IDOR: Вертикальная эскалация привилегий

# Вертикальная эскалация привилегий (IDOR) ## Сценарий Вы — безопасник на аутсорсе у «ЛампаМаркет» — магазина винтажной электроники и лампового декора. Во внутреннем портале магазина есть административный раздел: список пользователей, статистика продаж, управление учётными записями. Разработчик уверяет, что раздел закрыт «на замок», но уволившийся стажёр настаивал, что заходил туда под своей обычной учёткой. Проверить это попросили до встречи с инвесторами. ## Цель 1. Войдите как обычный покупатель и осмотрите функционал, доступный вам в интерфейсе. 2. Проверьте, действительно ли все административные страницы сверяют роль вошедшего пользователя. 3. Через административную страницу со сводной информацией добудьте флаг, не имея роли администратора. ## Теория Вертикальная эскалация привилегий — случай, когда пользователь с низкими правами добирается до функций с высокими. Контроль доступа состоит из двух независимых слоёв: аутентификация отвечает «вы вошли», авторизация — «вам можно эту операцию». Обработчик, проверяющий только первый слой, пропустит любого вошедшего. Скрытость ссылок в интерфейсе защитой не является: закрытые адреса угадываются по стандартным конвенциям или находятся в клиентском коде страниц. **Уязвимый паттерн:** ```python user = get_user() if not user: return redirect('/login') # далее сразу бизнес-логика административной страницы ``` Между проверкой сессии и работой с данными нет сверки роли, поэтому страница выполнится для любой учётной записи. Учтите: одни административные разделы могут быть защищены правильно, другие — забыты; искать нужно именно забытый. ## Точка входа атаки Административный раздел портала: `GET /admin` и его подразделы (статистика, управление учётными записями). Для входа используйте `POST /login` с полями `username` и `password`. * **Обычный покупатель:** `demo` / `demo`