用途：为 Web 应用提供识别与利用 IDOR（不安全的直接对象引用）漏洞的系统化方法，覆盖数据库对象引用与静态文件引用两类场景，包含检测、利用与修复建议。
主要能力：识别 URL 参数、请求体、文件路径、GUID/UUID 等对象引用；通过增删 ID、替换为受害者 ID、枚举范围、负值/大值、字符串 ID 变形等方式检测越权；使用 Burp Suite 手动拦截改包，或用 Intruder 的 Sniper、Battering Ram 攻击类型自动枚举；分析 200/403/404/401/500 等状态码判断结果；覆盖 API 端点、文件下载、查询参数等常见位置；并给出服务端所有权校验、间接引用、按当前用户过滤等修复示例。
使用方式：需准备目标应用 URL、至少两个测试账号（attacker 与 victim）、Burp Suite 或代理工具、书面授权，并理解应用的对象引用方式。典型流程为：创建多账号、捕获含 ID 的请求、修改 ID 或请求体、切换 HTTP 方法、用 Intruder 枚举并分析响应。
适用场景：授权范围内的 Web 应用渗透测试、越权访问审计、水平与垂直权限提升验证。
限制：需至少两个有效账号；部分应用使用会话绑定令牌或 UUID，枚举难度更高；速率限制可能阻碍枚举；盲 IDOR、异步操作及 WebSocket 中的 IDOR 较难确认；必须仅在获得明确授权时测试，不得访问、修改或外泄真实用户数据，并通过正规渠道披露。资料未提供具体收费、平台或效果信息。