Güvensiz doğrudan nesne erişimi
IDOR · Uygulamanın, bir kayda adres ya da kimlik numarasıyla erişilirken o kaydın gerçekten isteyen kullanıcıya ait olup olmadığını kontrol etmemesinden doğan yetkilendirme açığı.
- 01
Neden önemli?
Bu açık otomatik tarayıcıların genellikle bulamadığı, ama istismarı çok kolay bir hatadır: yalnız bir numarayı değiştirmek yeter. Faturalar, sipariş bilgileri, belgeler ve kullanıcı profilleri bu şekilde topluca indirilebilir. Her istekte sunucu tarafında sahiplik kontrolü yapılması gerekir.
- 02
Örnek
Bir portalda fatura indirme adresi sıralı numara içeriyor. Bir müşteri numarayı bir artırdığında başka bir şirketin faturasını indirebiliyor; düzeltmeden sonra sunucu her indirmede faturanın sahibini kontrol ediyor.
- 03
Sık yapılan hata
Numaraları tahmin edilemez yaparak sorunun çözüldüğünü sanmak. Rastgele kimlik yalnız tahmini zorlaştırır; asıl çözüm sunucu tarafındaki sahiplik kontrolüdür.
- 04
İlgili terimler
İlgili hizmet ve rehberler
Projenizi konuşalım.
İhtiyacınızı dinleyelim, kapsamı birlikte netleştirelim.