Full account takeover — Never give up から学ぶ

ソース：

medium.com

脆弱性：IDOR

訳：

作業範囲は、target.com と呼ぶこのページでした 。
それは空のログインページでした。 

まずはファジングから始めました。
Dirsearch/Gobuster/Waybackurls では 何も得られず。
パラメータを手動で入力しようとしましたが、何もなく。

Burp Suite で遊び始めたのですが、ここからが面白くなってきました。

ログインしてみました:

パスワードをリセットしてみました:

さまざまな電子メールを試すことができ、それが存在するかどうかを教えてくれました::: ユーザー列挙の脆弱性。

POST リクエストを GET に変更すると、次の結果が得られました。

しかし、API/USERS に対して GET リクエストを実行したらどうなるだろうかと考えました。

64件のレコードを獲得しました!!

ほなほな。