IDOR
Insecure Direct Object References (IDOR) lassen Nutzer über vorhersagbare IDs auf Objekte zugreifen, die ihnen nicht zustehen — mangels Eigentumsprüfungen.
Zweck
Den durch vorhersagbare Objekt-IDs ohne Autorisierungsprüfung verursachten unbefugten Zugriff und seine Abwehr verstehen; eine häufige API-Schwachstelle.
Mechanismus
Eine API wie /api/orders/123 nutzt die Objekt-ID direkt ohne Eigentumsprüfung; Angreifer enumerieren IDs, um auf Bestellungen anderer Nutzer zuzugreifen. Abwehr: sitzungsbasierte Eigentumsprüfungen, unvorhersagbare IDs (UUIDs), indirekte Referenzen.
Anwendungsfälle
- Abwehr von API-Privilegieneskalation
- Objektautorisierungs-Audit
- IDOR-Schwachstelle
Verwandte Tools
HTTP-Statuscodes-Referenz
Reference table of common HTTP status codes (1xx-5xx) with names, categories, and descriptions. Kostenlos, privat und 100% clientseitig. WERKZEUG
URL-Parser
Parse a URL into its components: protocol, host, path, query, hash, port, username, and password. Kostenlos, privat und 100% clientseitig. WERKZEUG