idor-testing

Skill do profesjonalnego testowania i wykrywania luk IDOR (Insecure Direct Object Reference) w aplikacjach webowych. IDOR to podatność dostępu kontrolnego, która pojawia się gdy aplikacja używa przewidywalnych identyfikatorów do dostępu do zasobów bez weryfikacji uprawnień użytkownika. Narzędzie obejmuje metodologię identyfikacji podatnych parametrów (ID użytkownika, ID pliku, ID zamówienia), techniki enumeracji sekwencyjnych i UUID, testy uprawnień poziomych i pionowych, oraz metody obejścia takie jak kodowanie Base64 i mieszanie nazw parametrów. Zawiera praktyczne przykłady exploitacji: wyciek danych użytkownika, dostęp do cudzych plików, modyfikację danych oraz operacje zbiorowe.

1. Zainstaluj skill IDOR-testing z repozytorium CyberStrikeAI i zintegruj go ze swoim środowiskiem testowania bezpieczeństwa. 2. Zidentyfikuj w aplikacji docelowej miejsca, gdzie aplikacja bezpośrednio odwołuje się do zasobów na podstawie danych wejściowych użytkownika — szukaj parametrów w URL (np. /user?id=123), danych POST, ciasteczek lub nagłówków HTTP zawierających identyfikatory takie jak ID użytkownika, ID pliku, ID zamówienia czy ID dokumentu. 3. Przeprowadź testy enumeracji: dla parametrów z sekwencyjnymi ID spróbuj zmienić wartość (id=1, id=2, id=3 itd.), a dla UUID testuj warianty numeryczne. Obserwuj odpowiedzi aplikacji — zwrócone dane wskazują na podatność. 4. Wykonaj testy uprawnień poziomych, próbując dostać się do zasobów innych użytkowników (np. zmień ID z 100 na 101, 102), oraz testy uprawnień pionowych, gdzie zwykły użytkownik próbuje dostać się do zasobów administracyjnych (/admin/users, /admin/settings). 5. Jeśli aplikacja zwraca błędy lub brak dostępu, spróbuj technik obejścia: koduj ID w Base64, testuj różne nazwy parametrów (id, uid, user_id), lub łącz z directory traversal (../admin/config.php). 6. Udokumentuj wszystkie znalezione podatności, ich lokalizacje i potencjalny wpływ na bezpieczeństwo — dane użytkownika, dostęp do plików, możliwość modyfikacji cudzych danych.