IDOR 越权测试清单

要解决的安全问题

对象级越权（IDOR）常出现在直接用 id 或 uuid 作为接口参数的场景。攻击者只要遍历 ID，就能读取、覆盖甚至修改不属于自己的对象，而页面往往看起来一切正常。

技能如何工作

• 核心能力：提供一套可执行的 IDOR 测试清单，覆盖对象 ID 枚举、水平与垂直越权、GUID 可预测性、哈希间接引用、链式越权以及 API 端点 IDOR。
• 关键步骤：

1. 加载完整方法论并作为操作检查清单。
2. 除非用户另行指定，否则按顺序执行。
3. 对每种技术评估其在当前目标/上下文中的适用性。
4. 跟踪已完成的检查项。
5. 根据发现建议后续步骤。

适用边界与注意点

• 仅用于已获授权的 Web 应用渗透测试与漏洞赏金项目。
• 不能替代完整的访问控制审计或业务逻辑评审。
• 对非对象型授权模型（如 RBAC 纯角色判断）需结合其他方法验证。