PortSwigger · Broken Access Control / IDOR
Qué es
IDOR (Insecure Direct Object Reference): la aplicación usa un identificador que controlo (un número, un nombre de archivo) para darme un recurso, pero no comprueba si ese recurso es mío. Cambiando el identificador accedo a datos de otros usuarios.
Labs completados
| # | Lab | Tipo |
|---|---|---|
| 1 | Insecure direct object references | IDOR |
Lo que me llevo
El chat del lab guarda las conversaciones en archivos numerados (/download-transcript/2.txt). Pidiendo 1.txt descargo la conversación de otro usuario, donde aparece su contraseña.
Cómo se arregla
- Comprobar en el servidor, en cada petición, que el usuario tiene permiso sobre ese recurso.
- Identificadores no predecibles ayudan, pero no sustituyen al control de acceso.