Vertical IDOR: Доступ к админ-панели без проверки роли

# Vertical IDOR: административные функции без проверки роли ## Сценарий Вы проводите аудит сервиса аналитики доставки «Ледник» (нативный PHP, SQLite) перед выдачей доступа франчайзи-партнёрам. В приложении есть административная панель: управление пользователями, статистика, операции над балансами. В навигации обычного аккаунта ссылок на неё нет, и разработчик уверен, что админка «спрятана». Заказчик попросил проверить, так ли это, — доступ партнёров ограничен договором, и утечка административных функций стоила бы штрафа. ## Цель 1. Войдите под обычной учётной записью и проверьте типичные адреса административного раздела напрямую — отсутствие ссылки в интерфейсе ничего не значит. 2. Определите, какие административные эндпоинты проверяют только факт входа и не спрашивают роль. 3. В разделе статистики заберите секретный административный токен — это флаг. Убедитесь, что и изменяющие операции доступны обычному пользователю. ## Теория Вертикальная эскалация привилегий: вошедший пользователь низкой роли выполняет операции высокой. Проверка доступа состоит из двух слоёв — аутентификации («вошёл?») и авторизации («имеет право на эту операцию?»); в этой лабе у административных обработчиков реализован только первый. Отсутствие ссылки в интерфейсе — не защита, а надежда на неосведомлённость. **Уязвимый паттерн:** ```php $user = getUser($db); if ($user === null) { header('Location: /login'); exit; } // No role check — any authenticated user can see admin panel ``` Каждый административный обработчик начинает с этой пары строк и идёт дальше без вопроса о роли. Любой вошедший пользователь открывает панель и статистику по прямым адресам, а изменяющие операции — удаление пользователей и правка балансов — отправляет от своего имени: сервер исполняет их как легитимные административные действия. В статистике утекает и секретный токен администратора. ## Точка входа атаки * **Панель:** `GET /admin` * **Статистика с токеном:** `GET /admin/stats` * **Изменяющие операции:** `POST /admin/delete/<id>`, `POST /admin/balance/<id>` * **Обычный пользователь:** `demo` / `demo` Флаг — «secret admin token» на странице статистики; сдаётся в форме проверки лабы.