🕷 Чек-лист для поиска IDOR

IDOR — один из самых распространенных и простых багов. Но знаешь ли ты все фазы тестирования, после которых с уверенностью можно сказать «Здесь нет IDOR»?

Разобрали первую фазу, а остальные — в чек-листе ⬅️

1️⃣ Подготовка и идентификация целей

✅Создай тестовые аккаунты: заведи два профиля — чтобы безопасно проверять операции, изменяющие состояние (POST/PUT/DELETE).

✅Поиск API: определи JSON-эндпоинты, которые используются под капотом отрендеренного HTML.

✅Поиск чувствительных операций: в первую очередь проверяй критичные фичи — сброс пароля, восстановление доступа, финансовые операции, личные сообщения, управление пользователями.

✅Проверяй каждый ID: выясни, является ли эндпоинт приватным или публичным и содержит ли он ID-параметры любого типа.

✅Утечки идентификаторов: проверь, не раскрываются ли ID через другие API-эндпоинты или публичные страницы (публичные профили, списки).

✅Полная карта клиентов: собери все источники запросов — веб, мобильные приложения, публичные/скрытые API. Для мобилок — извлеки запросы из декомпилированного приложения. Если есть swagger/openapi — добавь их в карту.

🕷 GMSGadget: простой способ обойти средства защиты от XSS

GMSGadget (Give Me a Script Gadget) — не список эксплойтов, а библиотека скриптовых гаджетов — небольших фрагментов JavaScript, которые можно использовать для обхода HTML-санитайзеров и CSP.

Проект продолжает идею исследователей из доклада на Black Hat USA 2017 под названием "Breaking XSS Mitigations via Script Gadgets".

💡 Зачем нужен

Многие кейсы защиты от XSS — CSP, DOMPurify, кастомные фильтры — опираются на строгие правила обработки HTML и JavaScript. Но у самого языка есть «особенности поведения», которые можно превратить в рабочие цепочки для инъекции.

GMSGadget собирает такие гаджеты в одном месте, чтобы тебе не приходилось искать их по блогам, багрепортам и конференциям. Все гаджеты — либо уже исправленные кейсы, либо особенности JavaScript, которые можно использовать для обхода ограничений.

🔍 Что внутри

Сервис предоставляет фильтрацию по различным параметрам, что позволяет быстро подобрать технику под конкретный кейс обхода:

➖ браузеру,
➖ тегам,
➖ HTML-атрибутам,
➖ условиям CSP,
➖ timing-вектору.

В каждой странице гаджета:

➖ затронутые версии браузеров,
➖ краткое описание,
➖ причину появления гаджета,
➖ полезные ссылки.

🔥 Почему это полезно

✅ упрощает поиск нестандартных XSS-векторов;
✅ помогает обходить слишком строгие санитайзеры;
✅ даёт готовые идеи для цепочек, когда обычные пэйлоады не проходят.