idor
This is an old revision of the document!
IDOR
Idor (Insecure direct object reference) je podvrsta access control ranjivosti web aplikacije koja dopušta korisniku pristup nekom resursu korisničkim unosom bez provjere ovlasti. Posljedice su vertikalne i/ili horizontalne eskalacije privilegije.
(Ne)Predvidljive baze podataka (Hacknite)
Korisniku je dana mogućnost uploadanja datoteke na stranicu.
Prikaz datoteka moguće je vidjeti na relativnoj
putanji “/view.php” (klikom na vezu “stranici” nakon uploada). 
Unutar URL-a resurs je definiran parametrom id=#.
Izmjenom broja uz parametar id prikazuju se drugi resursi iz baze podataka (access control/idor ranjivost). Isprobavanjem brojeva od 0 do 9 pronađe se resurs (id=8) s CTF zastavom.
idor.1701702411.txt.gz · Last modified: 2025/12/01 11:40 (external edit)