Выбор ответа Junior Авторизация: IDOR, RBAC, ABAC спрашивают часто обновлено
Что такое IDOR
Вопрос
Что такое IDOR?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Сервер отдаёт или меняет объект по id от клиента, не проверив права на него. Суть IDOR в отсутствии проверки доступа к объекту.
Варианты ответа
- Внедрение SQL через идентификатор объекта в параметре запроса
- Утечка идентификатора сессии в URL, логах прокси и заголовке Referer
- Использование последовательных числовых идентификаторов, которые легко перебрать
- Сервер отдаёт или меняет объект по id от клиента, не проверив права на негоправильный ответ
Разбор
Суть IDOR в отсутствии проверки доступа к объекту. SQL-инъекция другой класс. Последовательные id облегчают перебор, но сами уязвимостью не являются: при правильной проверке их перебор ничего не даст.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.