web安全团结互助，让我们共同进步！

我们的优势： 10年相关行业经验，专业设计师量身定制设计师一对一服务模式，上百家客户案例！企业保证，正规流程，正规合作 7*24小时在线服务，售后无忧

自动发现IDOR（越权）漏洞的方法：使用BurpSuite中的Autozie和Autorepeater插件来检测和识别IDOR漏洞，而无需手动更改每个请求的参数

文章来源：重庆网络安全围观次数：

分享到:

摘要：自动发现IDOR（越权）漏洞的方法：使用BurpSuite中的Autozie和Autorepeater插件来检测和识别IDOR漏洞，而无需手动更改每个请求的参数

IDOR（越权）漏洞：也称为“不安全的直接对象引用”，当用户请求访问内部资源或基于用户提供的输入对象进行访问，服务器未执行合理的权限验证时，发生当前用户可以未经授权访问不属于其帐户权限的资源或数据。

我们可以在BurpSuite插件库Bapp中安装Autorize和Autorepeater：

使用Autorize发现IDOR漏洞

让我们先来看一下“Autorize”。对于客户端发送的任何请求，它将执行等效请求，不同之处在于cookie必须是其他用户的会话cookie或添加其他身份验证标头。假设我们有两个用户：

用户A —管理员

用户B-普通用户

现在，我们使用管理员（用户A）帐户访问Web应用程序。然后在Autorize的请求配置中，添加用户B的会话cookie。此后，该请求将以用户B的身份启动。配置如下：

我们在作用域过滤器中进行了一些设置，以便我们可以直观地显示响应消息并避免收到很多无用的结果。接下来，启用“Autorize”。对于Web应用程序，表面上的访问客户端是用户A，但实际上它使用用户B的会话cookie：

可以看出，在这种情况下，原始长度和修改后的长度之间没有区别，并且响应的状态码为200。因此，从这个角度来看，Web服务器可能存在IDOR漏洞。当然，如果收到的状态码是403 Forbidden，则表示没有IDOR漏洞，它将无法使用。

Autorepeater发现IDOR漏洞

Autorepeater可以说是Autorize的复杂版本，它可以对精制参数（例如uuid，suid，uid和通常涉及的其他用户参数）进行更准确的测试。但是，它的设置有点麻烦，例如以下uuid替换测试，需要手动设置：

在某些云应用程序中，这种自动IDOR检测不仅可以对内部租户执行安全功能审核，还可以对跨域租户执行安全功能审核。例如，在下面的设置中，我们可以选择添加替换变量以实现请求主体的变化。此外，我们还可以修改其他参数或请求，例如：

User = Admin

False = True

JSON = XML

本文由重庆网络安全整理发布,转载请保留出处，内容部分来自于互联网，如有侵权请联系我们删除。

重庆牛创网络科技有限责任公司是一群技术强大、思维活跃、拥有创新精神的年轻人创立，公司致力于为企业提供全面、周到、专业的互联网解决方案，提供网站建设、网络推广、网络安全审计、wifi营销认证、网站运营维护、域名注册、虚拟主机、企业邮局、企业形象设计等多种信息产品和服务。

公司电话： 023—68263070
办公地址：重庆市北碚区金华路399号
邮箱：120481297@qq.com
技术咨询：15215065006

备案图标渝ICP备19004889号-1 渝公网安备 11010502032856号

行业安全认证