记一次经验分享|价值 $2000 的越权（IDOR）漏洞分析

三垣网安

2026年7月31日 16:00
湖南

在小说阅读器读本章

去阅读

前言

改一个参数，收获 2000 美金漏洞赏金！

本次漏洞上报成功确认，漏洞类型为 InsecureDirect Object Reference（IDOR），最终获得 $2000 Bounty 奖励。该漏洞成因源于后端权限校验机制缺失，攻击者通过修改请求参数，实现未授权访问资源。

下文还原漏洞挖掘过程，演示漏洞利用方式，同时分享在日常测试中高效识别同类 IDOR 漏洞的思路。

一、通过修改role值提升为管理员账号

1、 已知该平台存在 admin、manager、view等用户权限

二、通过添加会员用户功能越权管理admin用户

1、 manager用户默认是可以管理普通用户，但是默认登录是无法管理其他非普通用户的账号

2、通过将admin 用户userid添加到管理会员列表中，可以管理admin用户。操作如下：

①修改个人信息时，请求中包含了谁可以管理本账号、我可以管理哪些账号

②将管理员userid添加到managerUserIds中

③可以越权管理admin用户

关注三垣网安，学习更多网安知识

网络空间安全#技术分享#渗透测试#越权