记一次经验分享|改个参数，500$赏金到账：IDOR 漏洞实战复盘

三垣网安

2026年8月2日 22:49
湖南

在小说阅读器读本章

去阅读

前言

一串参数绕过防护，拿下 500 美金赏金！

本次 IDOR 漏洞已成功上报确认，核心问题就是后端没做好权限校验，改改参数就能越权访问数据。

下面聊聊整个挖掘过程、利用方式，顺带分享日常找这类漏洞的小技巧。

一、替换复杂id进行越权操作

1、使用不同权限账号登录系统，各自创建一个班次记录

①低权限用户 22684363

②高权限用户 22684364

2、低权限用户只能看自己能看到的记录，高权限用户可以看到所有的记录

3、用户访问记录时，请求包中默认都是该记录的复杂id，以低权限用户为例

（后续补的图）

4、此时，尝试替换复杂id 为 简单id，即xxxxx-xxxxx-xxxxx-xxxxx为22xxxx

发现可以正常访问相同的数据

5、尝试遍历id，发现访问团队内其他用户的id是403，非团队内其他用户的是404

6、对该记录进行其他功能的使用，发现check out存在越权

请求为：

https://xxxx.asdasdasdasd.xom/api/internal/shifts/xxxx-yyyyyy-asdasdadasda-dgfhdfhfghjfgh/check\_out.json

替换id：

https://xxxx.asdasdasdasd.xom/api/internal/shifts/226xxxxx/check\_out.json

7、最后替换id为高权限用户的记录id  22684364

8、发现不仅能越权获取记录详情，同时还可以checkout他人记录

关注三垣网安，学习更多网安知识

网络空间安全#技术分享#漏洞挖掘#越权