用途：为 Web 应用提供系统化的 IDOR（不安全直接对象引用）漏洞识别与利用方法，覆盖数据库对象引用和静态文件引用两类场景，包含检测、利用与修复建议。
主要能力：区分数据库对象型与静态文件型 IDOR；通过 URL 参数、请求体、HTTP 方法切换等方式检测越权访问；使用 Burp Suite 手动拦截改包与 Intruder 枚举；提供状态码判读、常见易受影响参数清单与测试清单。
使用方式：准备目标 URL、至少两个测试账号（attacker 与 victim）、Burp Suite 等代理工具及书面授权。先创建多账号并识别对象引用（数字 ID、GUID/UUID、文件路径），再捕获请求，将 id 等参数改为受害者 ID 转发，观察是否返回他人数据；可用 Intruder Sniper 或 Battering Ram，将参数设为 payload 位置，类型 Numbers、范围 1–10000、步长 1，分析 200 响应。
适用场景：API 端点、文件下载、查询参数中涉及 userId、orderId、documentId、filename 等引用的越权测试，以及横向与纵向权限提升验证。
限制：需至少两个有效账号；部分应用使用会话绑定令牌或 GUID/UUID，枚举更难；可能存在速率限制；盲 IDOR 或异步、WebSocket 场景难以验证；仅限获得明确书面授权的目标，测试中不得访问、修改或外泄真实用户数据。