Wstęp:

W świecie e-commerce niezwykle ważne jest posiadanie silnych środków bezpieczeństwa w celu ochrony poufnych informacji i zapobiegania nieuczciwym działaniom. Jednak często pomijanym typem luki w zabezpieczeniach jest Insecure Direct Object Reference (IDOR). Luki IDOR pojawiają się, gdy osoba atakująca jest w stanie uzyskać dostęp do poufnych danych lub je zmodyfikować, bezpośrednio odwołując się do obiektu bez żadnej autoryzacji.

Ponieważ witryny e-commerce często przetwarzają duże ilości danych osobowych i finansowych, ważne jest, aby rozpoznać potencjalne luki IDOR i podjąć kroki, aby im zapobiec.

Obszary w witrynach e-commerce podatne na ataki IDOR:

Istnieje kilka obszarów witryn e-commerce, które są szczególnie narażone na ataki typu IDOR. Obejmują one:

• Status zamówienia: atakujący może uzyskać dostęp do zamówień, które do niego nie należą, lub zmodyfikować je.
• Historia zamówień: osoba atakująca może przeglądać lub modyfikować historię zamówień innych użytkowników.
• Szczegóły konta: osoba atakująca może uzyskać dostęp do danych osobowych, takich jak adresy e-mail lub metody płatności, lub je zmodyfikować.
• Pobieranie plików PDF: osoba atakująca może być w stanie pobrać pliki PDF lub zamówić status innych użytkowników.

Opis obszarów w serwisach e-commerce, które są podatne na ataki IDOR:

W witrynach e-commerce istnieje kilka obszarów, które są szczególnie podatne na ataki typu IDOR. Obszary te obejmują:

• Adresy URL, które zawierają odniesienia do prywatnych danych użytkownika, takich jak numery zamówień lub identyfikatory kont.
• Strony, które pozwalają użytkownikom przeglądać lub modyfikować własne dane, takie jak status zamówienia lub szczegóły konta.
• Strony, które generują dynamiczną zawartość, np. pliki do pobrania w formacie PDF.

Wyjaśnienie, w jaki sposób mogą wystąpić ataki IDOR w tych obszarach:

Ataki IDOR mają miejsce, gdy osoba atakująca może bezpośrednio odwołać się do wrażliwego obiektu bez żadnej autoryzacji. W witrynach e-commerce może się to zdarzyć, gdy strona lub adres URL zawiera odniesienie do danych prywatnych, ale nie sprawdza prawidłowo uprawnień użytkownika do dostępu do tych danych.

Na przykład strona, która umożliwia użytkownikom przeglądanie własnej historii zamówień, może zawierać adres URL, który wygląda tak:

https://example.com/account/orders/12345

Jeśli osoba atakująca po prostu zmieni numer zamówienia w adresie URL na numer zamówienia innego użytkownika, może przeglądać historię zamówień tego użytkownika bez odpowiedniej autoryzacji.

Moje ostatnie doświadczenie w testowaniu witryn e-commerce:

Podczas mojego niedawnego testowania witryn e-commerce odkryłem dwie luki IDOR w witrynie e-commerce. Te luki w zabezpieczeniach pozwoliły mi uzyskać dostęp do historii zamówień innych użytkowników i pobrać pliki PDF oraz status zamówień dla innych użytkowników.

Obie te luki były związane z nieprawidłowym sprawdzaniem autoryzacji adresów URL, które zawierały odniesienia do danych prywatnych. Modyfikując te adresy URL, mogłem uzyskać dostęp do poufnych danych, które powinny były być chronione.

Przegląd ostatnich doświadczeń z testowaniem witryn e-commerce:

Podczas mojego ostatniego doświadczenia w testowaniu witryn e-commerce miałem okazję przeanalizować bezpieczeństwo różnych witryn e-commerce. Podczas gdy niektóre strony internetowe miały solidne środki bezpieczeństwa, inne miały luki, które mogli wykorzystać atakujący.

Wykrycie dwóch luk IDOR w witrynie e-commerce:

Podczas moich testów odkryłem dwie luki IDOR w witrynie e-commerce. Te luki w zabezpieczeniach pozwoliły mi uzyskać dostęp do historii zamówień innych użytkowników i pobrać pliki PDF oraz status zamówień dla innych użytkowników.

Luki były związane z niewłaściwą weryfikacją autoryzacji adresów URL, które zawierały odniesienia do prywatnych danych. Modyfikując te adresy URL, mogłem uzyskać dostęp do poufnych danych, które powinny były być chronione.

Luka w zabezpieczeniach identyfikatora IDOR na stronie historii konta:

Jedna z odkrytych przeze mnie luk IDOR była związana ze stroną historii konta w witrynie e-commerce. Ta strona umożliwiała użytkownikom przeglądanie własnej historii zamówień poprzez podanie numeru zamówienia w żądaniu HTTP.

Jednak zmieniając wartość parametru „orderno” w żądaniu HTTP, osoba atakująca może uzyskać dostęp do historii zamówień innych użytkowników. Na przykład osoba atakująca może użyć następującego żądania HTTP, aby uzyskać dostęp do historii zamówień innego użytkownika:

GET /account.php?history=y&orderno=10425128 HTTP/2

Wykorzystując tę ​​lukę, osoba atakująca może potencjalnie uzyskać dostęp do poufnych informacji o innych użytkownikach, takich jak szczegóły zamówienia i adres wysyłki.

Luka IDOR w funkcji pobierania plików PDF:

Druga luka IDOR, którą odkryłem w witrynie e-commerce, była związana z funkcją pobierania plików PDF. Witryna umożliwiała użytkownikom pobranie pliku PDF ze szczegółami zamówienia, uzyskując dostęp do adresu URL https://example.com/pdf/<orderno>.pdf.

Jednak zmieniając numer zamówienia w adresie URL na numer zamówienia innego użytkownika, osoba atakująca może pobrać plik PDF zamówienia tego użytkownika. Na przykład osoba atakująca może użyć następującego adresu URL, aby pobrać plik PDF dla zamówienia innego użytkownika:

https://example.com/pdf/10425128.pdf

Wniosek:

W tym artykule omówiliśmy luki IDOR (Insecure Direct Object Reference) w witrynach e-commerce. Te luki w zabezpieczeniach mogą wystąpić, gdy osoba atakująca może uzyskać dostęp do danych i manipulować nimi bez odpowiednich kontroli autoryzacji. Zidentyfikowaliśmy dwa obszary w witrynach e-commerce, które są szczególnie podatne na ataki IDOR: strony historii konta i funkcje pobierania plików PDF.

Zachęta dla witryn e-commerce do podjęcia kroków w celu zapobiegania atakom IDOR:

Witryny e-commerce powinny podejmować kroki, aby zapobiegać atakom IDOR, wdrażając odpowiednie kontrole autoryzacji i bezpieczne praktyki kodowania. Może to obejmować takie środki, jak kontrola dostępu, sprawdzanie poprawności danych wejściowych i kodowanie danych wyjściowych. Regularne testy bezpieczeństwa mogą również pomóc zidentyfikować luki w zabezpieczeniach i zapewnić, że strony internetowe pozostaną bezpieczne przez długi czas. Podejmując te kroki, witryny e-commerce mogą zmniejszyć ryzyko ataków IDOR i lepiej chronić poufne informacje swoich użytkowników.