不安全的直接对象引用

不安全的直接对象引用

不安全的直接对象引用（IDOR）是一种安全漏洞，当应用程序允许用户根据用户提供的输入直接访问或修改对象（如文件、数据库记录或 URL），而没有足够的访问控制时，就会发生这种漏洞。这意味着，如果用户在 URL 或 API 请求中更改参数值（如 ID），他们可能会访问或操作本不应查看或修改的数据。

摘要

• 工具
• 方法论
  • 数值参数
  • 常见标识符参数
  • 弱伪随机数生成器
  • 哈希参数
  • 通配符参数
  • IDOR 技巧
• 实验
• 参考文献

工具

• PortSwigger/BApp Store > Authz
• PortSwigger/BApp Store > AuthMatrix
• PortSwigger/BApp Store > Autorize

方法论

IDOR 代表“不安全的直接对象引用”。这是一种安全漏洞类型，当应用程序根据用户提供的输入直接提供对对象的访问权限时就会出现。因此，攻击者可以绕过授权，直接访问系统中的资源，从而可能导致未经授权的信息泄露、修改或删除。

IDOR 示例：

假设有一个 Web 应用程序，允许用户通过单击链接 https://example.com/profile?user_id=123 查看自己的个人资料：

<?php
    $user_id = $_GET['user_id'];
    $user_info = get_user_info($user_id);
    ...
​

在这里，user_id=123 is a direct reference to a specific user's profile. If the application doesn't properly check that the logged-in user has the right to view the profile associated with user_id=123, an attacker could simply change the user_id 参数可用于查看其他用户的个人资料：

https://example.com/profile?user_id=124
​

数值参数

通过递增和递减这些数值来访问敏感信息。

• 十进制值：287789, 287790, 287791, ...
• Hexadecimal: 0x4642d, 0x4642e, 0x4642f, ...
• Unix epoch timestamp: 1695574808, 1695575098, ...

Examples:

• HackerOne - IDOR to view User Order Information - meals
• HackerOne - Delete messages via IDOR - naaash

Common Identifiers Parameter

Some identifiers can be guessed like names and emails, they might grant you access to customer data.

• Name: john, doe, john.doe, ...
• Email: john.doe@mail.com
• Base64 encoded value: am9obi5kb2VAbWFpbC5jb20=

Examples:

• HackerOne - Insecure Direct Object Reference (IDOR) - Delete Campaigns - datph4m

Weak Pseudo Random Number Generator

• UUID/GUID v1 can be predicted if you know the time they were created: 95f6e264-bb00-11ec-8833-00155d01ef00
• MongoDB Object Ids are generated in a predictable manner: 5ae9b90a2c144b9def01ec37
  • a 4-byte value representing the seconds since the Unix epoch
  • a 3-byte machine identifier
  • a 2-byte process id
  • a 3-byte counter, starting with a random value

Examples:

• HackerOne - IDOR allowing to read another user's token on the Social Media Ads service - a_d_a_m
• IDOR through MongoDB Object IDs Prediction

Hashed Parameter

Sometimes we see websites using hashed values to generate a random user id or token, like sha1(username), md5(email), ...

• MD5: 098f6bcd4621d373cade4e832627b4f6
• SHA1: a94a8fe5ccb19ba61c4c0873d391e987982fbbd3
• SHA2: 9f86d081884c7d659a2feaa0c55ad015a3bf4f1b2b0b822cd15d6c15b0f00a08

Examples:

Wildcard Parameter

Send a wildcard (*, %, ., _) instead of an ID, some backend might respond with the data of all the users.

• GET /api/users/* HTTP/1.1
• GET /api/users/% HTTP/1.1
• GET /api/users/_ HTTP/1.1
• GET /api/users/. HTTP/1.1

IDOR Tips

• Change the HTTP request: POST → PUT
• Change the content type: XML → JSON
• Transform numerical values to arrays: {"id":19} → {"id":[19]}
• Use Parameter Pollution: user_id=hacker_id&user_id=victim_id

实验

• PortSwigger - 不安全的直接对象引用

参考文献

• 从区块链中的圣诞礼物到巨额漏洞赏金——杰西·拉克维尔德——2018 年 3 月 21 日
• 操作指南：寻找 IDOR（不安全的直接对象引用）漏洞以获取高额赏金——萨姆·豪顿——2017 年 11 月 9 日
• 为乐趣和利润而猎取不安全的直接对象引用漏洞（第 1 部分）——穆罕默德·阿卜杜勒·拉希姆——2018 年 2 月 2 日
• 不安全的直接对象引用预防备忘录——OWASP——2023 年 7 月 31 日
• 不安全的直接对象引用（IDOR）——PortSwigger——2019 年 12 月 25 日
• 测试 IDOR——PortSwigger——2024 年 10 月 29 日
• 测试不安全的直接对象引用（OTG-AUTHZ-004）——OWASP——2014 年 8 月 8 日
• IDOR 的兴起——HackerOne——2021 年 4 月 2 日
• Web 到 App 手机通知 IDOR——查看所有人 Airbnb 消息——布雷特·伯豪斯——2017 年 3 月 31 日

免责声明：
本文件由基于人工智能的机器翻译服务翻译而成。尽管我们力求翻译准确，但请注意，自动翻译可能包含错误或不准确之处。应以原始语言版本的文件为准。对于关键信息，建议使用专业的人工翻译。对于因使用本翻译而产生的任何误解或误读，我们概不负责。