Главная страница » Блог » Объяснение уязвимости IDOR, и защита от этой уязвимости

Объяснение уязвимости IDOR, и защита от этой уязвимости

Mikhail Tarasov
31 июля, 2024

Уязвимость IDOR (Insecure Direct Object References) возникает, когда приложение не проверяет должным образом права доступа пользователя к объектам, на которые он пытается получить доступ. Это может позволить злоумышленнику получить доступ к данным, к которым он не должен иметь доступ, просто изменив параметры запроса.

Пример уязвимости IDOR

Представьте, что у вас есть веб-приложение, которое позволяет пользователям просматривать свои личные данные. URL для доступа к профилю пользователя может выглядеть так:

https://example.com/profile?user_id=123

1	https://example.com/profile?user_id=123

Если приложение не проверяет, что пользователь, который делает запрос, действительно имеет право доступа к профилю с user_id=123, злоумышленник может просто изменить user_id на другое значение и получить доступ к данным другого пользователя:

https://example.com/profile?user_id=456

1	https://example.com/profile?user_id=456

Защита от уязвимости IDOR

Проверка прав доступа:
- Убедитесь, что приложение проверяет права доступа пользователя к каждому объекту, к которому он пытается получить доступ. Например, перед отображением профиля пользователя, проверьте, что текущий пользователь имеет право доступа к этому профилю.
Использование уникальных идентификаторов:
- Используйте уникальные идентификаторы, которые не могут быть легко угаданы. Например, вместо последовательных числовых идентификаторов (1, 2, 3) используйте UUID или другие сложные идентификаторы.
Аутентификация и авторизация:
- Убедитесь, что пользователь аутентифицирован и авторизован для выполнения запрашиваемого действия. Используйте механизмы аутентификации и авторизации, такие как JWT (JSON Web Tokens) или OAuth.
Минимизация информации в URL:
- Старайтесь не передавать чувствительные данные или идентификаторы через URL. Используйте POST-запросы для передачи данных, которые требуют проверки прав доступа.
Логирование и мониторинг:
- Ведите журналы доступа и мониторинг для обнаружения подозрительной активности. Это поможет быстро выявить и отреагировать на попытки эксплуатации уязвимости IDOR.
Использование фреймворков и библиотек:
- Используйте фреймворки и библиотеки, которые предоставляют встроенные механизмы для проверки прав доступа и защиты от IDOR.

Пример защиты

Предположим, у вас есть маршрут для получения профиля пользователя:

@app.route('/profile/<user_id>')
def get_profile(user_id):
    # Проверка прав доступа
    if current_user.id != int(user_id):
        return "Access Denied", 403

    # Получение данных профиля
    profile = get_user_profile(user_id)
    return render_template('profile.html', profile=profile)