【网络安全】漏洞挖掘：IDOR实例

已于 2024-08-20 13:15:08 修改
阅读量1.8k 收藏 2
点赞数 2
CC 4.0 BY-SA版权
分类专栏： 网络安全新手快速入门(附漏洞挖掘案例) 文章标签： web安全 漏洞挖掘
于 2024-08-19 14:55:56 首次发布
原创文章，禁止转载，否则保留追究法律责任的权利。
本文链接：https://blog.youkuaiyun.com/2301_77485708/article/details/141325585

未经许可，不得转载。

文章目录

正文

img

某提交系统，可以选择打印或下载passport。

img

点击Documents > Download后，应用程序将执行 HTTP GET 请求：

/production/api/v1/attachment?id=4550381&enamemId=123888

id为文件id，enameID为用户身份id。

更改id为4550380，发现能够未授权下载他人passport，因此，遍历即可访问500,000本passport。

原文出处：
https://offsec01.medium.com/how-i-prevented-a-data-breach-by-reporting-an-idor-in-a-system-exposing-over-500-000-us-passports-bc6bec99aa3d

【网络安全 | 渗透测试】GraphQL精讲二：发现API漏洞
等风来
03-02 2940
这是一个在线工具，它可以将 introspection 查询的结果转化为返回数据的可视化表示，包括操作和类型之间的关系。查询深度是指查询中嵌套的层级数。如果该端点支持一个网站，尝试在 Burp 的浏览器中探索 Web 界面，并使用 HTTP 历史记录查看发送的查询。如果这不起作用，可以尝试在另一种请求方法下运行探测查询，因为 introspection 可能仅在 POST 请求中被禁用。此操作可能会绕过速率限制，因为它是一个单一的 HTTP 请求，即使它可能在一次查询中检查大量折扣码。
IDOR漏洞
tomyyyyy
02-27 1274
IDOR漏洞 一、概述 IDOR，Insecure Direct Object reference，即"不安全的直接对象引用"，场景为基于用户提供的输入对象进行访问时，未进行权限验证，是一类访问控制漏洞。在OWASP API安全前10名的API漏洞中排名第一。IDOR漏洞其实在越权(Broken Access Control)漏洞的范畴之内，也可以说是逻辑漏洞，或是访问控制漏洞，国内通常被称为越...
【Web安全】浅谈IDOR越权漏洞的原理、危害和防范：直接对象引用导致的越权行为
HEX9CF的技术博客
11-19 2830
IDOR的原理是攻击者通过修改对象的标识符，绕过权限验证，访问到不应该被其所见的资源。不仅要验证和过滤表单中的数据，还要对所有与对象引用相关的输入参数进行校验，包括URL中的参数、请求头中的参数等。不安全的直接对象引用（Insecure Direct Object Reference，简称IDOR）是一种安全漏洞，指在系统中直接暴露敏感对象的引用，使攻击者可以通过修改对象引用来越权访问未经授权的资源。通过使用间接引用，可以隐藏真实的对象引用，只暴露一个代理或中间层的引用，以增加攻击的难度。
典型漏洞 | IDOR
童龙辉的博客
08-12 386
IDOR漏洞（不安全的直接对象引用）是高危信息泄露漏洞，攻击者通过修改URL中的ID参数（如/api/car/info/1递增为2、3）可遍历未授权数据，违反《个人信息保护法》。修复建议：1）接口增加用户权限校验；2）使用UUID替代自增ID；3）实施JWT/OAuth鉴权；4）配置限流和日志监控防止批量遍历。典型修复方案是在查询时验证当前用户与数据归属是否匹配，否则抛出权限异常。
我的一些实战的漏洞挖掘过程（一）
Ba1_Ma0的博客
04-25 2748
