IDOR Vulnerability Testing

预期结果:

Iniciando evaluación de vulnerabilidad IDOR...

Prueba 1: Incrementar/Decrementar ID
Original: GET /api/profile?id=1001 → Devuelve datos de user_1001
Modificado: GET /api/profile?id=1000 → Devuelve datos de user_1000

VULNERABILIDAD CONFIRMADA: Escalada horizontal de privilegios detectada. La aplicación devuelve datos de perfil de otros usuarios sin verificar propiedad.

Endpoints Afectados:
- /api/profile?id={id}
- /api/user/{id}

Solución Recomendada: Implementar verificación de propiedad del lado del servidor comparando request.user.id con el id del perfil solicitado antes de devolver datos.

预期结果:

Configuración de Burp Suite Intruder:

1. Enviar GET /api/invoice/123 a Intruder (Ctrl+I)
2. Establecer posición de payload en '123' en la URL
3. Tipo de Ataque: Sniper
4. Payloads:
- Tipo: Números
- Desde: 1
- Hasta: 500
- Paso: 1
5. Iniciar Ataque

Guía de Análisis:
- Filtrar por códigos de estado 200 OK
- Verificar contenido de respuesta para diferentes datos de factura
- Verificar si alguna respuesta 200 pertenece a otros usuarios
- Buscar patrones 403/404 para identificar IDs válidos vs inválidos

Riesgo: Si las respuestas 200 devuelven datos de factura de otros usuarios, esta es una vulnerabilidad IDOR crítica que expone información financiera sensible.

预期结果:

REMEDIACIÓN: IDOR de Actualización de Dirección

Código Vulnerable Actual:
def update_address(request, address_id):
address = Address.objects.get(id=address_id)
address.update(request.data) # ¡Sin verificación de propiedad!

Implementación Segura:

Opción 1 - Validación de Propiedad:
```python
def update_address(request, address_id):
address = get_object_or_404(Address, id=address_id)
if address.user_id != request.user.id:
return HttpResponseForbidden('Unauthorized')
address.update(request.data)
return JsonResponse({'status': 'success'})
```

Opción 2 - Patrón de Referencia Indirecta:
```python
def update_address(request):
# Siempre filtrar por usuario autenticado
address = get_object_or_404(Address, user=request.user)
address.update(request.data)
return JsonResponse({'status': 'success'})
```

Recomendación: Usar Opción 2 (referencias indirectas) ya que previene IDOR por diseño en lugar de depender de verificaciones de validación.