IDOR

IDOR（Insecure Direct Object References、安全でない直接オブジェクト参照）は、所有権チェックの欠如により、予測可能な ID 経由で権限のないオブジェクトにアクセスできる脆弱性である。

目的

認可チェックのない予測可能なオブジェクト ID が引き起こす不正アクセスと防御を理解する。API でよくある脆弱性である。

メカニズム

/api/orders/123 のような API がオブジェクト ID を直接使い、所有権チェックを行わない。攻撃者は ID を列挙して他ユーザーの注文にアクセスする。防御：セッションに基づく所有権チェック、予測不能な ID（UUID）、間接参照。

ユースケース

API 権限昇格の防御
オブジェクト認可の監査
IDOR の脆弱性

関連ツール

HTTP ステータスコードリファレンス

Reference table of common HTTP status codes (1xx-5xx) with names, categories, and descriptions。無料、プライベート、100%クライアントサイド。

URL パーサー

Parse a URL into its components: protocol, host, path, query, hash, port, username, and password。無料、プライベート、100%クライアントサイド。

References