如何用BurpSuite实现越权漏洞IDOR的自动发现识别

# 如何用BurpSuite实现越权漏洞IDOR的自动发现识别 ## 一、IDOR漏洞概述 **不安全的直接对象引用**（Insecure Direct Object Reference，IDOR）是OWASP Top 10中的经典漏洞类型。攻击者通过修改请求参数（如用户ID、订单号等）直接访问未授权资源，典型场景包括： - 用户A通过修改URL中的`user_id=1001`访问用户B的数据 - 通过递增发票编号`/invoice/12345`获取他人票据 - 未验证权限的API接口返回敏感数据 ## 二、BurpSuite自动化检测原理 BurpSuite通过以下机制实现IDOR自动化检测： 1. **流量代理**：拦截所有HTTP请求/响应 2. **参数标记**：识别潜在的可控参数（数字、GUID等） 3. **变异测试**：自动修改参数值并重放请求 4. **差异分析**：对比响应内容判断越权可能 ## 三、具体操作步骤 ### 3.1 环境准备 ```bash # 所需工具 - BurpSuite Professional 2023+ - 测试目标：DVWA/vulnerable-api - 浏览器配置代理：127.0.0.1:8080 

3.2 基础配置流程

1. 启动代理监听

   • Project options > Connections > 确认8080端口监听
   • 安装CA证书（https://burp/cert）

2. 爬取目标站点

   # 使用Burp Spider自动爬取 Target > Site map > Right click > Spider this host 

3. 启用Scanner模块

   • Dashboard > New scan > 配置扫描范围
   • 勾选”Audit checks - Insecure direct object references”

3.3 高级自动化技巧

方法一：使用Intruder模块

1. 拦截包含ID参数的请求：

   GET /api/userinfo?uid=1001 

2. 发送至Intruder > Positions：

   GET /api/userinfo?uid=§1001§ 

3. 设置Payload类型：

   • Numbers：1001-1005（顺序递增）
   • Custom list：已知存在的ID值
   • Runtime file：导入用户ID字典

4. 添加Grep-Match规则：

   // 标记敏感字段用于差异比对 "email":".+@.+\\..+", "phone":"\\d{11}" 

方法二：Autorize插件

1. 安装扩展：

   • BApp Store > 搜索”Autorize” > Install

2. 配置检测逻辑：

   # 以低权限用户（如user）登录后 # 插件自动用高权限账户（如admin）重放请求 

3. 检查响应差异：

   • 200状态码 + 不同数据内容 → 潜在IDOR
   • 403状态码 → 安全

3.4 结果验证方法

1. 人工确认步骤：

   • 相同请求不同参数返回数据相似度 >80%
   • 响应包含其他用户的PII信息

2. Burp Scanner报告示例：

   <issue> <severity>High</severity> <confidence>Certain</confidence> <detail> 通过修改uid参数可越权访问用户数据 [请求对比] uid=1001 vs uid=1002 [响应差异] 手机号、地址字段不同 </detail> </issue> 

四、绕过防护的进阶技巧

当遇到防御措施时，可尝试：

1. 编码混淆：

   # 原始ID：1001 → 变异为： HEX：0x3e9 Base64：MTAwMQ== URL编码：%31%30%30%31 

2. 参数移位： “`http

   原始请求

   GET /api/data?id=1001

# 修改为 GET /api/data/1001 POST /api/data {“id”:1001}

 3. **时间延迟**： ```java // 在Intruder中添加随机延迟（300-500ms） Thread.sleep(random.nextInt(200) + 300); 

五、防御建议

1. 服务端措施：

   // 强制权限验证 function getOrder($order_id) { if ($_SESSION['user_id'] != Order::owner($order_id)) { throw new ForbiddenException(); } // ... } 

2. 替代方案：

   • 使用UUID代替自增ID
   • 实现临时访问令牌（JWT）

3. 监控方案：

   -- 审计日志记录异常访问 INSERT INTO access_log VALUES (NOW(), 'uid=1001->1002', '403'); 

六、总结

BurpSuite的自动化检测可覆盖70%以上的基础IDOR漏洞，但需注意： - 结合手动测试验证关键业务流 - 定期更新ID生成规则字典 - 关注API GraphQL等新型接口

本文测试方法仅限授权环境使用，未经授权的测试属于违法行为。 “`

该文档包含： - 技术原理说明 - 分步骤操作指南 - 实际配置示例 - 防御方案建议 - 符合Markdown语法规范 - 字数约1250字