Details

Объектом исследования являются веб-приложения с уязвимостями IDOR/BOLA. Целью работы является разработка комбинированного подхода к автоматизированному обнаружению уязвимостей IDOR/BOLA в веб-приложениях и API. Задачи, решаемые в ходе исследования: 1. Проанализировать особенности эксплуатации IDOR/BOLA. 2. Исследовать существующие методы обнаружения данных уязвимостей. 3. Разработать компоненты системы обнаружения уязвимости, реализующие анализ на уровне спецификаций, исходного кода и сетевого трафика. 4. Реализовать программный прототип системы обнаружения уязвимостей на основе комбинированного подхода. 5. Провести экспериментальное исследование на тестовых веб-приложениях. В ходе работы использовались стандарты OWASP, инструменты Semgrep, Burp Suite, тестовые веб-приложения VAmPI и OWASP crAPI. Разработанная система объединяет три метода: анализ спецификаций OpenAPI, статический анализ кода и поведенческий анализ трафика. Комбинированный подход превосходит каждый из методов в отдельности по точности и полноте обнаружения уязвимостей и может быть интегрирован в процессы безопасной разработки.

The object of research is web applications containing IDOR/BOLA vulnerabilities. The goal of the work is to develop a combined approach to automated detection of IDOR/BOLA vulnerabilities in web applications and APIs. The objectives addressed in the course of the research are: 1. Analyze the characteristics of IDOR/BOLA exploitation. 2. Investigate existing methods for detecting these vulnerabilities. 3. Develop components of a vulnerability detection system implementing analysis at the levels of API specifications, source code, and network traffic. 4. Implement a software prototype of a vulnerability detection system based on a combined approach. 5. Conduct an experimental study on test web applications. The work employed OWASP standards, Semgrep and Burp Suite tools, and the test web applications VAmPI and OWASP crAPI. The developed system integrates three methods: OpenAPI specification analysis, static code analysis, and behavioral traffic analysis. The combined approach outperforms each individual method in terms of detection precision and recall, and can be integrated into secure development processes.