IDOR
Las referencias directas inseguras a objetos (IDOR) permiten a los usuarios acceder a objetos sin derecho mediante IDs predecibles, por la falta de comprobaciones de propiedad.
Propósito
Entender el acceso no autorizado causado por IDs de objeto predecibles sin comprobaciones de autorización y sus defensas; una vulnerabilidad común de API.
Mecanismo
Una API como /api/orders/123 usa el ID de objeto directamente sin comprobar la propiedad; los atacantes enumeran IDs para acceder a pedidos de otros usuarios. Defensas: comprobaciones de propiedad por sesión, IDs impredecibles (UUID), referencias indirectas.
Casos de uso
- Defensa contra escalada de privilegios en API
- Auditoría de autorización de objetos
- Vulnerabilidad IDOR
Herramientas relacionadas
Referencia de códigos de estado HTTP
Reference table of common HTTP status codes (1xx-5xx) with names, categories, and descriptions. Gratis, privado y 100% del lado del cliente. HERRAMIENTA
Analizador de URL
Parse a URL into its components: protocol, host, path, query, hash, port, username, and password. Gratis, privado y 100% del lado del cliente. HERRAMIENTA