Skip to main content ホーム クリエイター haibo3434358 scareaisec idor-methodology
idor-methodology IDOR/BOLA 越权漏洞完整方法论 — 基于 250+ HackerOne 真实报告 + Intigriti/CN-SEC 实战技巧提炼。覆盖水平越权、垂直越权、盲 IDOR、GraphQL IDOR、二阶 IDOR、多租户越权、API 版本降级、文件资源 IDOR、批量操作越权、403 绕过。任何出现 user_id/order_id/file_id/org_id/tenant_id/uuid/资源 ID/批量 ids/导出任务/对象归属的场景都必须使用此 skill。
インストールへ移動 Skills Marketplace コミュニティが作成したAIスキルを発見・探索
Codex または Claude でインストール この Prompt をコピーして Codex、Claude、または他のアシスタントに貼り付けると、Skill ページを確認してインストールできます。
直接コマンドでは確認用 Prompt が省略されます。実行前にソースを確認してください。
npx skills add https://github.com/haibo3434358/ScareAISec --skill idor-methodologyコマンドは1行のまま表示されます。コピー前に横へスクロールして全体を確認してください。
ローカルで確認しますか？SkillsMP が現在取得できるファイルをダウンロードできます。
Zipをダウンロード ダウンロード中... name idor-methodology enabled true description IDOR/BOLA 越权漏洞完整方法论 — 基于 250+ HackerOne 真实报告 + Intigriti/CN-SEC 实战技巧提炼。覆盖水平越权、垂直越权、盲 IDOR、GraphQL IDOR、二阶 IDOR、多租户越权、API 版本降级、文件资源 IDOR、批量操作越权、403 绕过。任何出现 user_id/order_id/file_id/org_id/tenant_id/uuid/资源 ID/批量 ids/导出任务/对象归属的场景都必须使用此 skill。 priority 10 vuln_types ["IDOR越权","BOLA","水平越权","垂直越权","多租户越权","文件越权","批量越权","二阶IDOR","Mass Assignment"] triggers ["id","ids","uuid","user_id","uid","account_id","member_id","order_id","invoice_id","file_id","attachment_id","org_id","tenant_id","workspace_id","project_id","batch","bulk","export","owner_id"] synonyms ["idor","bola","broken object level authorization","insecure direct object reference","horizontal privilege escalation","object authorization bypass","越权访问","水平越权","对象越权"] metadata {"tags":"idor,insecure direct object reference,privilege_escalation,authorization,access-control,bola,越权,水平越权,垂直越权,权限绕过,对象引用,绕过,hpp,文件越权,批量操作,api,permission,role,admin,user_id,account,权限,token,session,jwt,接口越权,未授权访问,graphql,blind-idor,二阶idor","category":"discovery","authority":"expert"}
IDOR 越权漏洞完整方法论
数据来源 ：250 份 HackerOne 公开报告（2017-2025）分析 + Intigriti/CN-SEC 实战技巧
核心数据 ：36.4% 为 High/Critical，平均赏金 $2,941，最高 $20,000
关于本 Skill 的使用边界（读 Phase 之前必读）
本 Skill 是「对象级授权缺失（BOLA/IDOR）的发现与证据闭环手册 」，不是 「所有『能拿到别人数据』场景的判定器」，也不是 「权限越界的全集」。
