仅限会员阅读
我是如何在Bugcrowd的公有云公司漏洞赏金计划中发现IDOR漏洞的，以及你能从中学到什么
Be nice insabat 著
3 分钟阅读·2025年9月5日
1
各位穆斯林兄弟，我向你们致以“Assalam o alaikum”的问候，非穆斯林朋友，大家好。希望大家一切安好，每天都在学习新知识。
免费链接：
medium.com/@InsbatArsh…
我带着另一个有趣的发现故事回来了，希望能帮助大家获取更多漏洞赏金知识。事不宜迟，让我们开始正文吧。
引言
不安全的直接对象引用（IDOR）是最常见且最危险的Web漏洞之一。攻击者通过操纵输入参数（如ID、令牌或文件路径）即可越权访问数据。
最近，我在一个Web应用程序中发现了一个IDOR漏洞，该漏洞暴露了敏感的用户数据。在这篇博客中，我将为你详细介绍：
- 我是如何发现这个漏洞的
- 它为何危险
- 如何防范它
什么是IDOR？
当一个应用程序允许用户通过直接引用（例如 /user/profile?id=123）来访问资源（如文件、数据库条目），但未进行适当的权限检查时，就会发生IDOR（不安全的直接对象引用）漏洞。
CSD0tFqvECLokhw9aBeRqopJDR93OU7WxHE+knUD6TOlbz5CUoaKfzSxMMUs54+xNHFu6PeN19bopWG/Tlv3NTGYrVZvCU/hNiGzgfBq6m5unpwMdM0UPtaFiA63EHOebx/GZXxZDmpXWDu4ZqnqYlqrDzkXYztACKErYR72Fza0IREWv0vv6LYeEXJ22j/Ff3kKW5RMCqPcp8BTuzNysA==
