IDOR Vulnerability Testing

Résultat attendu:

Démarrage de l'évaluation de vulnérabilité IDOR...

Test 1 : Incrémenter/Décrémenter l'ID
Original : GET /api/profile?id=1001 → Retourne les données de user_1001
Modifié : GET /api/profile?id=1000 → Retourne les données de user_1000

VULNÉRABILITÉ CONFIRMÉE : Escalade de privilèges horizontale détectée. L'application retourne les données de profil d'autres utilisateurs sans vérifier la propriété.

Endpoints affectés :
- /api/profile?id={id}
- /api/user/{id}

Correction recommandée : Implémenter une vérification de propriété côté serveur comparant request.user.id avec l'id du profil demandé avant de retourner les données.

Résultat attendu:

Configuration de Burp Suite Intruder :

1. Envoyer GET /api/invoice/123 à Intruder (Ctrl+I)
2. Définir la position du payload sur '123' dans l'URL
3. Type d'attaque : Sniper
4. Payloads :
- Type : Numbers
- From : 1
- To : 500
- Step : 1
5. Démarrer l'attaque

Guide d'analyse :
- Filtrer pour les codes statut 200 OK
- Vérifier le contenu de la réponse pour différentes données de facture
- Vérifier si des réponses 200 appartiennent à d'autres utilisateurs
- Rechercher les motifs 403/404 pour identifier les IDs valides vs invalides

Risque : Si les réponses 200 retournent les données de facture d'autres utilisateurs, il s'agit d'une vulnérabilité IDOR critique exposant des informations financières sensibles.

Résultat attendu:

CORRECTION : Adresser l'IDOR de mise à jour

Code vulnérable actuel :
def update_address(request, address_id):
address = Address.objects.get(id=address_id)
address.update(request.data) # Aucune vérification de propriété !

Implémentation sécurisée :

Option 1 - Validation de propriété :
```python
def update_address(request, address_id):
address = get_object_or_404(Address, id=address_id)
if address.user_id != request.user.id:
return HttpResponseForbidden('Unauthorized')
address.update(request.data)
return JsonResponse({'status': 'success'})
```

Option 2 - Modèle de référence indirecte :
```python
def update_address(request):
# Toujours filtrer par utilisateur authentifié
address = get_object_or_404(Address, user=request.user)
address.update(request.data)
return JsonResponse({'status': 'success'})
```

Recommandation : Utiliser l'Option 2 (références indirectes) car elle prévient les IDOR par conception plutôt que de s'appuyer sur des vérifications de validation.