文章总结： 本文复盘了一次IDOR漏洞挖掘实战，通过替换复杂ID为简单ID实现越权操作，最终获得500美元赏金。核心问题在于后端未做权限校验，导致低权限用户可访问并操作高权限用户的记录。建议在开发中加强参数校验和权限控制，避免类似漏洞。 综合评分： 75 文章分类： 实战经验,漏洞分析,渗透测试

记一次经验分享|改个参数，500$赏金到账：IDOR 漏洞实战复盘

三垣网安

2026年8月2日 22:49 湖南

在小说阅读器读本章

去阅读

前言

一串参数绕过防护，拿下 500 美金赏金！

本次 IDOR 漏洞已成功上报确认，核心问题就是后端没做好权限校验，改改参数就能越权访问数据。

下面聊聊整个挖掘过程、利用方式，顺带分享日常找这类漏洞的小技巧。

一、替换复杂id进行越权操作

1、使用不同权限账号登录系统，各自创建一个班次记录

①低权限用户 22684363

②高权限用户 22684364

2、低权限用户只能看自己能看到的记录，高权限用户可以看到所有的记录

3、用户访问记录时，请求包中默认都是该记录的复杂id，以低权限用户为例

（后续补的图）

4、此时，尝试替换复杂id 为 简单id，即xxxxx-xxxxx-xxxxx-xxxxx为22xxxx

发现可以正常访问相同的数据

5、尝试遍历id，发现访问团队内其他用户的id是403，非团队内其他用户的是404

6、对该记录进行其他功能的使用，发现check out存在越权

请求为：

https://xxxx.asdasdasdasd.xom/api/internal/shifts/xxxx-yyyyyy-asdasdadasda-dgfhdfhfghjfgh/check_out.json

替换id：

https://xxxx.asdasdasdasd.xom/api/internal/shifts/226xxxxx/check_out.json

7、最后替换id为高权限用户的记录id  22684364

8、发现不仅能越权获取记录详情，同时还可以checkout他人记录

关注三垣网安，学习更多网安知识

网络空间安全#技术分享#漏洞挖掘#越权

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：三垣网安 《记一次经验分享|改个参数，500$赏金到账：IDOR 漏洞实战复盘》