文章总结： 本文作者通过手动测试发现某应用存在IDOR漏洞，允许下载私有3D模型。作者通过搜索功能获取模型UUID，并暴力破解4位数file_id，最终成功下载私有数据，该漏洞因无速率限制且影响重大，已通过漏洞赏金计划获得奖励。 综合评分： 85 文章分类： 漏洞分析,web安全,实战经验

0179.600 美元 IDOR

原创

Rajveer Rajveer

Rsec

2026年7月2日 20:59 贵州

在小说阅读器读本章

去阅读

本文章仅用网络安全研究学习，请勿使用相关技术进行违法犯罪活动。

声明：本文搬运自互联网，如你是原作者，请联系我们！

类型：IDOR

这篇文章讲述了我如何找到一个 IDOR（身份识别服务器），它允许我下载私人内容。

为保密起见，部分细节已作修改。

和往常一样，我首先手动测试目标，了解应用程序的行为和限制。

发现

该应用程序允许用户发布他们的 3D 模型，并选择公开或私有的可见性。

我创建了一个公开可见的模型，并捕获了用于获取其详细信息的端点。

接下来，我将可见性更改为私有，并再次测试了相同的 API 端点。不出所料，它返回了一个错误。

此时，我开始与所有其他可能泄露模型数据的接口进行交互。测试过程中，我发现下载接口仍然有效。

现在我只需要模型的 UUID 就可以下载任何私有 3D 模型了。

显然，UUID 是无法猜测的。

查找 UUID

我浏览了应用程序的其他部分，并使用搜索栏搜索了该型号的名称。

用户界面上没有显示任何结果，所以我检查了 API 响应，然后……

我找到了 UUID

现在我可以下载私有的 3D 模型了，但请求需要一个额外的参数： file_id ，它用于跟踪对模型所做的更改。

每当模型被修改时，其 file_id 都会改变。我首先尝试的是暴力破解 file_id 它只有四位数，而且没有速率限制。

利用 UUID 和 file_id ，我能够下载私有 3D 模型，这使得该漏洞影响巨大。

我通过漏洞赏金计划报告了该问题并获得了奖励。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：Rsec Rajveer Rajveer《0179.600 美元 IDOR》