IDOR: Доступ к чужому счёту

# IDOR: доступ к чужим счетам ## Сценарий Вы проводите аудит **NorthLedger** — платформы заказов на Flask, выросшей из небольшого магазина: у каждого покупателя есть личные счета — документы с суммами, покупками и платёжными деталями. Бухгалтерия настаивала, чтобы счета были «приватными как сейф», и разработчик заверил: доступ к ним только у авторизованных пользователей. Финансовый директор перед годовым отчётом заказал проверку независимым аудитом. Заверение верно лишь наполовину: авторизация на страницах счетов есть, но это аутентификация — проверка «вошёл ли пользователь». Проверки «вправе ли именно этот пользователь смотреть именно этот счёт» в одном из мест нет. Такая пара ошибок — классическая **Insecure Direct Object Reference**: идентификатор документа прямо в адресе, а владелец не сверяется. Среди счетей есть и чужой конфиденциальный — с флагом. ## Цель 1. Авторизуйтесь как обычный пользователь и изучите раздел своих счетов: как устроены адреса страниц деталей. 2. Определите, что именно решает, какие счета вам доступны, — и что произойдёт при подстановке в адрес идентификатора из чужого диапазона. 3. Прочитайте чужие счета, воспользовавшись отсутствием проверки владельца. 4. Найдите среди них конфиденциальный счёт с флагом. ## Теория Прямая ссылка на объект (`/invoice/<номер>`) — самый распространённый способ адресации ресурсов. Проблема возникает, когда сервер выбирает запись только по этому номеру, игнорируя, кому она принадлежит: аутентификация подтверждает личность, но не права на конкретный ресурс. Числовые идентификаторы предсказуемы и перебираются подряд, поэтому «скрытость» ссылки не защищает: любой вошедший пользователь способен пройтись по чужим документам, меняя номер в адресе. Защита строится на сверке владельца ресурса с текущим пользователем из серверной сессии — на каждом запросе. **Уязвимый паттерн:** ```python 'SELECT id, user_id, title, amount, description FROM invoices WHERE id=?' ``` Выборка выполняется только по идентификатору из адреса; условие на владельца отсутствует. ## Точка входа атаки `GET /invoice/<id>` — страница деталей счёта по числовому идентификатору. Список своих счетов — `GET /invoices`. **Обычный пользователь:** `demo` / `demo`