⚠️ USO AUTORIZADO APENAS Esta habilidade destina-se apenas a fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Porta de confirmação obrigatória Antes de executar qualquer comando que sonde, explore, altere, persista em, extraia dados de ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato do alvo, IP, conta ou recurso.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça orientação defensiva. Prefira um ambiente de sandbox, VM descartável ou laboratório controlado.

USO AUTORIZADO APENAS: Use esta habilidade apenas para avaliações de segurança autorizadas, validação defensiva ou ambientes educacionais controlados.

Teste de Vulnerabilidade IDOR

Propósito

Fornecer metodologias sistemáticas para identificar e explorar vulnerabilidades de Referência Direta Insegura a Objetos (IDOR) em aplicações web. Esta habilidade abrange referências a objetos de banco de dados e referências a arquivos estáticos, técnicas de detecção usando manipulação de parâmetros e enumeração, exploração via Burp Suite e estratégias de remediação para proteger aplicações contra acesso não autorizado.

Entradas / Pré-requisitos

• Aplicação Web Alvo: URL da aplicação com recursos específicos do usuário
• Múltiplas Contas de Usuário: Pelo menos duas contas de teste para verificar o acesso entre usuários
• Burp Suite ou Ferramenta de Proxy: Proxy de interceptação para manipulação de requisições
• Autorização: Permissão por escrito para testes de segurança
• Compreensão do Fluxo da Aplicação: Conhecimento de como os objetos são referenciados (IDs, nomes de arquivos)

Saídas / Entregáveis

• Relatório de Vulnerabilidade IDOR: Documentação de bypasses de controle de acesso descobertos
• Prova de Conceito: Evidência de acesso não autorizado a dados entre contextos de usuário
• Endpoints Afetados: Lista de endpoints e parâmetros de API vulneráveis
• Avaliação de Impacto: Classificação da gravidade da exposição de dados
• Recomendações de Remediação: Correções específicas para vulnerabilidades identificadas

Fluxo de Trabalho Principal

1. Compreender os Tipos de Vulnerabilidade IDOR

Referência Direta a Objetos de Banco de Dados

Ocorre quando aplicações referenciam registros de banco de dados através de parâmetros controláveis pelo usuário:

# Original URL (authenticated as User A)
example.com/user/profile?id=2023

# Manipulation attempt (accessing User B's data)
example.com/user/profile?id=2022

Referência Direta a Arquivos Estáticos

Ocorre quando aplicações expõem caminhos ou nomes de arquivos que podem ser enumerados:

# Original URL (User A's receipt)
example.com/static/receipt/205.pdf

# Manipulation attempt (User B's receipt)
example.com/static/receipt/200.pdf

2. Reconhecimento e Configuração

Criar Múltiplas Contas de Teste

Account 1: "attacker" - Primary testing account
Account 2: "victim" - Account whose data we attempt to access

Identificar Referências a Objetos

Capturar e analisar requisições contendo:

• IDs numéricos em URLs: /api/user/123
• IDs numéricos em parâmetros: ?id=123&action=view
• IDs numéricos no corpo da requisição: {"userId": 123}
• Caminhos de arquivos: /download/receipt_123.pdf
• GUIDs/UUIDs: /profile/a1b2c3d4-e5f6-...

Mapear IDs de Usuário

# Access user ID endpoint (if available)
GET /api/user-id/

# Note ID patterns:
# - Sequential integers (1, 2, 3...)
# - Auto-incremented values
# - Predictable patterns

3. Técnicas de Detecção

Manipulação de Parâmetros de URL

# Step 1: Capture original authenticated request
GET /api/user/profile?id=1001 HTTP/1.1
Cookie: session=attacker_session

# Step 2: Modify ID to target another user
GET /api/user/profile?id=1000 HTTP/1.1
Cookie: session=attacker_session

# Vulnerable if: Returns victim's data with attacker's session

Manipulação do Corpo da Requisição

# Original POST request
POST /api/address/update HTTP/1.1
Content-Type: application/json
Cookie: session=attacker_session

{"id": 5, "userId": 1001, "address": "123 Attacker St"}

# Modified request targeting victim
{"id": 5, "userId": 1000, "address": "123 Attacker St"}

Troca de Método HTTP

# Requisição GET original pode estar protegida
GET /api/admin/users/1000 → 403 Forbidden

# Tentar métodos alternativos
POST /api/admin/users/1000 → 200 OK (Vulnerável!)

…