01 / المسرد
مرجع كائن مباشر غير آمن
IDOR · خلل في التفويض يحدث عندما لا يتحقق التطبيق، عند الوصول إلى سجل عبر عنوان أو معرّف، من أن السجل يخص فعلًا المستخدم الذي يطلبه.
- 01
لماذا هو مهم؟
هذا خلل لا تكتشفه الماسحات الآلية عادةً لكن استغلاله سهل للغاية: يكفي تغيير رقم واحد. يمكن بهذه الطريقة تنزيل الفواتير وتفاصيل الطلبات والوثائق وملفات المستخدمين بكميات كبيرة. يجب أن يتحقق الخادم من الملكية في كل طلب.
- 02
مثال
في بوابة إلكترونية، يحتوي عنوان تنزيل الفاتورة على رقم متسلسل. يستطيع زبون زيادة الرقم بواحد وتنزيل فاتورة شركة أخرى؛ بعد الإصلاح، يتحقق الخادم من مالك الفاتورة عند كل تنزيل.
- 03
خطأ شائع
الاعتقاد بأن المشكلة تُحل بجعل المعرّفات يتعذر تخمينها. المعرّفات العشوائية تجعل التخمين أصعب فقط؛ والإصلاح الحقيقي هو التحقق من الملكية على الخادم.
- 04
مصطلحات ذات صلة
خدمات وأدلة ذات صلة