IDOR 对象级越权攻防手册

要解决的具体问题

应用安全测试中，IDOR 这类缺陷常因视角过浅被遗漏。传统方法往往只盯着 URL 参数，却忽视了 请求体字段、隐藏表单、客户端状态 等潜在攻击面；同时 BOLA（对象级授权缺陷） 与 BFLA（函数级授权缺陷） 的区分常被混淆，导致无法准确评估影响；此外，把单个越权点串联成更高影响链条的逻辑，也因缺乏系统方法而被忽略。

技能如何工作

核心能力包括：

• 攻击面覆盖：不仅限于 URL 路径参数，还延伸至 REST 端点、文件接口、JSON 数据字段等隐蔽位置
• 方法论输出：通过 A/B 测试对比正常与异常请求的权限差异，给出 BOLA 与 BFLA 的判定标准
• 影响扩展：指导如何将单个 IDOR 漏洞串联为跨用户数据泄露、权限提升等更高风险场景

关键步骤：

1. 识别目标对象的唯一标识符及其存储位置（URL、请求体、客户端存储）
2. 构造跨用户请求替换 userId、orderId 等标识，验证对象访问权限
3. 通过 A/B 测试对比不同角色的请求权限差异
4. 评估漏洞串联可能性，例如结合 XSS、CSRF 扩大影响

适用边界与注意点

• 该技能聚焦应用层授权逻辑，不涉及网络层 ACL 或存储层权限的测试
• 测试过程需严格使用合法用户凭证，避免使用未授权的测试账号
• 微服务架构下需额外关注服务间授权的传递性
• 技能提供的攻击向量清单需结合具体业务场景筛选，不可直接照搬