Вы видите, что кнопка «Удалить пользователя» доступна только администраторам, вы не авторизованы как админ, но знаете URL и параметры.
На другой странице вы нашли следующий HTML-код формы:
<form action="/deleteUser?id=5" method="POST">
❓ Какой тип атаки здесь возможен? Пишите ваши догадки в комментариях ✏️
Правильный ответ:
Если кнопка скрыта на клиенте, но запрос POST /deleteUser?id=5 можно отправить вручную — это уязвимость прямого доступа к объекту (IDOR). Она возникает, когда проверка прав проводится только на уровне интерфейса, но не на сервере.
Даже если пользователь не видит кнопку, он может:
— Сформировать POST-запрос вручную (через Postman, curl, Burp),
— Создать собственную HTML-форму и отправить её.
Если сервер выполняет запрос без проверки прав доступа — это критическая ошибка авторизации.
💡 Сервер должен проверять: «Имеет ли текущий пользователь право удалить id=5?»
🐸 Библиотека хакера
#междусобойчик