📄 Mis Facturas

Logueado como: alice user_id=2

Tus facturas (3)

ID	Cliente	RUT	Monto	Fecha	Estado
`#1041`	Constructora González y Asociados SpA	`76.543.210-K`	$4.250.000	15/04/2025	pendiente	Ver detalle
`#1042`	Comercial Fernández e Hijos	`78.456.789-0`	$1.890.000	01/04/2025	pendiente	Ver detalle
`#1040`	Constructora González y Asociados SpA	`76.543.210-K`	$4.250.000	15/03/2025	pagada	Ver detalle

💡 Pista del lab: Tus facturas tienen IDs 1041, 1042, 1040. ¿Qué pasa si cambiás el número en la URL cuando hacés clic en "Ver detalle"?

El módulo de facturas permite ver cualquier factura cambiando el parámetro id en la URL.

El servidor no verifica que la factura pertenezca al usuario autenticado. Confía ciegamente en el ID que viene de la URL.

Esto se llama IDOR (Insecure Direct Object Reference).

# Estás logueado como alice (user_id=2)
# Tus facturas son: 1040, 1041, 1042

# Probá acceder a facturas de otros usuarios:
curl http://localhost:8082/a01_facturas/ver.php?id=1043
curl http://localhost:8082/a01_facturas/ver.php?id=1044
curl http://localhost:8082/a01_facturas/ver.php?id=1045

# Esas son de bob (user_id=3)
# Podés ver sus datos, montos y RUT

Herramientas: curl Burp Suite Repeater

// VULNERABLE (actual):
$sql = "SELECT * FROM invoices WHERE id = ?";

// SEGURO (ver_secure.php):
$sql = "SELECT * FROM invoices 
        WHERE id = ? AND user_id = ?";
// Agrega user_id a la query = solo ve sus facturas

Optus, Australia (2022)

11 millones de clientes expuestos porque los registros tenían IDs numéricos secuenciales y el endpoint no verificaba ownership. Multa de AU$1.5M.