hunt-idor

⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Porta de confirmação obrigatória Antes de executar qualquer comando que sonde, explore, altere, persista em, extraia dados de ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato do alvo, IP, conta ou recurso.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça apenas orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Alvos Principais (Crown Jewel Targets)

Por que IDOR paga bem:

• Acesso direto aos dados de outros usuários sem bypass de autenticação — impacto claro e demonstrável
• Combina facilmente com escalonamento de privilégios, fraude financeira e tomada de conta
• Afeta virtualmente todos os aplicativos com recursos de propriedade do usuário

Tipos de ativos de maior valor (por potencial de pagamento):

Programas que pagam mais por IDOR:

• Plataformas com multi-tenancy (SaaS, ferramentas B2B)
• Fintech e processadores de pagamento
• Plataformas sociais com conteúdo privado
• Ferramentas de desenvolvedor com isolamento de organização/repositório

Sinais da Superfície de Ataque

Padrões de URL que gritam IDOR:

/api/v1/users/{id}/
/api/v*/orders/{order_id}
/invoices/download?id=
/reports/{uuid}/
/messages/{thread_id}
/admin/orgs/{org_id}/members
/migration/{migration_id}/files
/graphql (query params with IDs)
/api/business/{business_id}/
/vouchers/{voucher_id}/policy

Sinais de cabeçalho de resposta:

• Content-Type: application/json em endpoints que aceitam IDs brutos
• Sem X-Frame-Options ou configurações incorretas de CORS combinadas com parâmetros de ID
• Tokens Authorization: Bearer que são escopados para o usuário, mas atingem recursos em nível de organização

Padrões de origem JavaScript:

// Look for hardcoded or interpolated IDs in JS
fetch(`/api/v1/users/${userId}/profile`)
axios.get('/invoices/' + invoiceId)
graphql query { billingDocument(id: $docId) }
// Redux/state stores exposing foreign IDs
state.currentUser.organizationId

Sinais de stack de tecnologia:

• Endpoints GraphQL (IDORs baseados em consulta são frequentemente perdidos)
• APIs REST com IDs inteiros sequenciais (mais vulneráveis)
• UUIDs que são previsíveis ou vazados em outras respostas
• Aplicativos SaaS multi-tenant com parâmetros org_id, account_id, business_id
• Aplicativos móveis (use o Burp no APK — APIs móveis frequentemente pulam verificações de autorização)

Metodologia Passo a Passo de Caça

1. Mapeie todas as referências de objeto na aplicação

   • Navegue por todos os recursos autenticado como Usuário A
   • Capture todas as requisições no Burp Suite
   • Filtre por requisições contendo: id=, _id=, uuid=, /v1/{noun}/{id}, parâmetros de consulta com valores numéricos/UUID

2. Enumere tipos de ID

   • Inteiros sequenciais → enumere ±1, ±100
   • UUIDs → verifique se aparecem em outras respostas ou arquivos JS
   • IDs hasheados → verifique se vazaram em endpoints públicos, metadados ou introspecção GraphQL

3. Crie duas contas separadas (mesmo nível de privilégio)

   • Usuário A: proprietário do recurso
   • Usuário B: conta de atacante
   • Registre todos os IDs pertencentes ao Usuário A enquanto autenticado como Usuário A

4. Repita os IDs de recursos do Usuário A como Usuário B

   • Substitua o cookie/token de sessão pelas credenciais do Usuário B
   • Envie requisições idênticas referenciando os IDs de objeto do Usuário A
   • Teste TODOS os verbos HTTP: GET, POST, PUT, PATCH, DELETE em cada endpoint

5. Teste cenários cross-tenant/cross-org

   • Crie contas em organizações/negócios separados
   • Teste se a sessão da Organização B pode referenciar IDs da Organização A
   • Preste atenção especial aos endpoints de administrador/gerenciamento

6. Teste especificamente o GraphQL

   • Execute a introspecção: { __schema { queryType { fields { name } } } }

…