IDOR Vulnerability Testing

预期结果:

开始 IDOR 漏洞评估...

测试 1：递增/递减 ID
原始：GET /api/profile?id=1001 → 返回 user_1001 数据
修改：GET /api/profile?id=1000 → 返回 user_1000 数据

漏洞已确认：检测到横向权限提升。应用程序在返回数据前未验证所有权即返回其他用户的个人资料数据。

受影响的端点：
- /api/profile?id={id}
- /api/user/{id}

建议修复：在返回数据前实施服务器端所有权检查，比较 request.user.id 与请求的个人资料 id。

预期结果:

Burp Suite Intruder 配置：

1. 发送 GET /api/invoice/123 到 Intruder（Ctrl+I）
2. 在 URL 中的 '123' 位置设置 payload 位置
3. 攻击类型：Sniper
4. Payloads：
- 类型：Numbers
- 从：1
- 到：500
- 步长：1
5. 开始攻击

分析指南：
- 过滤 200 OK 状态码
- 检查响应内容是否有不同的发票数据
- 验证任何 200 响应是否属于其他用户
- 查找 403/404 模式以识别有效与无效 ID

风险：如果 200 响应返回其他用户的发票数据，这是暴露敏感财务信息的关键 IDOR 漏洞。

预期结果:

修复：地址更新 IDOR

当前易受攻击的代码：
def update_address(request, address_id):
address = Address.objects.get(id=address_id)
address.update(request.data) # 无所有权检查！

安全实现：

选项 1 - 所有权验证：
```python
def update_address(request, address_id):
address = get_object_or_404(Address, id=address_id)
if address.user_id != request.user.id:
return HttpResponseForbidden('Unauthorized')
address.update(request.data)
return JsonResponse({'status': 'success'})
```

选项 2 - 间接引用模式：
```python
def update_address(request):
# 始终按认证用户过滤
address = get_object_or_404(Address, user=request.user)
address.update(request.data)
return JsonResponse({'status': 'success'})
```

建议：使用选项 2（间接引用），因为它通过设计防止 IDOR，而不是依赖验证检查。