Access-Control

IDOR 藏在第二个标识符里:用双账号 Shadow Replay 发现 BOLA

人人都在 fuzz URL 路径里的 ID;但路径里的 ID 通常正是应用真正会检查的那个。真正的 access-control 漏洞藏在 body 里的 account_id、node(id:) resolver、异步的 PDF 任务,以及那个你从未发送过的 PUT 里。这里讲清楚 BOLA 究竟藏在哪,以及如何用两个账号把它 diff 出来。