Revisão de Controle de Acesso e IDOR no Django

Encontre vulnerabilidades de controle de acesso investigando como a base de código responde a uma pergunta:

O Usuário A pode acessar, modificar ou excluir os dados do Usuário B?

Quando Usar

• Você precisa revisar o código Django ou DRF em busca de lacunas de controle de acesso, risco de IDOR ou falhas de autorização em nível de objeto.
• A tarefa envolve confirmar se um usuário pode acessar, modificar ou excluir os dados de outro usuário.
• Você deseja uma revisão de autorização orientada por investigação em vez de correspondência genérica de padrões.

Filosofia: Investigação em Vez de Correspondência de Padrões

NÃO escaneie por padrões vulneráveis predefinidos. Em vez disso:

1. Entenda como a autorização funciona NESTA base de código
2. Faça perguntas sobre fluxos de dados específicos
3. Rastreie o código para encontrar onde (ou se) as verificações de acesso ocorrem
4. Relate apenas o que você confirmou por meio de investigação

Cada base de código implementa a autorização de maneira diferente. Seu trabalho é entender essa implementação específica e, em seguida, encontrar lacunas.

Fase 1: Entenda o Modelo de Autorização

Antes de procurar por bugs, responda a estas perguntas sobre a base de código:

Como a autorização é aplicada?

Pesquise a base de código para encontrar:

□ Where are permission checks implemented?
  - Decorators? (@login_required, @permission_required, custom?)
  - Middleware? (TenantMiddleware, AuthorizationMiddleware?)
  - Base classes? (BaseAPIView, TenantScopedViewSet?)
  - Permission classes? (DRF permission_classes?)
  - Custom mixins? (OwnershipMixin, TenantMixin?)

□ How are queries scoped?
  - Custom managers? (TenantManager, UserScopedManager?)
  - get_queryset() overrides?
  - Middleware that sets query context?

□ What's the ownership model?
  - Single user ownership? (document.owner_id)
  - Organization/tenant ownership? (document.organization_id)
  - Hierarchical? (org -> team -> user -> resource)
  - Role-based within context? (org admin vs member)

Comandos de Investigação

# Find how auth is typically done
grep -rn "permission_classes\|@login_required\|@permission_required" --include="*.py" | head -20

# Find base classes that views inherit from
grep -rn "class Base.*View\|class.*Mixin.*:" --include="*.py" | head -20

# Find custom managers
grep -rn "class.*Manager\|def get_queryset" --include="*.py" | head -20

# Find ownership fields on models
grep -rn "owner\|user_id\|organization\|tenant" --include="models.py" | head -30

Não prossiga até que você entenda o modelo de autorização.

Fase 2: Mapeie a Superfície de Ataque

Identifique endpoints que lidam com dados específicos do usuário:

Que recursos existem?

□ What models contain user data?
□ Which have ownership fields (owner_id, user_id, organization_id)?
□ Which are accessed via ID in URLs or request bodies?

Que operações são expostas?

Para cada recurso, mapeie:

• Liste endpoints - quais dados são retornados?
• Detalhe/recupere endpoints - como o objeto é buscado?
• Crie endpoints - quem define o proprietário?
• Atualize endpoints - os usuários podem modificar os dados de outros?
• Exclua endpoints - os usuários podem excluir os dados de outros?
• Ações personalizadas - o que elas acessam?

Fase 3: Faça Perguntas e Investigue

Para cada endpoint que lida com dados do usuário, pergunte:

A Pergunta Central

"Se eu sou o Usuário A e sei o ID do recurso do Usuário B, posso acessá-lo?"

Rastreie o código para responder a isso:

1. Where does the resource ID enter the system?
   - URL path: /api/documents/{id}/
   - Query param: ?document_id=123
   - Request body: {"document_id": 123}

2. Where is that ID used to fetch data?
   - Find the ORM query or database call

3. Between (1) and (2), what checks exist?
   - Is the query scoped to current user?
   - Is there an explicit ownership check?
   - Is there a permission check on the object?
   - Does a base class or mixin enforce access?

4. If you can't find a check, is there one you missed?
   - Check parent classes
   - Check middleware
   - Check managers
   - Check decorators at URL level

Perguntas de Acompanhamento

□ Para endpoints de lista: A consulta filtra para os dados do usuário ou retorna tudo?

□ Para endpoints de criação: Quem define o proprietário - o servidor ou a solicitação?

□ Para operações em massa: Elas são restritas aos dados do usuário?

□ Para recursos relacionados: Se posso acessar um documento, posso acessar seus comentários?
  E se o documento pertencer a outra pessoa?


…