不要 把「403/404 撒屏」等同于「不存在 IDOR」——Phase 6 的九类绕过中 任一未试完 都不能标 not_vuln。不要 把「只看到同账号返回 200」等同于「无越界」——IDOR 证据是「**不同归属主体（A/B 用户、两租户、两角色、两工作区）下响应出现各自唯一字段」，必须闭环。不要 把本 Skill 当成「身份认证绕过」或「权限提升」的主路——账号接管需 password-reset-attack/oauth-sso-attack，未认证访问需 no-auth-quick-test，JWT 伪造需 jwt-attack-methodology；本 Skill 假设你已拿到合法身份 ，只是考验「合法身份能不能摸别人的东西」。不要 把「业务就是该让代理/客服看所有工单」等同于「该接口本来就不该查权限」——不同 跨越边界（跨工作组/跨租户/跨项目/跨区域） 还是业务正常吗？必须验证。看到任何 id / uuid / *_id / ids[] / node(id:) / WebSocket 房间号 / 导出任务 / 批量接口 / 文件下载路径，都应把本 Skill 当作必查项 跳 Phase 1。
🤖 Agent 工具映射
操作 Agent 工具 建立 A/B 账号、角色、租户资源归属基线 browser_* + proxy_get_traffic替换 path/query/body/Header/Cookie/WebSocket 中的对象 ID proxy_replay / proxy_send_request去认证、低权限、跨账号、跨租户访问对照 proxy_send_request(..., drop_auth=True)对比 A 自己资源、B 资源、非法 ID、403 绕过响应 proxy_diff_responses查看完整响应字段、归属证据、错误差异和状态变化 proxy_get_flow_detail批量 ids、导出任务、GraphQL node 和异步任务验证 proxy_send_request + proxy_diff_responses固化三点闭环证据：当前身份、对象归属、越权结果 checklist_mark + note_addGraphQL/WebSocket/文件上传/403 绕过等专项
knowledge_load_skill
执行约束 ：没有第二账号/第二角色/第二租户归属闭环时不能标 not_vuln；只需用测试资源证明越权，不批量遍历真实用户，不执行不可恢复写操作。
0. 立即执行摘要：没有 A/B 归属闭环，不能判安全 看到任何 id、uuid、user_id、account_id、member_id、order_id、invoice_id、file_id、org_id、tenant_id、workspace_id、project_id、owner_id、ids[]、批量操作、导出任务、文件下载、GraphQL node、WebSocket room/channel 时，必须进入本 skill。IDOR 的核心证据是 当前身份是谁、被访问对象属于谁、服务端返回/执行了什么 。
用 A/B 两个测试账号建立资源归属基线；没有第二账号不能标 not_vuln，只能 needs_review。
覆盖 path、query、body、nested JSON、array、Header、Cookie、WebSocket message 中的对象 ID。
读操作、写操作、批量操作、导出/下载、异步任务、旧版本/移动端接口分别验证，不能互相代替。
403/404 后继续测试方法切换、Content-Type、路径变体、Header 覆盖、HPP、批量接口。200 后必须确认响应是否属于 B 账号/其他租户，不能只看状态码。
1. 对象类型触发矩阵 对象/参数 漏洞假设 立即测试 user_id/uid/account_id/member_id用户资料 IDOR A token 请求 B 用户资料 order_id/invoice_id/payment_id订单/财务越权 A 请求 B 测试订单/发票 file_id/attachment_id/media_id/key文件越权 A 下载 B 文件，未登录下载 URL org_id/tenant_id/workspace_id/project_id多租户越权 A 租户 token + B 租户 ID ids[]/batch/bulk/list批量越权 数组混入 B 的测试资源 ID export_id/task_id/job_id异步/二阶 IDOR 创建任务时替换归属 ID，取结果验证 GraphQL node/id GraphQL BOLA 查询/mutation 替换 global id WebSocket room_id/channel 实时通道越权 订阅 B 房间/项目频道
⚠️ 关键认知 IDOR 不是"低危小漏洞"——它是SRC 出洞率最高的漏洞类型 。开发者检查了"你是否登录"但没检查"你是否有权访问这条数据"。
缺少所有权验证（78% 的案例）
可预测的对象标识符（65%）
端点间授权不一致（45%）— 部分端点安全，新功能/内部 API 被遗漏
仅客户端安全（23%）— 前端隐藏 ≠ 后端保护
⛔ 安全边界（真实渗透测试必读）
使用自己的测试账号 ：必须用自己注册的 2 个测试账号互相测试，严禁读取/修改真实用户数据 禁止批量遍历 ：证明 IDOR 只需用 2 个 ID 对比即可（自己的 vs 另一个测试账号的），禁止遍历所有用户 ID 禁止写操作利用 ：确认读越权后，在报告中说明"理论上 PUT/DELETE 也可能越权"即可，不要实际修改/删除他人数据 禁止账户接管 ：不要修改其他账号的邮箱/密码，即使技术上可以敏感数据脱敏 ：如果看到了其他测试账号的数据，截图时脱敏处理
