IDOR on Data Transaction

Kali ini saya akan berbagi sebuah artikel tentang IDOR, IDOR atau “Insecure Direct Object References” merupakan salah satu kerentanan yang sering terjadi pada sebuah aplikasi. IDOR adalah jenis kerentanan “Broken Access Control” dan masuk dalam kategori teratas Pada OWASP Top 10:2021

Saya berhasil menemukan celah IDOR ini pada sebuah platform online shop milik lokal. Dengan memanfaatkan celah ini, saya bisa melihat detail transaksi pelanggan lain yang di dalamnya ada informasi seperti nama penerima, nomor handphone, email, alamat pengiriman, dan juga bisa melakukan pembatalan transaksi. Langsung saja ke langkah-langkahnya…

URL:

https://redacted.com/bayarkeranjang/vapayment/{ID_TRANSAKSI}/CENA

Gambar:

5. Setelah klik tombol “CEK STATUS PESANAN”, saya diarahkan ke halaman detail transaksi dengan dan di halaman ini ada tombol “Batalkan Order” untuk melakukan pembatalan transaksi, lihat URL dan gambar dibawah ini…

URL:

https://redacted.com/status/{ID_TRANSAKSI}/emailuser@example.com

Gambar:

6. Saya mencoba mengubah ID Transaksi pada halaman detail, misalnya dari 12345 menjadi 12344. Dan ternyata diarahkan ke halaman 404 Not Found, saya mencoba lagi dengan beberapa ID lain misalnya 1233,1232, 1231..

7. Beberapa kali mengubah ID dan hasilnya sama, lalu saya kembali ke halaman pembayaran dan mengubah ID Transaksi seperti pada langkah sebelumnya.. ternyata berhasil!! Cek gambar dibawah ini…

8. Saya bisa melihat halaman pembayaran pelanggan lain. Dan ketika saya klik tombol “CEK STATUS PESANAN”, saya diarahkan ke halaman detail transaksi dari pelanggan tersebut. Dibawah ini adalah screenshot dari halaman itu…

9. Terakhir, saya mendaftar satu akun baru untuk uji coba membatalkan transaksi pelanggan lain dan berhasil!! Dibawah ini adalah URL untuk melakukan pembatalan transaksinya

URL:

https://redacted.com/status/{ID_TRANSAKSI}/emailkorban@example.com/cancel

Dengan langkah-langkah diatas, pembatalan transaksi pelanggan lain bisa dilakukan terus menerus. Mohon maaf jika ada yang kurang tepat dari penjelasan saya dan ada kalimat yang sulit untuk dipahami. Terima kasih ^^