IDOR: Просмотр чужих инвойсов

# IDOR: чтение чужих счетов ## Сценарий Вы проводите аудит B2B-платформы снабжения «ПрофКрепёж» (нативный PHP, SQLite) перед подключением электронного документооборота. Клиентам выставляются счета; список «Мои счета» и страница счёта закрыты входом. Бухгалтерия уверена, что внешние контрагенты видят только свои документы, — ваш заказчик попросил проверить это утверждение до подписания договора с ЭДО-оператором. ## Цель 1. Войдите под обычной учётной записью и изучите раздел счетов: какой параметр адреса выбирает конкретный документ. 2. Прочитайте счёт, не принадлежащий вашему пользователю, не имея никаких административных прав. 3. Среди чужих счетов найдите конфиденциальный документ администратора со значением `flag{...}` и сдайте флаг. ## Теория IDOR (Insecure Direct Object Reference) — прямая ссылка на объект без проверки прав на него. Сервер проверяет аутентификацию — что сессия валидна, — но не авторизацию: вправе ли именно этот пользователь читать именно этот документ. Идентификатор объекта приходит из запроса, и атакующий подставляет чужой. **Уязвимый паттерн:** ```php $stmt = $db->prepare('SELECT id, user_id, recipient, amount, description, created_at FROM invoices WHERE id = ?'); $stmt->execute([$id]); $invoice = $stmt->fetch(); ``` Выборка фильтруется только по идентификатору из адреса — условие на владельца отсутствует. Любой вошедший пользователь, меняя номер в адресе, получает страницы чужих счетов: и счета других клиентов (горизонтальный доступ), и конфиденциальные документы администратора (вертикальный). Список «Мои счета» при этом честно показывает только свои записи — дыра живёт в странице деталей. ## Точка входа атаки `GET /invoice?id=<номер>` — страница конкретного счёта (список своих счетов: `GET /invoices`). * **Обычный пользователь:** `demo` / `demo` Флаг — строка `flag{...}` в описании одного из чужих счетов; она сдаётся в форме проверки лабы.