Phase 1: 发现 IDOR 入口
高价值参数名（必查清单） # 用户相关
user_id, id, uid, user, profile_id, account_id, member_id
# 交易相关
booking_id, order_id, transaction_id, payment_id, invoice_id
# 文件相关
document_id, file_id, attachment_id, media_id, asset_id
# 组织相关
project_id, org_id, team_id, workspace_id, tenant_id
# 内容相关
report_id, ticket_id, case_id, issue_id, request_id
comment_id, note_id, message_id, thread_id, conversation_id
入口位置（按优先级） 位置 示例 优先级 URL 路径 /api/users/1001🔴 高 Query 参数 ?user_id=1001&order_id=5003🔴 高 POST/PUT Body {"user_id": 1001}🔴 高 GraphQL 变量 query { user(id: 1001) {...} }🔴 高 Cookie/Header uid=1001 / X-User-Id: 1001🟡 中 文件路径 /uploads/user_1001/avatar.jpg🟡 中 WebSocket 消息 {"action":"getProfile","uid":1001}🟡 中
ID 泄露猎杀清单 来源 说明 其他 API 响应 请求 A 接口，响应中泄露其他用户的 ID 公开资料页 头像 URL、分享链接中包含 UUID 登录/注册响应 响应中可能包含 user_id 分享/邀请链接 链接中暴露资源 GUID 前端 JS 文件 搜索 userId、accountId 等关键词 API 文档/Swagger 暴露端点结构和参数名 Google Dorks site:target.com "userId"Wayback Machine 历史快照中可能记录 ID LocalStorage/Cookie 客户端存储中的 ID
Phase 2: 水平越权测试（读操作） 前提 ：至少需要 2 个账户（A=攻击者，B=受害者）
账户 A (uid=1001) 的 Token:
GET /api/users/1001/profile → 200（自己的数据，记录作为基线）
GET /api/users/1002/profile → 200 + 不同数据？→ IDOR！
GET /api/users/1/profile → 管理员数据？→ 垂直越权！
GET /api/users/0/profile → 500 错误泄露？→ 边界测试
GET /api/users/-1/profile → 触发异常？
响应判断矩阵 响应 判断 下一步 200 + 不同用户数据 ✅ IDOR 确认 保存证据，测写操作 200 + 相同数据 后端忽略了 ID 参数 换其他端点 200 + 空数据 用户不存在或数据为空 换 ID 范围 403/401 有权限检查 → Phase 6 绕过技巧 404 ID 不存在 换 ID 范围或枚举 500 后端报错 分析错误信息（SQL泄露？堆栈？）
Phase 3: 写操作越权（⚠️ 谨慎验证） 确认读越权后，在报告中说明写操作风险即可 ，大多数情况下无需实际执行写操作：
⚠️ 安全的验证方式（使用自己的两个测试账号）：
PUT /api/users/TEST_ACCOUNT_B {"email":"test-b-new@test.com"} → 能改？→ 记录+立即恢复
PATCH /api/users/TEST_ACCOUNT_B {"bio":"idor_test"} → 能改？→ 立即恢复原值
⛔ 禁止的操作：
DELETE /api/orders/5003 → 不可逆，禁止
POST /api/users/1/reset-pwd → 影响真实账户，禁止
PUT /api/users/1002/role {"role":"admin"} → 提权操作，禁止
关键发现 ：很多应用 GET 有权限检查但 POST/PUT/DELETE 忘了——在报告中指出这一点即可，无需实际执行破坏性操作。
Phase 4: 垂直越权 GET /api/admin/users → 管理员用户列表？
POST /api/admin/create-user → 能创建用户？
GET /api/admin/config → 系统配置泄露？
GET /api/internal/dashboard → 内部面板？
真实案例：审批/Workflow 系统 OA、合同审批、工单系统中，"审批"操作是最典型的垂直越权目标：
POST /contracts/1/approve
PATCH /contracts/1 {"status":"approved"}
POST /api/admin/approval {"id":1,"action":"approve"}
