Differences

This shows you the differences between two versions of the page.

--- idor [2026/06/16 12:48] – Sitne stilske prepravke mbunic
+++ idor [2026/06/16 13:19] (current) – podnaslov primjera zadatka mbunic
@@ Line 1: / Line 1: @@
 ===IDOR===
-**IDOR** (engl. //insecure direct object reference//) je podvrsta access control ranjivosti web aplikacije koja nenamijenjeno dopušta korisniku pristup određenom resursu bez odgovarajuće provjere ovlasti.
+**IDOR** (engl. //insecure direct object reference//) je podvrsta access control ranjivosti web aplikacija koja nenamijenjeno dopušta korisniku pristup određenom resursu bez odgovarajuće provjere ovlasti.
+Jednostavan primjer je aplikacija koja koristi URL parametar ID za dohvat i prikaz dokumenata bez kontrole pristupa. U tom slučaju, ako netko zna ili pogodi ID dokumenta, web aplikacija ga poslužuje bez ikakvih daljnjih provjera.
-==(Ne)Predvidljive baze podataka (Hacknite)==
+Ako napadač već zna jednu ili dvije ID vrijednosti dokumenata, ovisno o korištenom formatu identifikatora, nekad može lako naslutiti ostale moguće vrijednosti ako se, na primjer, koriste samo slijedni brojevi. Ako se za dohvat dokumenata koristi njihov sažetak, poput SHA-256 ili složeniji ID format poput **UUID v4**, puno je teže pogoditi potrebnu vrijednost za dohvat dokumenta. U tom slučaju IDOR ranjivost je i dalje prisutna ako ne postoji odgovarajuća kontrola pristupa, ali ju je teže efektivno iskoristiti čistim pogađanjem.
+===PRIMJER - Zadatak s Hacknite platforme – (Ne)Predvidljive baze podataka===
 Korisniku je dana mogućnost uploadanja datoteke na stranicu.