Insecure Direct Object Reference (IDOR) terjadi saat aplikasi menyediakan akses langsung ke objek berdasarkan masukan yang diberikan pengguna. Hal ini memungkinkan hacker untuk mem-bypass autentifikasi standar dan mengakses catatan database maupun sumber daya lain.
Karena platform ini berjalan pada environment production maka rasanya tidak etis jika menggunakan data production sebagai bahan uji penetrasi, oleh karena itu untuk melakukan uji penetrasi ini dibutuhkan setidaknya 2 akun tester yang didapat dengan memanfaatkan .
2 akun ini akan bertindak sebagai :
Celah keamanan IDOR ini terdampak pada Reply Message yang mengakibatkan attacker dapat menambahkan/membuat pesan pada setiap laporan victim/target.
- two account for example :
1. akun penyerang/attacker
2. akun korban/victim
- Submit Vulnerability Report for example :
1. attacker membuat laporan dengan nama : IDOR
2. victim membuat laporan dengan nama : IDOR-Victim
- attacker melakukan balasan chatting pada laporan dengan nama IDOR, tetapi attacker menganti nomor ID laporan dengan ID laporan victim/korban yaitu ID laporan IDOR-Victim. karena tidak ada filter pada fitur chatting oppo mengakibatkan attacker bisa membalas chatting pada laporan victim/korban yang dimana hanya dikhususkan untuk victim/korban dan admin oppo saja.
sebenarnya mau jelaskan secara detail untuk tulisannya, tetapi karna kuliah di awal semester minggu pertama telalu banyak tugas. Jadi segini dulu, bdw lebih jelasnya bisa lihat videonya disini : https://www.youtube.com/watch?v=ppJ9yx6Q6fo