رایت‌آپ‌

این رایتاپ بر اساس سناریوهای دریافت شده از متخصصین امنیتی باگدشت با هدف اشتراک گذاری دانش امنیتی و تسریع در ایمن سازی ارایه شده است.

مشاهده یا تغییر اطلاعات سایر کاربران

باگ IDOR روی پارامتر MemberId درون کوکی وجود دارد که سبب مشاهده یا تغییر اطلاعات سایر کاربران می شود.

حملات Insecure Direct Object Reference یا به اختصار IDOR هنگامی رخ میدهد که وب اپلیکیشن، یک عنصر ارجاعی به یک شی داخلی (داخل برنامه) را در معرض دید کاربران قرار میدهد. با استفاده از این روش، شناسه کاربر و یا عملکرد انجام شده، فرمت و یا نحوه استفاده از عنصر مورد نظر در حافظه سمت back-end افشا میشود. که متداولترین نمونه آن، تغییر شناسه کاربر از سمت دیتابیس، فایل سیستمی و غیره است.

برای اجرای سناریو تست IDOR در این سامانه، ابتدا در حساب کاربری لاگین میکنیم.

پیش از بروزرسانی اطلاعات پروفایل در صفحه کاربری، درخواستهای برنامه را با پراکسی interecept میکنیم.

سپس اطلاعات حساب کاربری را تغییر و بعد بر روی بروزرسانی اطلاعات کلیک میکنیم و یا صفحه را رفرش میکنیم.

با استفاده از پراکسی، درخواستی با آدرس example.com/MyProfile.aspx را به بخش Repeater ارسال میکنیم.

در این درخواست، یک پارامتر با نام MemberId وجود دارد که با تغییر مقدار وارد شده مقابل آن و ارسال درخواست به سمت سرور، میتوان به اطلاعات سایر مشتریان دسترسی پیدا کرد.

نمونه خروجی سناریو تست
ایمیل : ، test@yahoo.com نام: تست ، نام خانوادگی: تست ، آدرس: تست
سفارشات :
کد پیگیری | : test_100085 وضعیت پرداخت: منقصی | وضعیت: ارسال سفارش
کد پیگیری | : test_100079 وضعیت پرداخت: منقصی | وضعیت: ارسال صورتحساب