提权技巧
JWT Claims 篡改 ：解码 → 改 "role":"user" 为 "role":"admin" → alg:none 或弱密钥可伪造Mass Assignment ：注册/更新时注入 {"role":"admin","is_admin":true}伪造内部请求头 ：X-User-ID: admin_id、X-Forwarded-For: 127.0.0.1
Phase 5: 高级 IDOR 模式
5.1 GraphQL IDOR（增长 140%）
query { user( id : 1 ) { email phone ssn } }
query { user( id : 2 ) { email phone ssn } }
mutation { deletePost( id : "VICTIM_POST_ID" ) }
mutation { updateUser( id : "VICTIM_ID" , input : { email : "evil@x.com" } ) }
[
{ "query" : "{ user(id:1) { email } }" } ,
{ "query" : "{ user(id:2) { email } }" }
]
真实案例 ：Snapchat #1819832 — $15,000 — 通过 GraphQL mutation 删除任何人的 Spotlight 内容
5.2 二阶 IDOR（Blind IDOR） 漏洞组件间接引用 数据对象，操作结果不在当前响应中体现：
场景 利用方式 定时导出 创建导出任务时篡改 user_id → 定时任务导出受害者数据 通知触发 修改他人通知设置 → 对方收到邮件则操作成功 计时攻击 合法 ID 200ms vs 非法 ID 50ms → 通过响应时间判断 异步处理 Webhook 回调中的 ID 被异步处理，无即时响应
5.3 多步骤 IDOR 链 1. GET /api/comments → 评论中泄露 user_id: 1002
2. GET /api/users/1002/profile → 用泄露的 ID 读取个人资料
3. GET /api/users/1002/orders → 进一步读取订单数据
真实案例 ：Uber #1145428 — $5,750 — 3 漏洞链实现任意扣款：
IDOR #1 → 枚举优惠券 ID
IDOR #2 → 修改优惠券目标
Auth bypass → 应用到任意账户
5.4 API 版本降级 /api/v3/user/1001 → v3 已修复
/api/v2/user/1001 → v2 仍然存在 IDOR！
/api/v1/user/1001 → v1 更老，更可能存在
5.5 静态关键字替换 开发者用 me/current/self 引用当前用户，但 API 通常也支持数字 ID：
/api/users/me/profile → 正常
/api/users/1002/profile → IDOR！
5.6 文件/媒体资源 IDOR /uploads/user_1001/avatar.jpg → 改 1001 为 1002
/attachments/report-001.pdf → 遍历编号
/export/data-20260101.csv → 改日期遍历
S3/OSS 直链 ：https://bucket.s3.amazonaws.com/users/1001/doc.pdf 直接改路径可能绕过应用层权限
5.7 批量操作越权（⚠️ 仅验证可行性）
POST /api/users/bulk { "ids" : [ MY_ID, TEST_ACCOUNT_B_ID] }
POST /api/orders/export { "order_ids" : [ MY_ORDER, TEST_ACCOUNT_B_ORDER] }
5.8 多租户越权 /api/tenant/{my_org_id}/user/1001 → 换 org_id
/api/workspace/{my_ws}/data → 换 workspace
Phase 6: IDOR 绕过技巧（当返回 403 时）
💡 决策树警告 ：下面 9 类绕过是最常见的 403/404 撒屏反制 ，不是穷尽列举 。
特别注意：「9 类都试过还是 403」不能 直接判定为「不存在 IDOR」——
以下状況上面表格不覆盖，遇到必须补测：
业务层「软拒」 ：返回 200 但 body 为「无权限」提示——该场景是「隐性 403」，需用上面 9 类变体重试后绯错误不一致 ：{"code":403} vs {"code":404} vs {"code":-1} 常反映「对象存在与否」泄露，能打出枚举变越界跨服务授权不一致 ：主服务 403、外包服务（统计/导出/通知/审计/搜索备份）可能还是 200GraphQL 背包、批量、别名 ：@include / @skip / fragment / batch query / persisted query 常可绕过单点 403WebSocket / SSE / gRPC-Web 同业务另一道口 ：同一资源的 HTTP 接口 403，但长连接/推送通道未检查归属缓存/CDN 表现 ：If-None-Match / If-Modified-Since / Range / 负数字节 可让边缘 CDN 返回别人的 304/206
