Приветствую! Сегодня разберём интересную тачку с IDOR. Погнали ломать!
Способ решения №1
При входе на уязвимый хост видим информацию о том, что на ресурсе всего 128 пользаков и кто-то из них админ. Наш id равен 122, а значит нам нужно поменять его на значение админа.
Захватим запрос в Burp и сразу бросаем в Intruder. Значение id выделяем данной закорючкой для перебора значений:
Теперь настроим Payload:
Нам нужны значений 1-128. Запускаем атаку.
На id=72 длинна запроса была другая, в отличие от остальных - а значит там что-то интересное.
Посмотрим что внутри:
Чуть ниже будет флаг. Победа!
Способ решения №2
Есть ещё интересный способ решения данного кейса :) Заходим в панель разработчика и меняем в Cookie значение id:
При изменении значения и обновлении страницу у вас будет новый id. Так можно нащупать значение админа.
Выводы
Классический IDOR :)
Для защиты от такой напасти нужно внедрять механизм проверки авторизации пользователя и исключить возможность редактирования переменной id.
Задача очень простая и рассчитана на знакомство с Intruder в Burp Suite и IDOR.
Всех благ!