Rate Limit Bypass

Trickest का उपयोग करें ताकि आप दुनिया के सबसे उन्नत सामुदायिक उपकरणों द्वारा संचालित कार्यप्रवाहों को आसानी से बना और स्वचालित कर सकें। आज ही एक्सेस प्राप्त करें:

Automate OffSec, EASM, and Custom Security Processes | Trickest

AWS हैकिंग सीखें और अभ्यास करें:HackTricks Training AWS Red Team Expert (ARTE) GCP हैकिंग सीखें और अभ्यास करें: HackTricks Training GCP Red Team Expert (GRTE)

HackTricks का समर्थन करें

• सदस्यता योजनाएँ देखें!

• जुड़ें 💬 Discord समूह या telegram समूह या हमें Twitter 🐦 @hacktricks_live** पर फॉलो करें।**

• हैकिंग ट्रिक्स साझा करें, HackTricks और HackTricks Cloud गिटहब रिपोजिटरी में PR सबमिट करके।

Rate limit bypass techniques

समान एंडपॉइंट्स का अन्वेषण

लक्षित एंडपॉइंट के विभिन्न रूपों पर ब्रूट फोर्स हमले करने का प्रयास किया जाना चाहिए, जैसे कि /api/v3/sign-up, जिसमें विकल्प जैसे /Sing-up, /SignUp, /singup, /api/v1/sign-up, /api/sign-up आदि शामिल हैं।

कोड या पैरामीटर में खाली वर्णों को शामिल करना

कोड या पैरामीटर में %00, %0d%0a, %0d, %0a, %09, %0C, %20 जैसे खाली बाइट्स डालना एक उपयोगी रणनीति हो सकती है। उदाहरण के लिए, एक पैरामीटर को code=1234%0a में समायोजित करना इनपुट में भिन्नताओं के माध्यम से प्रयासों को बढ़ाने की अनुमति देता है, जैसे कि ईमेल पते में नई पंक्ति के वर्ण जोड़ना ताकि प्रयास सीमाओं को पार किया जा सके।

हेडर के माध्यम से IP मूल को हेरफेर करना

हेडर को संशोधित करना ताकि धारित IP मूल को बदला जा सके, IP-आधारित दर सीमाओं से बचने में मदद कर सकता है। X-Originating-IP, X-Forwarded-For, X-Remote-IP, X-Remote-Addr, X-Client-IP, X-Host, X-Forwared-Host जैसे हेडर, जिसमें X-Forwarded-For के कई उदाहरणों का उपयोग करना शामिल है, विभिन्न IPs से अनुरोधों का अनुकरण करने के लिए समायोजित किया जा सकता है।

X-Originating-IP: 127.0.0.1
X-Forwarded-For: 127.0.0.1
X-Remote-IP: 127.0.0.1
X-Remote-Addr: 127.0.0.1
X-Client-IP: 127.0.0.1
X-Host: 127.0.0.1
X-Forwared-Host: 127.0.0.1

# Double X-Forwarded-For header example
X-Forwarded-For:
X-Forwarded-For: 127.0.0.1

अन्य हेडर बदलना

अन्य अनुरोध हेडर जैसे कि उपयोगकर्ता-एजेंट और कुकीज़ को बदलना अनुशंसित है, क्योंकि इनका उपयोग अनुरोध पैटर्न की पहचान और ट्रैकिंग के लिए भी किया जा सकता है। इन हेडरों को बदलने से अनुरोधकर्ता की गतिविधियों की पहचान और ट्रैकिंग को रोकने में मदद मिल सकती है।

API गेटवे व्यवहार का लाभ उठाना

कुछ API गेटवे को एंडपॉइंट और पैरामीटर के संयोजन के आधार पर दर सीमा लागू करने के लिए कॉन्फ़िगर किया गया है। पैरामीटर मानों को बदलकर या अनुरोध में गैर-प्रमुख पैरामीटर जोड़कर, गेटवे की दर-सीमित लॉजिक को बायपास करना संभव है, जिससे प्रत्येक अनुरोध अद्वितीय प्रतीत होता है। उदाहरण के लिए /resetpwd?someparam=1।

प्रत्येक प्रयास से पहले अपने खाते में लॉगिन करना

प्रत्येक प्रयास से पहले या प्रयासों के हर सेट से पहले एक खाते में लॉगिन करना दर सीमा काउंटर को रीसेट कर सकता है। यह लॉगिन कार्यक्षमताओं का परीक्षण करते समय विशेष रूप से उपयोगी है। Burp Suite जैसे उपकरणों में एक पिचफोर्क हमले का उपयोग करके, हर कुछ प्रयासों में क्रेडेंशियल्स को घुमाना और यह सुनिश्चित करना कि फॉलो रीडायरेक्ट्स को चिह्नित किया गया है, दर सीमा काउंटर को प्रभावी ढंग से पुनः प्रारंभ कर सकता है।

प्रॉक्सी नेटवर्क का उपयोग करना

कई IP पते के बीच अनुरोधों को वितरित करने के लिए प्रॉक्सियों का एक नेटवर्क तैनात करना IP-आधारित दर सीमाओं को प्रभावी ढंग से बायपास कर सकता है। विभिन्न प्रॉक्सियों के माध्यम से ट्रैफ़िक को रूट करके, प्रत्येक अनुरोध एक अलग स्रोत से उत्पन्न होने के रूप में दिखाई देता है, जिससे दर सीमा की प्रभावशीलता कम हो जाती है।

विभिन्न खातों या सत्रों के बीच हमले को विभाजित करना

यदि लक्षित प्रणाली प्रति-खाता या प्रति-सत्र आधार पर दर सीमाएँ लागू करती है, तो कई खातों या सत्रों के बीच हमले या परीक्षण को वितरित करना पहचान से बचने में मदद कर सकता है। इस दृष्टिकोण के लिए कई पहचान या सत्र टोकन का प्रबंधन करना आवश्यक है, लेकिन यह प्रभावी ढंग से लोड को वितरित कर सकता है ताकि अनुमेय सीमाओं के भीतर रह सके।

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Use Trickest to easily build and automate workflows powered by the world's most advanced community tools. Get Access Today:

Automate OffSec, EASM, and Custom Security Processes | Trickest