看到任一上述现象，返回本 Phase 手动构造变体 ，不要仅凭「9 类都试过」就标 not_vuln。
6.1 参数变形 绕过手法 示例 ID 数组包装 id=1002 → id[]=1002JSON 对象包装 id=1002 → {"id":{"$eq":1002}}JSON Globbing id=1002 → id=[1002,1003] / id=* / id=null负数/零 id=-1 / id=0 / id=undefined小数/前导零 id=1002.0 / id=00001002布尔值 id=true带分隔符 id="1001,1002"
6.2 编码绕过 方式 示例 URL 编码 /user/1002 → /user/%31%30%30%32双重编码 /user/%2531%2530%2530%2532Base64 解码 → 改 ID → 重新编码 十六进制 /user/123 → /user/0x7BUnicode /admin → /a%u0064min
6.3 HTTP 方法切换 GET /api/user/1002 → 403
PUT /api/user/1002 → 200（写操作反而没权限检查！）
PATCH /api/user/1002 → 200
DELETE /api/user/1002 → 200
6.4 Content-Type 切换 Content-Type: application/json → application/x-www-form-urlencoded
Body: {"id":1002} → id=1002
6.5 路径技巧 /api/users/victim_id → 403
/api/users/victim_id/ → 200（末尾斜杠）
/api/users/victim_id.json → 200（添加后缀）
/api/users/my_id/../../users/victim_id/profile → 200（路径穿越）
6.6 伪造请求头 X-Forwarded-For: 127.0.0.1
X-Real-IP: 127.0.0.1
X-Original-URL: /admin/users/victim_id
X-Rewrite-URL: /admin/users/victim_id
X-User-ID: victim_id（微服务架构常见）
6.7 HPP 参数污染 ?id=my_id&id=victim_id（后端可能取最后一个）
?user_id=my_id&user_id=victim_id
6.8 403 但操作已执行 DELETE /file/victim_id → 403 Forbidden
但刷新文件列表后文件确实被删除！（盲 IDOR）
6.9 403 响应差异分析 403 + "Permission denied" → ID 有效但无权限
403 + "Resource not found" → ID 无效
（不同错误消息暗示 ID 是否存在）
Phase 7: 框架特征 IDOR 框架 高发点 原因 Spring Data REST /{entity}/{id} 全暴露自动生成 CRUD，默认无权限 Django REST Framework /api/{model}/{pk}/ViewSet 忘加 permission_classes Express + Mongoose /api/users/:id中间件顺序错误 Laravel /api/{model}/{id}忘加 Policy GraphQL (任何) query { node(id:"...") }Relay Global ID 暴露任意对象 gRPC/Protobuf 二进制请求中的 ID 字段 需解码修改重编码 REST + HATEOAS 响应 _links 中的 URL 直接修改 href 访问
Phase 8: IDOR 组合攻击 组合 效果 案例 IDOR + XSS 注入 XSS 到他人账户 Self-XSS 升级为 Stored-XSS IDOR + CSRF 诱导受害者触发越权操作 无 token 的 PUT 请求 IDOR + 文件上传 覆盖他人文件/上传恶意文件到他人目录 头像覆盖 IDOR + 信息泄露 一步泄露 ID → 二步越权读数据 评论泄露 user_id → 读 profile IDOR + 竞态条件 并发请求绕过单次权限检查 批量 API 竞态
🚨 证据级响应与记录时机 只要拿到证据级响应，立即 checklist_mark(... result="vulnerable")，不要等把所有越权链测完。 IDOR 的证据来自"三点闭环"：当前身份是谁、访问的对象属于谁、响应/状态变化证明了什么 。
IDOR 证据级响应（任一即可）
✅ A 账号 Token 请求 B 账号资源，响应中出现 B 的唯一字段（邮箱、手机号、订单号、文件名、租户名等）
✅ 普通用户访问管理员/其他角色资源，返回管理数据或执行了管理动作
