ゆめさくセキュリティ

IDOR

他人のデータに届く認可の漏れ

URL の番号を 1 つ変えるだけで、ほかの人の注文や書類が見えてしまう穴です。

どこで混ざるか

ログインした人と、頼まれたデータの持ち主を突き合わせる所

守りの 3 行

  1. 1すべての操作で、その人がそのデータを扱ってよいかを確かめる
  2. 2確かめる処理を 1 か所にまとめ、書き忘れを防ぐ
  3. 32 人の利用者で、互いのデータに届かない試験を置く
次に読むレッスン 2-4認可の設計 修了の条件 すべての操作に認可が要る理由を、例を挙げて説明できる 目安 60 分読む

同じレッスンにつながる事例

ほかの攻撃