最近挖到的漏洞，在这里分享一下，有些信息比较敏感就打码处理，目标网站都换为target.com。
edu漏洞挖掘实战：三个典型案例的思路分享_教育漏洞平台 挖洞分析实例
hackeroink的博客
12-22 895
最近整理了几个edu系统的漏洞案例，也不能说有意思吧，反正都是大部分会遇到的类型，edu系统一直是个很好的练手场景，系统多、类型丰富，也经常能碰到一些意想不到的安全问题，其中有两个就是证书站的洞分享出来主要是想和师傅们交流一下思路，牛子师傅可以忽略，毕竟edu系统的安全问题往往具有共性，掌握了基本套路在实际测试中经常能举一反三。漏洞挖掘很多时候就是这样，看似简单的问题组合起来威力就很大，关键还是要把信息收集做细！
跳出扫描器的“视界”：深入业务逻辑漏洞挖掘的艺术与实践
专注于网络安全攻防技术与安全运营（SecOps）实践。
09-22 1153
摘要： 业务逻辑漏洞是隐蔽性高、破坏性强的安全威胁，即使应用通过自动化扫描（SAST/DAST）也可能存在。这类漏洞源于业务流程设计缺陷，而非技术缺陷，常见类型包括权限控制类（如水平/垂直越权）、业务流程绕过类（如步骤跳过、竞争条件）及数据篡改类（如参数篡改）。挖掘逻辑漏洞需深度理解业务、绘制流程图、分析数据流，并通过工具手动验证（如BurpSuite）。防御建议包括：服务端严格校验数据、强制权限检查、建模有限状态机、使用事务锁机制。开发者需以“零信任”思维，结合业务逻辑与安全设计，构建真正安全的系统。
全网最全SRC漏洞挖掘指南，零基础入门学习SRC漏洞挖掘，看这一篇就够了
z19981的博客
08-01 903
网络安全不是「速成黑客」，而是守护数字世界的骑士修行。当你第一次用自己写的脚本检测出漏洞时，那种创造的快乐远胜于电影里的炫技。装上虚拟机，从配置第一个Linux环境开始，脚踏实地从基础命令学起，相信你一定能成为一名合格的黑客。如果你觉得网络上那些学习资源对你帮助不大，可以去看看我整理的全套网络攻防教程**（从0到进阶）**，市场上主流的攻击和防御的技术都讲的清清楚楚（文末自取），完整的学完不管是打比赛就业还是挖漏洞都足够了。①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记。
漏洞是如何被发现的？一文带你了解漏洞挖掘的核心方法
2201_75445650的博客
05-11 1534
漏洞的发现融合了代码审计能力、系统理解能力、工具使用能力与探索精神。无论是静态分析还是动态测试，都要围绕“用户输入如何影响程序执行”这个核心展开。研究者既要理解开发逻辑，又要从攻击者的角度寻找系统可能忽视的边界情况。
CTF中的PHP知识点：从代码审计到漏洞利用的实战指南
Deng7326的博客
07-29 1455
本文深入解析CTF比赛中PHP相关考点，涵盖代码审计、文件包含、反序列化等核心漏洞类型。PHP因其语法灵活、生态成熟，成为CTF出题热点。文章通过典型代码示例，详细讲解危险函数审计（eval、system等）、LFI/RFI文件包含、POP链构造等实战技巧，并附经典CTF题目解析流程。最后提出学习建议：多刷题、研究CVE漏洞、搭建实战环境，强调"漏洞藏在细节"的审计思维。全文为CTF选手提供了PHP方向的系统性学习路径和解题思路。
AI挖0day漏洞？！AI黑客来了？！全球首个AI漏洞挖掘“神器“
weixin_75168674的博客
04-10 2197
🤖 AI 自动挖 0day？一周实测 vulnhuntr：是神器还是智商税？
Metasploit与Burp Suite协同：Web应用深度渗透测试
在当今数字化时代，Web应用渗透测试是确保网站和网络服务安全的关键环节。本章将为您提供渗透测试的基本概念，并为您铺垫出后续章节中详细技术和工具的使用基础。本章节将从最基础的知识点开始，逐步深化到实践应用...
计算机网络 （郑烇） 8 网络安全
qq_44845100的博客
12-28 97
【小迪安全】web安全｜渗透测试｜网络安全|SRC挖掘|学习笔记|2021|
weixin_45635831的博客
