用途：hunt-idor 是一个针对 IDOR（不安全的直接对象引用）漏洞的猎取技能，资料称其基于 26 份公开漏洞赏金报告构建，用于对任意目标开展 IDOR 测试。
主要能力：整理高价值资产类型（财务单据/计费 API、私有仓库/源码、用户消息/私信、账户管理端点、组织管理、内容审核动作）与高赔付项目类型（多租户 SaaS、金融科技、社交平台、开发者工具）；给出攻击面信号（URL 模式如 /api/v1/users/{id}/、/invoices/download?id=、/graphql，JSON 响应头信号，JS 源码中拼接 ID 的写法，GraphQL、顺序整数 ID、多租户 org_id/account_id、移动端 API 等技术栈信号）。
使用方式：提供分步方法——遍历功能并抓包（Burp Suite）筛选含 id=、_id=、uuid= 的请求；枚举 ID 类型（顺序整数、UUID、哈希 ID）；创建两个同权限账号，用 B 账号会话重放 A 账号资源 ID，并测试 GET/POST/PUT/PATCH/DELETE 全部方法；测试跨租户/跨组织与 admin 管理端点；对 GraphQL 做 introspection（{ __schema { queryType { fields { name } } } }）并替换 id 参数测试 query 与 mutation；测试写/删除类破坏性操作；将多个 IDOR 串联；测试状态变更边界（过期令牌/邀请、竞态、?sort=id、?filter[user_id]=）。
检测载荷示例（保持原样）： curl -s -H "Cookie: session=USER_B_SESSION" https://target.com/api/v1/invoices/12345 curl -s -X POST https://target.com/graphql -H "Authorization: Bearer USER_B_TOKEN" -H "Content-Type: application/json" -d '{"query":"{ billingDocument(id: "USER_A_DOC_ID") { id amount pdfUrl } }"}' ffuf -u "https://target.com/api/v1/orders/FUZZ" -w ids.txt -H "Authorization: Bearer USER_B_TOKEN" -mc 200 -o idor_results.json
常见成因：ORM 查询缺少归属校验、仅路由级鉴权而非对象级、信任请求体中的客户端 ID、GraphQL resolver 无字段级授权、各 HTTP 方法鉴权不一致、通过关联对象暴露间接引用、竞态与状态型 IDOR、多租户隔离失败。
绕过思路：UUID 常在其它响应/邮件/webhook/JS 中泄露；哈希引用可解码或从其它响应找到原始 ID；令牌可能未绑定用户；限速可用慢速枚举或已知 ID 绕过；不同 API 版本鉴权逻辑不一致；IDOR 不依赖跨域；内部 ID 可能出现在 Location 头、错误信息或元数据；WAF 可用嵌套 JSON、参数污染 ?id=own_id&id=victim_id 或参数名变体绕过。
验证门槛：须回答攻击者当前能做什么、受害者具体损失（机密性/完整性/可用性）、能否 10 分钟内从零复现（两个新账号、确切请求、200 响应或状态变更），无法复现则不应提交报告。资料还给出三类真实影响示例（跨账号计费欺诈、私有仓库读取、消息 IDOR 升级为账户接管）。
限制：本资料定位为漏洞猎取技能，面向授权范围内的安全测试；具体适用平台、收费与合规要求暂未提供。分类：安全与审计。