Rate Limit Bypass
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F600722126-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FJtticLwENZ4i7WwgHiQe%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=830177ae&sv=1)
Użyj Trickest, aby łatwo budować i automatyzować przepływy pracy zasilane przez najbardziej zaawansowane narzędzia społecznościowe na świecie. Uzyskaj dostęp już dziś:
Ucz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się i ćwicz Hacking GCP:
HackTricks Training GCP Red Team Expert (GRTE)
Techniki omijania limitów
Badanie podobnych punktów końcowych
Należy podjąć próby przeprowadzenia ataków brute force na warianty docelowego punktu końcowego, takie jak /api/v3/sign-up
, w tym alternatywy takie jak /Sing-up
, /SignUp
, /singup
, /api/v1/sign-up
, /api/sign-up
itp.
Wprowadzanie pustych znaków w kodzie lub parametrach
Wstawianie pustych bajtów, takich jak %00
, %0d%0a
, %0d
, %0a
, %09
, %0C
, %20
do kodu lub parametrów może być użyteczną strategią. Na przykład, dostosowanie parametru do code=1234%0a
pozwala na rozszerzenie prób poprzez wariacje w wejściu, takie jak dodawanie znaków nowej linii do adresu e-mail, aby obejść ograniczenia prób.
Manipulowanie pochodzeniem IP za pomocą nagłówków
Modyfikacja nagłówków w celu zmiany postrzeganego pochodzenia IP może pomóc w uniknięciu limitowania opartego na IP. Nagłówki takie jak X-Originating-IP
, X-Forwarded-For
, X-Remote-IP
, X-Remote-Addr
, X-Client-IP
, X-Host
, X-Forwared-Host
, w tym użycie wielu instancji X-Forwarded-For
, mogą być dostosowane w celu symulacji żądań z różnych adresów IP.
Zmiana Innych Nagłówków
Zaleca się modyfikację innych nagłówków żądania, takich jak user-agent i ciasteczka, ponieważ mogą one być również używane do identyfikacji i śledzenia wzorców żądań. Zmiana tych nagłówków może zapobiec rozpoznawaniu i śledzeniu działań osoby składającej żądanie.
Wykorzystanie Zachowania Bramy API
Niektóre bramy API są skonfigurowane do stosowania limitów prędkości na podstawie kombinacji punktu końcowego i parametrów. Zmienianie wartości parametrów lub dodawanie nieistotnych parametrów do żądania może umożliwić obejście logiki limitowania prędkości bramy, sprawiając, że każde żądanie wydaje się unikalne. Na przykład /resetpwd?someparam=1
.
Logowanie się do Konta Przed Każdym Próbą
Logowanie się do konta przed każdą próbą lub każdym zestawem prób może zresetować licznik limitu prędkości. Jest to szczególnie przydatne podczas testowania funkcji logowania. Wykorzystanie ataku Pitchfork w narzędziach takich jak Burp Suite, aby rotować dane uwierzytelniające co kilka prób i upewnić się, że przekierowania są oznaczone, może skutecznie zrestartować liczniki limitu prędkości.
Wykorzystanie Sieci Proxy
Wdrożenie sieci proxy do rozdzielania żądań na wiele adresów IP może skutecznie obejść limity prędkości oparte na IP. Przez kierowanie ruchu przez różne proxy, każde żądanie wydaje się pochodzić z innego źródła, osłabiając skuteczność limitu prędkości.
Podział Ataku na Różne Konta lub Sesje
Jeśli system docelowy stosuje limity prędkości na poziomie konta lub sesji, rozdzielenie ataku lub testu na wiele kont lub sesji może pomóc w uniknięciu wykrycia. Podejście to wymaga zarządzania wieloma tożsamościami lub tokenami sesji, ale może skutecznie rozłożyć obciążenie, aby pozostać w dozwolonych limitach.
Ucz się i ćwicz Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się i ćwicz Hacking GCP:
HackTricks Training GCP Red Team Expert (GRTE)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F600722126-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FJtticLwENZ4i7WwgHiQe%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=830177ae&sv=1)
Użyj Trickest, aby łatwo budować i automatyzować przepływy pracy zasilane przez najbardziej zaawansowane narzędzia społecznościowe na świecie. Uzyskaj dostęp już dziś:
Last updated