IDOR绝不止他人的 ID

IDOR绝不止他人的 ID

声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。

前言

目标中有这样一个功能,免费用户最多可以同时创建 3 个列表。如果您发送创建三个以上列表的请求，该站点将授予普通用户选择 3 个列表并锁定第 4 个和其他列表的权利。此外，无法管理、添加或删除、共享或重命名锁定列表。

分析一下正常的流程：

提交了创建列表的请求并查看请求:

书签 ID 参数中可能存在 IDOR。但是看不到其他用户的 bookmark_id 值，而且他们的 id 值也不是递增的;

从第二个帐户尝试 IDOR。遇到了403 Forbidden

创建了一个列表并将其发送至Bp的repeater,以不同的名字重新提交了请求,主要目标是看看是否还能通过IDOR查看锁定的列表。

如预期,只能查看三个列表,因为不是高级会员;

选择了三个列表，看到其他三个列表被自动锁定。

在浏览器中查看bookmark_id 参数:

选择了一个目标锁定列表，并通过 DevTools 复制 bookmark_id 值

回到未锁定的列表并选择了一个。打开了 Intercept并发送了一个名称并更改请求

再次遇到相同的请求，并用复制的锁定列表的值替换了 bookmark_id 的值。

发现能够重命名锁定列表,发现: 即使列表被锁定，也能够与其他人分享。

该公司将 bookmark_id 值直接添加到 URL 路径方便 导航到列表。因此，即使列表被锁定，也可以使用路径 redacted.com/lists/<<bookmarkID> 与其他人共享它。

漏洞点: 即使列表被锁定，也能够像使用常规列表一样使用并共享它。