✅ 批量接口混入其他用户 ID 后，响应一并返回或处理了其他用户对象
✅ 写操作使用自己的两个测试账号验证，A 能修改/绑定/删除 B 的测试资源，且可立即恢复
✅ 403/404 绕过后，同一资源从拒绝访问变为返回真实业务数据
结果分级
vulnerable：有明确两账号/两角色/两租户对照，能证明越权读或安全可恢复的越权写needs_review：存在响应差异、ID 泄露、错误信息或可疑状态变化，但缺少第二账号/第二角色闭环not_vuln：完成最低必测自检，所有对象替换、Body ID、批量、写操作和 403 绕过均无越权证据skipped：缺少必要条件导致无法测试，例如没有第二账号、没有可替换对象 ID、没有授权测试写操作；必须说明缺失条件
输出格式 [IDOR/BOLA检查]
入口/接口：
对象类型：用户/订单/发票/文件/项目/组织/租户/批量/导出任务/GraphQL/WebSocket/其他
测试身份：A账号/B账号/低权限/高权限/A租户/B租户/未登录
测试位置：path/query/body/nested-json/array/header/cookie/ws-message
测试动作：ID替换/批量混入/写操作/导出任务/旧版本/403绕过/多租户
归属证据：B唯一字段/租户名/文件名/订单号/状态变化/无
结论：confirmed_vuln | suspected_vuln | needs_review | not_vuln
未测原因：缺第二账号/缺对象ID/缺租户/禁止写操作/其他
记录格式 checklist_mark(vuln_type="IDOR/越权", result="vulnerable",
detail="A账号(<角色/租户>) 使用自己的认证访问 B账号资源 <endpoint/id>，响应包含 B 的 <唯一字段>；已用 B账号确认资源归属。")
note_add(type="result", content="补充请求/响应对、账号归属证明、影响范围、是否存在写操作风险。")
Phase 9: 证据收集规范 $500 与 $20,000 报告的区别在于你展示的影响力。
有效 PoC 必须包含
请求/响应对 ：完整 HTTP 请求（含认证头）+ 完整响应两账号对比 ：A 账号访问 B 的数据，B 账号确认数据属于 B关键字段标注 ：高亮响应中的敏感字段（姓名/邮箱/手机号）影响力说明 ：写操作能力、爆炸半径（影响多少用户）、链式攻击可能
升级影响力的技巧（报告中说明，不实际执行）
不要止步于"能看到用户#2的资料"
在报告中说明写操作可能性 （如 PUT/DELETE 端点也无授权检查）
在报告中说明批量影响 （ID 可遍历 → 影响所有用户）
在报告中说明链式攻击可能 （IDOR → 读取邮箱 → 密码重置 → 账户接管）
在报告中说明敏感数据类型 （PII/金融/医疗）
⛔ 禁止 ：实际遍历所有用户、实际修改/删除数据、实际接管账户
✅ 好的证据:
"用 A 账号(uid=1001) 的 token 请求 /api/users/1002/profile，
返回了 B 账号的姓名(张三)、邮箱(zhangsan@test.com)、手机号(138xxxx)。
进一步测试 PUT /api/users/1002 可修改邮箱，实现账户接管。
影响：任意用户数据泄露+账户接管，影响全部 10 万+ 注册用户。"
❌ 差的证据:
"请求 /api/users/1002 返回了 200"
每确认一个 IDOR 立即 vuln_verify + note_add(type="result") 记录。
真实案例速查表 目标 漏洞 赏金 关键发现技巧 GitLab 通过项目导入窃取私有对象 $20,000 导入文件中注入外部 issue_id Snapchat 删除任何人的 Spotlight 内容 $15,000 GraphQL mutation 无授权 PayPal 向商户添加未授权用户 $10,500 多步流程第二步缺检查 Uber 3漏洞链任意扣款 $5,750 优惠券 ID 枚举 + 目标篡改 Shopify 跨店铺计费访问 $5,000 多租户 ID 替换
⛔ 「最低必测自检」— 标 not_vuln/skipped 前必答 任何 IDOR 项准备标 not_vuln 或 skipped 前，逐条对照下面 7 个问题 回答你做了什么。
任何一项答"未尝试"且没有合理跳过理由 → 不能 not_vuln，必须补测 。
把答案写进 checklist_mark 的 detail 字段（精简版即可），note_add 中可以详写：
