IDOR对象授权

要解决的问题

当 Web 应用直接用对象 ID 引用资源（例如 GET /api/orders/1024）时，一旦访问控制失效，就会暴露不安全的直接对象引用（IDOR）。攻击者只需递增 ID，就能横向遍历他人订单（水平越权），或用低权限账户调用管理端点（垂直越权）。这类问题在 API 场景中尤其普遍，而且常因为 GUID 可预测、通过哈希间接引用、或多个接口组合放大而难以察觉。对渗透测试和漏洞赏金来说，缺少系统化清单很容易漏掉边界案例。

技能的工作方式

该技能把 IDOR 测试方法固化为一份可执行的检查清单，按固定顺序推进，除非用户另有指定：

• 对象 ID 枚举：替换路径或查询参数中的 id、orderId、userId 等标识符，观察是否返回他人数据
• 水平 / 垂直越权：分别用同权账户和低权账户重放请求，对比响应差异
• GUID 可预测性：检查随机生成的对象标识是否可枚举或可推导
• 间接引用：测试通过哈希值间接引用对象时，服务端是否校验绑定关系
• 链式 IDOR：把多个 IDOR 串联起来，评估组合后的越权路径
• API 端点 IDOR：针对 REST 接口逐一核对对象级权限

技能会跟踪已完成的清单项，并基于发现建议下一步动作。触发条件包括 IDOR、mass assignment、broken access control、对象枚举、GUID 等关键词。

适用边界

它覆盖的是 IDOR 测试方法本身，不替代授权机制的实际修复，测试也应在获得授权的目标上进行。对于非对象引用型的越权（例如基于角色的功能级权限），仍需结合其他手段单独验证。