2FA/OTP Bypass
WhiteIntel ni injini ya utaftaji inayotumia dark-web ambayo inatoa huduma za bure kuchunguza ikiwa kampuni au wateja wake wameathiriwa na malware za wizi.
Lengo kuu la WhiteIntel ni kupambana na utekaji wa akaunti na mashambulio ya ransomware yanayotokana na malware za kuiba taarifa.
Unaweza kutembelea tovuti yao na kujaribu injini yao kwa bure kwa:
Mbinu za Kupuuza Uthibitishaji wa Akaunti wa Hatua Mbili Ulioboreshwa
Upatikanaji wa Moja kwa Moja wa Njia ya Mwisho
Ili kupuuza 2FA, kupata upatikanaji wa moja kwa moja wa njia inayofuata ni muhimu. Ikiwa haujafanikiwa, badilisha kichwa cha Referrer kufanana na urambazaji kutoka ukurasa wa uthibitishaji wa 2FA.
Matumizi ya Tena ya Alama
Kutumia tena alama zilizotumiwa hapo awali kwa uthibitishaji ndani ya akaunti inaweza kuwa na ufanisi.
Matumizi ya Alama Zisizotumiwa
Kuchimba alama kutoka kwenye akaunti yako mwenyewe ili kupuuza 2FA kwenye akaunti nyingine inaweza kujaribiwa.
Kufichua Alama
Chunguza ikiwa alama inafunuliwa katika jibu kutoka kwenye programu ya wavuti.
Udanganyifu wa Kiungo cha Uthibitishaji
Kutumia kiungo cha uthibitishaji wa barua pepe uliotumwa wakati wa uundaji wa akaunti kunaweza kuruhusu upatikanaji wa wasifu bila 2FA, kama ilivyoelezwa kwenye machapisho.
Udhibiti wa Kikao
Kuanzisha vikao kwa akaunti ya mtumiaji na akaunti ya muathiriwa, na kukamilisha 2FA kwa akaunti ya mtumiaji bila kuendelea, inaruhusu jaribio la kupata hatua inayofuata katika mchakato wa akaunti ya muathiriwa, ikichexploitisha mipaka ya usimamizi wa kikao cha nyuma.
Mfumo wa Kurejesha Nenosiri
Kuchunguza kazi ya kurejesha nenosiri, ambayo inamuingiza mtumiaji kwenye programu baada ya kurejesha, kwa uwezo wake wa kuruhusu urejeshaji wa mara nyingi kwa kutumia kiungo kimoja ni muhimu. Kuingia kwa kutumia maelezo mapya ya kurejesha inaweza kupuuza 2FA.
Uvamizi wa Jukwaa la OAuth
Kuvamia akaunti ya mtumiaji kwenye jukwaa la OAuth lililothibitishwa (k.m., Google, Facebook) inaweza kutoa njia ya kupuuza 2FA.
Mashambulizi ya Brute Force
Kutokuwepo kwa Kikomo cha Kasi
Ukosefu wa kikomo kwenye idadi ya majaribio ya nambari inaweza kuruhusu mashambulizi ya brute force, ingawa inapaswa kuzingatiwa kikomo cha kimya cha kasi.
Mashambulizi ya Brute Force ya Polepole
Mashambulizi ya brute force ya polepole yanawezekana ambapo kuna vikwazo vya kasi ya mwendokasi bila kikomo kuu.
Kurejesha Upya Kikomo cha Kutuma Nambari
Kutuma tena nambari kunairejesha kikomo cha kasi, kurahisisha majaribio ya mashambulizi ya brute force.
Kuzunguka Kikomo cha Kasi ya Mteja
Hati inaelezea mbinu za kupuuza vikwazo vya kasi ya mteja.
Hatua za Ndani Zinakosa Kikomo cha Kasi
Vikwazo vya kasi vinaweza kulinda majaribio ya kuingia lakini sio hatua za akaunti za ndani.
Gharama za Kutuma Nambari za SMS
Kutuma nambari nyingi kupitia SMS kunagharimu kampuni, ingawa haitoi njia ya kupuuza 2FA.
Uzalishaji wa OTP Usio na Mwisho
Uzalishaji usio na mwisho wa OTP na nambari rahisi kuruhusu mashambulizi ya brute force kwa kujaribu seti ndogo ya nambari.
Udanganyifu wa Hali ya Mashindano
Kuchexploitisha hali za mashindano kwa kupuuza 2FA inaweza kupatikana kwenye hati maalum.
Makosa ya CSRF/Clickjacking
Kuchunguza makosa ya CSRF au Clickjacking kwa kulegeza 2FA ni mkakati unaoweza kutumika.
Mbinu za Kutumia "Nikumbuke"
Alama za Vidakuzi Zinazoweza Kupredict
Kudhani thamani ya kuki ya "nikumbuke" kunaweza kupuuza vizuizi.
Uigaji wa Anwani ya IP
Kujifanya kuwa anwani ya IP ya muathiriwa kupitia kichwa cha X-Forwarded-For kunaweza kupuuza vizuizi.
Matumizi ya Toleo la Zamani
Subdomains
Kujaribu subdomains kunaweza kutumia toleo la zamani lisilokuwa na msaada wa 2FA au kuwa na utekelezaji wa 2FA wenye mapungufu.
Njia za API
Toleo za zamani za API, zinazoonyeshwa na njia za saraka za /v*/, zinaweza kuwa na mapungufu ya kupuuza 2FA.
Kushughulikia Vikao Vya Awali
Kukomesha vikao vilivyopo baada ya kuanzisha 2FA kunalinda akaunti dhidi ya upatikanaji usioidhinishwa kutoka kwa vikao vilivyoathiriwa.
Makosa ya Udhibiti wa Upatikanaji na Nambari za Kurejesha
Uzalishaji wa haraka na uwezekano wa kupata nambari za kurejesha bila idhini baada ya kuanzisha 2FA, hasa na misconfigurations/XSS ya CORS, inaleta hatari.
Kufichua Taarifa kwenye Ukurasa wa 2FA
Kufichua taarifa nyeti (k.m., nambari ya simu) kwenye ukurasa wa uthibitishaji wa 2FA ni wasiwasi.
Kulegeza Kurejesha Nenosiri Kupitia Kupuuza 2FA
Mchakato unaodhihirisha njia ya kupuuza inajumuisha uundaji wa akaunti, kuanzisha 2FA, kurejesha nenosiri, na kuingia baadaye bila mahitaji ya 2FA.
Maombi ya Kudanganya
Kutumia maombi ya kudanganya kuficha majaribio ya brute force au kudanganya mifumo ya kikomo cha kasi kunatoa safu nyingine kwa mikakati ya kupuuza. Kuunda maombi kama hayo kunahitaji uelewa wa kina wa hatua za usalama za programu na tabia za kikomo cha kasi.
Marejeo
WhiteIntel ni injini ya utaftaji inayotumia dark-web ambayo inatoa huduma za bure kuchunguza ikiwa kampuni au wateja wake wameathiriwa na malware za wizi.
Lengo kuu la WhiteIntel ni kupambana na utekaji wa akaunti na mashambulio ya ransomware yanayotokana na malware za kuiba taarifa.
Unaweza kutembelea tovuti yao na kujaribu injini yao kwa bure kwa:
P
Last updated
