用途：系统化识别和利用 Web 应用中的不安全直接对象引用（IDOR）漏洞，覆盖数据库对象引用与静态文件引用，包含检测、利用与修复。
主要能力：识别 URL 参数、请求体、文件路径、GUID/UUID 等对象引用；通过增减 ID、使用受害者 ID、区间枚举、负值/大值、字符串 ID、GUID 篡改进行检测；结合 Burp Suite 手工拦截改包与 Intruder 自动枚举（Sniper、Battering Ram）；分析响应状态码判断潜在 IDOR；给出 Django 等服务端所有权校验与间接引用修复示例。
必要用法：准备目标 URL、至少两个测试账号（attacker/victim）、Burp Suite 或代理工具及书面授权。登录攻击者账号，捕获含对象 ID 的请求，用代理拦截修改 ID 为受害者 ID 后转发，观察响应；或发送到 Intruder，设置 ID 为 payload 位置，用 Numbers 1-10000 枚举，按 200 状态筛选。
适用场景：API 端点、文件下载、查询参数中用户/订单/发票/消息/地址等 ID 的越权测试，含水平越权与向垂直越权升级。
限制：需至少两个有效账号；部分应用使用会话绑定令牌；GUID/UUID 较难枚举；可能有速率限制；盲 IDOR、异步与 WebSocket 场景难检测；仅限明确授权测试，不得访问、修改或外传真实用户数据，需通过正规渠道报告。