🔐 **Broken Access Control: وقتی دیوار امنیتی فقط یک پرده‌ست**

چرا IDOR سال‌هاست صدرنشین OWASP Top 10 باقی مونده؟ چون توسعه‌دهنده‌ها هنوز فکر می‌کنن مخفی کردن URL یعنی امنیت!

**Broken Access Control** یعنی کاربر بتونه به منابعی دسترسی پیدا کنه که حق نداره. ساده‌ترین شکلش IDOR (Insecure Direct Object Reference) هست: فقط با تغییر یک عدد در URL، به اطلاعات بقیه کاربرا دسترسی پیدا می‌کنی.

مشکل اصلی اینجاست که بک‌اند فرض می‌کنه اگه کاربر لاگین کرده، پس مجازه همه‌چیز رو ببینه. این فرض اشتباهه. هر درخواست باید جداگانه چک بشه که آیا این کاربر خاص، به این منبع خاص، دسترسی داره یا نه.

💻 **مثال عملی:**
```
# درخواست اصلی کاربر
GET /api/invoices/1337

# مهاجم فقط ID رو تغییر می‌ده
GET /api/invoices/1338
GET /api/invoices/1339

# اگه سرور چک نکنه ownership:
→ اطلاعات فاکتور بقیه لو می‌ره 💀
```

🔗 **ابزار/منبع:** Burp Suite + Autorize Extension

#OWASP #WebSecurity #امنیت_وب #IDOR #AccessControl

@codacker_ir

―――――――――――――――――
🎓 مسترکلاس یادگیری هک از صفر تا حرفه‌ای
🔗 codacker.ir/product/hs-masterclass