# 必测项 跳过的合法理由（任一即可） 1 路径/Query ID 替换 ：把 path 中的数字 ID（或 ?xxx_id=、?uid=）改成至少 2 个其他值（自己另一个测试账号、+1、随机大数 9999），观察响应是否返回他人数据？接口路径和参数中完全没有 数字/UUID 类标识 2 响应中泄露的 ID 反向利用 ：测过该接口前，先看响应里有没有泄露其他用户的 *_id、uuid、关联实体 ID？拿这些 ID 反过来去请求当前接口或同模块其他接口？响应中确实没有任何 ID 字段 3 Body 中的 ID 字段 （POST/PUT/PATCH/DELETE）：请求体中如果有 id/xxx_id/uuid 类字段，必须改成其他值重发对比该接口是 GET 且 URL 无 ID 参数 4 Mass Assignment 形态 （POST/PUT 创建/修改类）：在请求体中追加 敏感字段（role、is_admin、account_id、workspace_id、responder_id、creator_id、owner_id、status、approved），看服务端是否接受？该接口是只读 GET 5 批量/邻接接口 ：如果有 /batch、/bulk、/list?ids=...、/adjacent_*、/related/* 这类接口，必须在 ids 列表中混入其他用户的 ID ，看是否一并操作了？该模块确实没有批量/邻接类接口 6 写操作越权探测 ：如果有同一资源的 PUT/PATCH/DELETE，至少对 1 个改 ID 试一次（不需要真的改坏数据 ，看是否返回 200/204 即可推断）该资源完全只读 7 403/404 撞墙时 → 5 种绕过技巧 （来自本 SKILL Phase 6）：HTTP Verb 切换（GET ↔ POST）、添加 X-Original-URL/X-Forwarded-For/X-Custom-IP-Authorization、双 URL 编码、加 ..;/ 路径混淆、改 Accept 类型为 XML/JSON 看是否绕过接口正常返回 200 没有撞墙
跳过的"非法"理由（这些不算 合理跳过，看到要驳回）
❌ "代理/管理员本就能看所有工单，业务正常" → 可能是真 正常，但你必须证明：换了另一个不同工作组/角色/租户 的资源 ID 也能看到？跨工作组也算正常？
❌ "RESTful 接口不接受自定义参数" → 你试过 ?include=*、?fields=password、?expand=related 这种框架性的隐式参数 吗？
❌ "受 CSRF 保护无法 PUT" → 那你从浏览器 DOM 抓 CSRF token 带上 token 重发了吗？
❌ "需要 JWT 当前只有 Cookie" → 你试过从 localStorage、sessionStorage、网络流量样本中提取已有 JWT 重用吗？
❌ "无该资源的其他 ID 可测" → 你试过从其他 API 响应、JS bundle、URL 历史中收集 ID 吗（参考 Phase 1 ID 泄露猎杀清单）？
📚 知识库（按需加载） 知识库 内容 加载方式 IDOR 真实案例库 7 个 H1 真实案例 + 绕过技巧 + 思维链模板 knowledge_load_skill("idor-methodology/cases")国产组件指纹 国产中间件默认路径 + 默认凭据 knowledge_load_skill("china-specific/fingerprints")
⚠️ Skill 边界与逃逸 本 Skill 覆盖的是「合法身份下的对象级越界 （BOLA）+ 403/404 绕过 + Mass Assignment + 二阶/多租户/批量/GraphQL/WebSocket 变体」，以下场景必须从本 Skill 主动逃逸到联动 Skill ：
现场信号 应跳转/联动的 Skill 或方向 接口 未认证就能调 （未登录拿到他人数据） no-auth-quick-test（不是 IDOR，是完全漏授权）密码重置/邮箱绑定/手机号修改 可越界password-reset-attack（定性为账号接管而非 IDOR）越界携带 JWT/SAML/OAuth token jwt-attack-methodology / oauth-sso-attack全局越界 （普通用户能调管理后台/内部 API）auth-bypass-methodology + privilege-escalation-web越界读取的是 SSRF/LFI/XXE/SSTI 带出的外部资源 对应 Skill 主线，不是 IDOR 越界携带 交易/订单/价格/优惠券 业务逻辑 business-logic-attackGraphQL 介绍/复杂查询交互 占主导graphql-methodology（以本 Skill 5.1 为补充，不取代）多账号原始会话导入 setup-browser-cookies / 浏览器会话导入 Skill只拿到路径/Cookie/Header 没拿到会话 entry-point-mapping + js-api-extract，先补身份再进本 Skill需要判定是否为「业务本身该权限」 multi-role-recon（多角色/多租户探查）先画出权限边界不会拍脑袋
一句话 ：本 Skill 是「拿到身份后能不能摸别人东西」的动作手册，不是「身份从哪里来」也不是「什么都能摸」的判决书。任何接口只要有对象标识符（数字 ID / UUID / global id / room_id / 任务 id / 文件 key / 资源 路径）且能看到跨归属主体的差异响应，都要进本 Skill；但如果你是在「越界可接管账号/可提权/可改价格/可绕认证」路上，请以上表中的主 Skill 为主路，本 Skill 只作为「资源归属闭环」补证 。
