仅限会员阅读故事
我如何在Bugcrowd的公有云漏洞赏金项目中找到一个IDOR漏洞，以及你可以从中学习到什么
Be nice insabat 著
3 分钟阅读 · 2025年9月5日
1011
收听 分享
向穆斯林兄弟道一声“Assalam o alaikum”，向非穆斯林朋友道一声“你好”。希望大家一切都好，每天都在学习新的事物。
我带着另一个有趣的发现故事回来了，希望能帮助你获得更多关于漏洞赏金的知识。事不宜迟，让我们直接进入正题。
引言
不安全的直接对象引用（IDOR）是最常见且最危险的Web漏洞之一。它允许攻击者通过操纵输入参数（如ID、令牌或文件路径）来访问未经授权的数据。
最近，我在一个Web应用程序中发现了一个IDOR漏洞，该漏洞暴露了敏感的用户数据。在这篇博客中，我将带你了解：
- 我是如何发现这个漏洞的
- 它为何危险
- 如何预防它
什么是IDOR？
当一个应用程序允许用户通过直接引用资源（例如 /user/profile?id=123）来访问资源（如文件、数据库条目），却没有进行适当的授权检查时，就会发生IDOR（不安全的直接对象引用）漏洞。
CSD0tFqvECLokhw9aBeRqopJDR93OU7WxHE+knUD6TOlbz5CUoaKfzSxMMUs54+xNHFu6PeN19bopWG/Tlv3NTGYrVZvCU/hNiGzgfBq6m5unpwMdM0UPtaFiA63EHOebx/GZXxZDmpXWDu4ZqnqYlqrDzkXYztACKErYR72Fza0IREWv0vv6LYeEXJ22j/Ff3kKW5RMCqPcp8BTuzNysA==
