IDOR: Predictable Order IDs

# IDOR: чтение чужих заказов по предсказуемым номерам ## Сценарий Вы проводите аудит магазина мебели «Дубрава» (нативный PHP, SQLite) перед запуском программы отзывов: покупатели будут делиться ссылками на свои заказы. Служба поддержки уверена, что ссылка на заказ приватна, — заказчик попросил убедиться, что по ссылке заказ увидит только его владелец. Ваше внимание сразу привлекли номера заказов в профиле: они идут сплошной нумерацией. ## Цель 1. Войдите под обычной учётной записью и изучите историю своих заказов: как выглядят номера и ссылки на страницу деталей. 2. По формату собственных номеров предскажите идентификаторы чужих заказов. 3. Откройте чужой заказ и найдите среди перебираемых — заказ на товар «CTF Flag»: на его странице отображается флаг. ## Теория Дефектов здесь два, и они усиливают друг друга. Первый — предсказуемые идентификаторы: сплошная нумерация позволяет вычислить чужие номера, зная только свои. Второй — идентификатор трактуется как пропуск: знание номера считается доказательством права на доступ (антипаттерн «identifier as capability»). Аутентификация проверяется, а авторизация на конкретный объект — нет. **Уязвимый паттерн:** ```php $stmt = $db->prepare('SELECT id, user_id, product_name, price, created_at FROM orders WHERE id = ?'); $stmt->execute([$orderId]); $order = $stmt->fetch(); ``` Выборка фильтруется только по номеру из адреса — связи с текущим пользователем нет. Любой вошедший перебирает соседние значения от своего номера и читает заказы всех покупателей магазина: состав, суммы, даты. Предсказуемость делает разведку дешёвой, но корень проблемы — отсутствие проверки владельца: даже случайный идентификатор не спас бы без неё. ## Точка входа атаки `GET /order/<номер>` — страница деталей заказа (свой список заказов виден в профиле). * **Обычный пользователь:** `demo` / `demo` * **Регистрация:** можно создать собственного пользователя через `/register` Флаг — строка `flag{...}` на странице чужого заказа с товаром «CTF Flag»; сдаётся в форме проверки лабы.