IDOR 对象引用越权测试

要解决什么问题

IDOR（Insecure Direct Object Reference，不安全直接对象引用）是访问控制失效的典型形态：应用在返回或处理对象引用时没有校验当前用户是否有权访问该对象。攻击者只需把请求里的 id、user_id 或 GUID 换成别人的值，就能读到他人资料、篡改他人订单。这类漏洞常隐藏在导出接口、邮件通知、历史 API 版本和移动端 deep link 里，靠肉眼翻代码很难找全。

这个技能如何工作

技能把 IDOR 测试整理成一份可执行清单：

• 账户准备：为每个角色建两套账号（攻击者与受害者），先记录正常访问行为作为基线
• 对象枚举：从 URL、请求体、Cookie、JWT claim 中找出所有资源标识符，再做增、删、改参数的尝试
• 横向/纵向测试：替换 ID、补上缺失的 user_id、把 GUID 换成顺序 ID，按基线逐条比对响应
• 盲打检测：通过响应时间、包大小、OOB 回调和缓存头（ETag、Last-Modified）寻找侧信道
• 绕过技巧：解码哈希/编码 ID、切换 HTTP 方法、参数污染、路径规范化、请求走私、Mass Assignment
• 批量验证：用 Burp 对数字 ID 做区间遍历，配合 Grep Match 规则定位越权成功的响应

适用边界与注意点

• 只覆盖 IDOR 与访问控制测试，不涉及 XSS、SQLi 等其他漏洞类别
• 改他人订单这类破坏性操作应在授权环境或专用测试账号上进行
• ID 是否可枚举、服务端是否真正校验，仍需结合目标实际行为判断；清单提供的是探测路径，不是结论