IDOR: Доступ к чужому счёту в Express

# IDOR: доступ к чужим счетам ## Сценарий **DevSupply** — магазин оборудования для команд разработки: клавиатуры, платы, настольные инструменты. Бухгалтерия выставляет покупателям счета, и каждый авторизованный пользователь видит свои счета в личном разделе. Перед продажей бизнеса владельцем был нанят аудитор; в отчёте он отметил, что достаточно подставить в адрес страницы другой номер — и счёт открывается. Проверьте, действительно ли магазин защищает счета от чужих глаз, и найдите среди них конфиденциальный счёт администрации. ## Цель 1. Войдите покупателем и откройте раздел своих счетов; изучите, как устроены адреса страниц деталей. 2. Определите, проверяет ли сервер, что запрошенный счёт принадлежит именно вам. 3. Прочитайте чужие счета и найдите тот, в котором приложение показывает флаг. ## Теория IDOR (Insecure Direct Object Reference) возникает, когда объект выбирается по идентификатору из запроса, а право пользователя на этот объект не проверяется. Аутентификация отвечает на вопрос «кто это», авторизация — «что ему можно»; в этой реализации есть только первая. **Уязвимый паттерн:** ```js const invoice = db.prepare( 'SELECT id, user_id, title, amount, description FROM invoices WHERE id=?' ).get(id); ``` Запрос выбирает счёт по номеру из адреса и не сверяет владельца с текущим пользователем сессии. Пока идентификаторы — последовательные числа, доступ к чужим счетам сводится к изменению числа в адресной строке. ## Точка входа атаки `GET /invoice/<номер>` — страница деталей счёта; список своих счетов — `GET /invoices`. * **Пользователь:** `demo` / `demo`