12-25 608
批量挖掘流程：FOFA收集目标（50万+域名）xray批量扫描（万分之一命中率）人工验证漏洞真实性提交漏洞平台源码审计优势：能深度分析算法逻辑和安全机制黑盒测试要点：常规漏洞扫描JS接口探测三方组件分析经济因素考量：部分售卖系统可能需要购买授权才能获取测试权限开发语言特征：JAVA开发系统常将核心部分封装到dll或jar文件中反编译工具：使用dnSpy等工具对编译文件进行反编译分析。
第2天：基础入门-Web应用&架构搭建&漏洞&HTTP数据包&代理服务器|小迪安全笔记|网络安全|
最新发布
weixin_45635831的博客
12-28 598
26:07。
AI正在重塑网络安全：自动化渗透测试如何让企业“先攻后防”？
2501_93360277的博客
12-25 1086
而AI智能自动化渗透测试系统，融合前沿人工智能技术与多年实战攻防经验，将复杂的黑客攻击路径高度标准化、流程化，实现从资产发现、漏洞探测、利用验证，到报告生成、溯源分析的。系统内置针对WebLogic、OA系统、物联网、工控设备等高危场景的专项插件，支持“目标盲打”和自定义参数配置，跳过冗余步骤，直击漏洞核心。选择一套专业的AI渗透测试系统，就是为您的数字业务装上“智能雷达”与“自动盾牌”，在攻防对抗中牢牢掌握主动权，筑牢高质量发展的安全基石。全面、准确的资产画像，是构建有效防御体系的第一步。
第1天：基础入门-操作系统&名词&文件下载&反弹SHELL&防火墙绕过|小迪安全笔记|网络安全|
weixin_45635831的博客
12-28 493
核心知识点：文件下载类操作反弹shell技术系统权限管理系统分类：个人主机与服务器主机的区别Windows与Linux系统的命令差异网络安全要素：防火墙配置内外网隔离正向/反向连接方式权限管理：文件权限设置用户权限控制运维权限分配学习建议：掌握基础命令是前提思路比具体技术更重要避免直接攻击在线靶机。
CISAW-SS安全软件认证｜2026年培训日程公布，赋能安全开发，从代码源头筑牢防线
qq_44969472的博客
12-25 561
本课程旨在为软件生命周期的各类角色注入安全基因，培养能将安全能力深度集成到需求、设计、编码、测试全流程的专业人才。：针对主流开发语言（如Java, C/C++, Python等），讲解如何编写安全、健壮的代码，避免注入、溢出等经典漏洞。：掌握SAST、DAST、IAST等白盒、黑盒、灰盒安全测试技术，以及渗透测试、模糊测试等方法。政府、金融、能源、互联网等行业的软件项目经理、架构师、开发工程师、测试工程师。：从根本上转变“重功能、轻安全”的开发观念，全面提升团队的安全素养与实战技能。
BAS模拟入侵攻击系统：前置防控核心，守护企业网络安全
2501_93360277的博客
12-23 958
数字化时代，网络威胁持续升级，黑客攻击手段愈发隐蔽、精准，企业数据泄露、系统瘫痪、业务中断等安全事件频发，给企业带来巨额经济损失与品牌声誉损害。在此背景下，被动防御已难以抵御多变的网络威胁，主动探测、预判风险成为企业网络安全建设的核心诉求。而BAS（模拟入侵攻击系统）作为网络安全领域的核心技术工具，正以专业的攻防模拟能力，助力企业提前发现安全漏洞，筑牢主动防御防线。作为网络安全领域的核心模拟攻防系统，
网络安全常见漏洞
07-06
在网络安全领域，常见的漏洞类型及其防范措施主要包括以下内容： ### 1. SQL 注入漏洞 SQL 注入漏洞是指攻击者通过构造恶意输入，将额外的SQL语句注入到原始查询中，从而操控数据库的行为。这种漏洞通常发生在对用户输入没有进行严格验证或过滤的情况下[^2]。 - **防范措施**： - 使用参数化查询（预编译语句）来防止直接拼接SQL语句。 - 对所有用户输入进行严格的验证和过滤。 - 最小权限原则：为应用程序使用的数据库账户分配最低必要的权限。 ### 2. 文件上传漏洞 文件上传漏洞指的是攻击者能够利用Web应用的文件上传功能上传恶意文件，并执行恶意操作。这通常是由于Web应用未能对用户上传的文件进行充分验证导致的[^4]。 - **防范措施**： - 验证上传文件的类型，限制只允许特定类型的文件上传。 - 将上传的文件存储在非Web根目录下的独立位置，避免直接访问。 - 对上传文件的内容进行扫描，确保无恶意代码。 ### 3. 跨站脚本（XSS）漏洞 跨站脚本攻击是通过向网页中注入恶意脚本，当其他用户浏览该页面时，脚本会在其浏览器上执行，从而窃取信息或者执行其他恶意操作。 - **防范措施**： - 对所有用户输入进行转义处理，尤其是HTML、JavaScript相关内容。 - 使用内容安全策略（Content Security Policy, CSP），限制页面只能加载指定来源的脚本。 - 实施严格的输入验证机制。 ### 4. 跨站请求伪造（CSRF）漏洞 跨站请求伪造攻击是攻击者诱导用户点击一个链接或提交一个表单，从而在用户不知情的情况下执行某些操作，如更改密码、转账等。 - **防范措施**： - 使用Anti-CSRF令牌（也称为同步令牌模式），每个请求都需要包含一个唯一的令牌。 - 检查HTTP Referer头，确认请求来自可信源。 - 对敏感操作要求用户重新认证。 ### 5. 不安全的直接对象引用（IDOR） 不安全的直接对象引用漏洞是指应用程序暴露了内部实现细节，如文件、目录或数据库键，使得攻击者可以通过修改这些引用访问未授权的数据。 - **防范措施**： - 实施基于角色的访问控制（RBAC），确保用户只能访问其有权访问的对象。 - 使用间接对象引用映射，隐藏实际资源标识符。 - 对所有访问请求进行权限检查。 ### 6. 安全配置错误 安全配置错误包括服务器、应用、框架等的安全设置不当，可能导致信息泄露或其他安全问题。 - **防范措施**： - 定期更新和打补丁，保持系统和软件处于最新状态。 - 关闭不必要的服务和端口，减少攻击面。 - 使用自动化工具定期审计安全配置。 ### 7. 敏感数据泄露 敏感数据泄露是指由于加密不足或存储不当，导致用户的敏感信息（如信用卡号、密码等）被非法获取。 - **防范措施**： - 对存储和传输中的敏感数据进行强加密。 - 使用安全的密码策略，如强制复杂性、定期更换等。 - 实施最小数据收集原则，仅存储必要的信息。 ### 8. 身份验证失败 身份验证失败通常指登录过程中的缺陷，如弱密码策略、缺乏多因素认证等。 - **防范措施**： - 强制使用强密码，并定期更换。 - 实现多因素认证（MFA），增加额外的安全层。 - 对多次登录失败进行锁定或延迟响应。 ### 9. 安全日志记录与监控不足 安全日志记录与监控不足可能导致无法及时发现和响应安全事件。 - **防范措施**： - 启用详细的日志记录，涵盖所有关键操作。 - 使用入侵检测系统（IDS）和入侵防御系统（IPS）实时监控异常活动。 - 定期审查日志，分析潜在威胁。 ### 10. 第三方组件漏洞 第三方组件漏洞是指应用程序依赖的库或框架中存在的已知安全问题。 - **防范措施**： - 定期检查并更新所有依赖项至最新版本。 - 使用软件组成分析工具识别和修复已知漏洞。 - 在开发过程中集成持续集成/持续部署（CI/CD）流水线中的安全检查。 ```python # 示例：参数化查询防止SQL注入 import sqlite3 def safe_query(db_path, user_input): conn = sqlite3.connect(db_path) cursor = conn.cursor() # 使用参数化查询防止SQL注入 cursor.execute("SELECT * FROM users WHERE username=?", (user_input,)) result = cursor.fetchall() conn.close() return result ```
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

秋说

感谢打赏

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值