Reset/Forgotten Password Bypass
Join HackenProof Discord server to communicate with experienced hackers and bug bounty hunters!
Hacking Insights Engage with content that delves into the thrill and challenges of hacking
Real-Time Hack News Keep up-to-date with fast-paced hacking world through real-time news and insights
Latest Announcements Stay informed with the newest bug bounties launching and crucial platform updates
Join us on Discord and start collaborating with top hackers today!
Password Reset Token Leak Via Referrer
HTTP referer header može otkriti token za resetovanje lozinke ako je uključen u URL. Ovo se može desiti kada korisnik klikne na link treće strane nakon što zatraži resetovanje lozinke.
Impact: Potencijalno preuzimanje naloga putem Cross-Site Request Forgery (CSRF) napada.
Exploitation: Da biste proverili da li se token za resetovanje lozinke otkriva u referer header-u, zatražite resetovanje lozinke na vašu email adresu i kliknite na link za resetovanje koji je dostavljen. Ne menjajte lozinku odmah. Umesto toga, navigirajte do veb stranice treće strane (kao što su Facebook ili Twitter) dok presrećete zahteve koristeći Burp Suite. Istražite zahteve da vidite da li referer header sadrži token za resetovanje lozinke, jer to može izložiti osetljive informacije trećim stranama.
References:
Password Reset Poisoning
Napadači mogu manipulisati Host header-om tokom zahteva za resetovanje lozinke kako bi usmerili link za resetovanje na zloćudnu stranicu.
Impact: Dovodi do potencijalnog preuzimanja naloga otkrivanjem reset tokena napadačima.
Mitigation Steps:
Validirajte Host header u odnosu na belu listu dozvoljenih domena.
Koristite sigurne, server-side metode za generisanje apsolutnih URL-ova.
Patch: Koristite
$_SERVER['SERVER_NAME']
za konstrukciju URL-ova za resetovanje lozinke umesto$_SERVER['HTTP_HOST']
.References:
Password Reset By Manipulating Email Parameter
Napadači mogu manipulisati zahtevom za resetovanje lozinke dodavanjem dodatnih email parametara kako bi preusmerili link za resetovanje.
Dodajte email napadača kao drugi parametar koristeći &
Dodajte email napadača kao drugi parametar koristeći %20
Dodajte email napadača kao drugi parametar koristeći |
Dodajte email napadača kao drugi parametar koristeći cc
Dodajte email napadača kao drugi parametar koristeći bcc
Dodajte email napadača kao drugi parametar koristeći ,
Dodajte email napadača kao drugi parametar u json nizu
Koraci za ublažavanje:
Ispravno analizirati i validirati email parametre na serverskoj strani.
Koristiti pripremljene izjave ili parametrizovane upite kako bi se sprečili napadi injekcijom.
Reference:
Menjanje email-a i lozinke bilo kog korisnika putem API parametara
Napadači mogu modifikovati email i lozinku parametre u API zahtevima kako bi promenili akreditive naloga.
Koraci za ublažavanje:
Osigurati strogu validaciju parametara i provere autentifikacije.
Implementirati robusno logovanje i praćenje kako bi se otkrile i reagovalo na sumnjive aktivnosti.
Reference:
Nema ograničenja brzine: Email bombardovanje
Nedostatak ograničenja brzine na zahtevima za resetovanje lozinke može dovesti do bombardovanja email-ova, preplavljujući korisnika sa email-ovima za resetovanje.
Koraci za ublažavanje:
Implementirati ograničenje brzine na osnovu IP adrese ili korisničkog naloga.
Koristiti CAPTCHA izazove kako bi se sprečila automatska zloupotreba.
Reference:
Saznajte kako se generiše token za resetovanje lozinke
Razumevanje obrasca ili metode iza generisanja tokena može dovesti do predviđanja ili brute-forcing tokena. Neke opcije:
Na osnovu vremenskog pečata
Na osnovu UserID-a
Na osnovu email-a korisnika
Na osnovu imena i prezimena
Na osnovu datuma rođenja
Na osnovu kriptografije
Koraci za ublažavanje:
Koristiti jake, kriptografske metode za generisanje tokena.
Osigurati dovoljnu nasumičnost i dužinu kako bi se sprečila predvidljivost.
Alati: Koristiti Burp Sequencer za analizu nasumičnosti tokena.
Pogodna UUID
Ako su UUID-ovi (verzija 1) pogodivi ili predvidivi, napadači mogu da ih brute-force-uju kako bi generisali važeće tokene za resetovanje. Proverite:
Koraci za ublažavanje:
Koristiti GUID verziju 4 za nasumičnost ili implementirati dodatne sigurnosne mere za druge verzije.
Alati: Koristiti guidtool za analizu i generisanje GUID-ova.
Manipulacija odgovorom: Zamenite loš odgovor dobrim
Manipulacija HTTP odgovorima kako bi se zaobišle poruke o grešci ili ograničenja.
Koraci za ublažavanje:
Implementirati provere na serverskoj strani kako bi se osigurala integritet odgovora.
Koristiti sigurne komunikacione kanale kao što je HTTPS kako bi se sprečili napadi "man-in-the-middle".
Reference:
Korišćenje istekao tokena
Testiranje da li se istekao tokeni još uvek mogu koristiti za resetovanje lozinke.
Koraci za ublažavanje:
Implementirati stroge politike isteka tokena i validirati istekao token na serverskoj strani.
Brute Force token za resetovanje lozinke
Pokušaj brute-force-a reset tokena koristeći alate kao što su Burpsuite i IP-Rotator kako bi se zaobišla ograničenja brzine zasnovana na IP-u.
Koraci za ublažavanje:
Implementirati robusno ograničenje brzine i mehanizme zaključavanja naloga.
Pratiti sumnjive aktivnosti koje ukazuju na brute-force napade.
Pokušajte koristiti svoj token
Testiranje da li se napadačev reset token može koristiti u kombinaciji sa email-om žrtve.
Koraci za ublažavanje:
Osigurati da su tokeni vezani za korisničku sesiju ili druge korisnički specifične atribute.
Nevaženje sesije prilikom odjave/resetovanja lozinke
Osigurati da se sesije nevaže kada se korisnik odjavi ili resetuje svoju lozinku.
Koraci za ublažavanje:
Implementirati pravilno upravljanje sesijama, osiguravajući da se sve sesije nevaže prilikom odjave ili resetovanja lozinke.
Nevaženje sesije prilikom odjave/resetovanja lozinke
Tokeni za resetovanje bi trebali imati vreme isteka nakon kojeg postaju nevažeći.
Koraci za ublažavanje:
Postaviti razumno vreme isteka za tokene za resetovanje i strogo ga sprovoditi na serverskoj strani.
Reference
Pridružite se HackenProof Discord serveru kako biste komunicirali sa iskusnim hakerima i lovcima na greške!
Uvidi u hakovanje Uključite se u sadržaj koji se bavi uzbuđenjem i izazovima hakovanja
Vesti o hakovanju u realnom vremenu Budite u toku sa brzim svetom hakovanja kroz vesti i uvide u realnom vremenu
Najnovija obaveštenja Budite informisani o najnovijim nagradama za greške i važnim ažuriranjima platforme
Pridružite nam se na Discord i počnite da sarađujete sa vrhunskim hakerima danas!
Last updated