测试明确授权的应用，记录所有测试活动，不得访问、修改或外泄真实用户数据，通过适当披露渠道报告发现。