https://crusaderproxy.com/research/ar/tags/idor/ Recent content in Idor on Crusader Research Hugo ar Sat, 04 Jul 2026 00:00:00 +0000 https://crusaderproxy.com/research/ar/posts/finding-idor-bola-with-shadow-replay/ Sat, 04 Jul 2026 00:00:00 +0000 https://crusaderproxy.com/research/ar/posts/finding-idor-bola-with-shadow-replay/ <p>كل دليل تعليمي عن IDOR يسلّمك التمرين نفسه: اعثر على <code>/api/orders/48210</code>، وغيّره إلى <code>48211</code>، وابحث عن <code>200</code>. هذا التمرين يدرّبك على مهاجمة المعرّف الوحيد الذي يُرجَّح أن يتحقق منه التطبيق. المفتاح الأساسي في مسار الـ URL هو حيث تعيش تعليقة <code>@authorize</code> التي يضعها إطار العمل، وحيث تُحصر استعلامات الـ ORM، وحيث تركّزت المراجعة. إنه الطُّعم. تعبث به، وتحصل على استجابات <code>403</code>، وتصف النقطة بأنها آمنة، وتمرّ بجوار الثغرة مباشرةً.</p> <p>لأن الثغرة تكاد لا تكون أبدًا في الـ ID الذي تراه. إنها في المعرّف <em>الثاني</em> — ذاك الذي نسي التطبيق أنه معرّف من الأساس.</p>