Materi
Autentikasi menjawab 'siapa kamu'; otorisasi menjawab 'apa yang boleh kamu akses'. WSTG menguji otorisasi dengan memeriksa apakah seorang pengguna bisa mencapai data atau fungsi milik pengguna lain. Bentuk yang paling sering adalah Insecure Direct Object Reference (IDOR): aplikasi memberi akses langsung ke objek berdasarkan input pengguna tanpa pemeriksaan otorisasi yang cukup. Contohnya alamat seperti example.com/faktur?no=12345 — bila mengganti nomor itu menampilkan faktur milik orang lain, aplikasi gagal memeriksa kepemilikan.
Cara WSTG mengenalinya: menguji dengan setidaknya dua akun berbeda, lalu mencoba mengakses objek milik akun lain dengan menukar nilai parameter — pengenal objek di URL, medan tersembunyi, atau parameter lain. Bila objek pengguna lain terbuka, itu IDOR; bila fungsi yang semestinya terbatas (mis. menu admin) bisa dicapai dengan menebak parameter, itu pelewatan skema otorisasi (WSTG-ATHZ-02). Yang diuji bukan apakah bisa masuk, melainkan apakah batas antarpengguna dijaga. Aplikasi yang aman menolak akses lintas pengguna dengan kode seperti 403 Forbidden.
| Pengamatan | Tanda |
|---|---|
| Ganti no=12345 jadi 12346 → tampil data orang lain | IDOR (otorisasi per objek tak diperiksa) |
| Tebak parameter menu=12 → buka fungsi admin | Pelewatan skema otorisasi |
| Akses lintas pengguna ditolak 403 Forbidden | Otorisasi dijaga (bukan temuan) |
