2FA/OTP Bypass
WhiteIntel karanlık ağ destekli bir arama motorudur ve şirketin veya müşterilerinin hırsız kötü amaçlı yazılımlar tarafından kompromize edilip edilmediğini kontrol etmek için ücretsiz işlevler sunar.
WhiteIntel'in başlıca amacı, bilgi çalan kötü amaçlı yazılımlardan kaynaklanan hesap ele geçirmeleri ve fidye saldırılarıyla mücadele etmektir.
Websitesini ziyaret edebilir ve motorlarını ücretsiz deneyebilirsiniz:
Gelişmiş İki Faktörlü Kimlik Doğrulama Geçme Teknikleri
Doğrudan Uç Nokta Erişimi
2FA'yı atlamak için, yolun önemli olduğunu bilerek ilgili uç noktaya doğrudan erişin. Başarısız olursanız, Referrer başlığını değiştirerek 2FA doğrulama sayfasından gezinme taklit edin.
Token Yeniden Kullanımı
Daha önce kullanılan token'ların hesap kimlik doğrulamasında tekrar kullanılması etkili olabilir.
Kullanılmayan Token'ların Kullanımı
Başka bir hesaptaki 2FA'yı atlamak için kendi hesabınızdan bir token çıkarmayı deneyebilirsiniz.
Token'ın Açığa Çıkması
Token'ın web uygulamasından gelen bir yanıtta açığa çıkıp çıkmadığını araştırın.
Doğrulama Bağlantısı Sömürüsü
Hesap oluşturulurken gönderilen e-posta doğrulama bağlantısını kullanarak 2FA olmadan profil erişimine izin verilebilir, ayrıntılar bu yazıda vurgulanmıştır.
Oturum Manipülasyonu
Kullanıcının ve kurbanın hesabı için oturumları başlatarak, kullanıcının hesabındaki 2FA'yı tamamlamadan önce, kurbanın hesap akışındaki bir sonraki adıma erişmeye çalışarak, arka uç oturum yönetimi sınırlamalarını sömürmeye çalışabilirsiniz.
Şifre Sıfırlama Mekanizması
Şifre sıfırlama işlevini inceleyerek, aynı bağlantıyı kullanarak birden fazla sıfırlamaya izin verip vermediğini kontrol etmek önemlidir. Yeni sıfırlanan kimlik bilgileriyle giriş yapmak, 2FA'yı atlayabilir.
OAuth Platformu Tehdit Edilmesi
Güvenilir bir OAuth platformunda (örneğin, Google, Facebook) bir kullanıcının hesabını tehlikeye atmak, 2FA'yı atlamak için bir yol sunabilir.
Kaba Kuvvet Saldırıları
Sınır Yokluğu
Kod denemelerinin sayısında bir sınır olmaması, kaba kuvvet saldırılarına izin verir, ancak potansiyel sessiz sınırlama dikkate alınmalıdır.
Yavaş Kaba Kuvvet
Genel bir sınırlama olmaksızın akış hızı sınırları olan yavaş bir kaba kuvvet saldırısı mümkündür.
Kod Yeniden Gönderme Sınırı Sıfırlama
Kodun yeniden gönderilmesi, sınırlamayı sıfırlar ve devam eden kaba kuvvet denemelerine olanak tanır.
İstemci Tarafı Sınırlama Atlatma
Bir belge, istemci tarafı sınırlamalarını atlatma tekniklerini detaylandırır.
Dahili Eylemler Sınırlama İçermez
Sınırlamalar, giriş denemelerini koruyabilir ancak dahili hesap eylemlerini koruyamaz.
SMS Kodu Yeniden Gönderme Maliyetleri
SMS aracılığıyla kodların aşırı yeniden gönderilmesi şirkete maliyet getirir, ancak 2FA'yı atlamaz.
Sonsuz OTP Yeniden Oluşturma
Basit kodlarla sonsuz OTP oluşturma, küçük bir kod setini tekrar deneyerek kaba kuvvet yapmayı mümkün kılar.
Yarış Koşulu Sömürüsü
2FA'yı atlamak için yarış koşullarını sömürmek belirli bir belgede bulunabilir.
CSRF/Clickjacking Zafiyetleri
2FA'yı devre dışı bırakmak için CSRF veya Clickjacking zafiyetlerini keşfetmek mümkün bir stratejidir.
"Beni Hatırla" Özelliği Sömürüleri
Tahmin Edilebilir Çerez Değerleri
"Beni hatırla" çerez değerini tahmin etmek kısıtlamaları atlayabilir.
IP Adresi Taklit
X-Forwarded-For başlığı aracılığıyla kurbanın IP adresini taklit etmek kısıtlamaları atlayabilir.
Eski Sürümlerin Kullanılması
Alt Alanlar
Alt alanları test etmek, 2FA desteği olmayan eski sürümleri kullanabilir veya savunmasız 2FA uygulamalarını içerebilir.
API Uç Noktaları
/v* dizin yollarıyla belirtilen eski API sürümleri, 2FA atlamak için savunmasız olabilir.
Önceki Oturumların İşlenmesi
2FA etkinleştirildiğinde mevcut oturumları sonlandırmak, kompromize edilmiş oturumlardan kaynaklanan yetkisiz erişime karşı hesapları korur.
Yedek Kodlarla Erişim Kontrolü Hataları
2FA etkinleştirildiğinde hemen yedek kodların oluşturulması ve potansiyel yetkisiz erişim, özellikle CORS yanlış yapılandırmaları/XSS zafiyetleri ile, bir risk oluşturabilir.
2FA Sayfasında Bilgi Sızdırma
2FA doğrulama sayfasında hassas bilgi sızdırılması (örneğin, telefon numarası) endişe vericidir.
Şifre Sıfırlama ile 2FA'yı Devre Dışı Bırakma
Potansiyel bir atlamayı gösteren bir süreç, hesap oluşturma, 2FA etkinleştirme, şifre sıfırlama ve ardından 2FA gereksinimi olmadan giriş yapmadır.
Sahte İstekler
Kaba kuvvet denemelerini gizlemek veya sınırlama mekanizmalarını yanıltmak için sahte istekler kullanmak, atlamaya yönelik stratejilere başka bir katman ekler. Bu tür isteklerin oluşturulması, uygulamanın güvenlik önlemlerini ve sınırlama davranışlarını nüanslı bir şekilde anlamayı gerektirir.
Referanslar
WhiteIntel karanlık ağ destekli bir arama motorudur ve şirketin veya müşterilerinin hırsız kötü amaçlı yazılımlar tarafından kompromize edilip edilmediğini kontrol etmek için ücretsiz işlevler sunar.
WhiteIntel'in başlıca amacı, bilgi çalan kötü amaçlı yazılımlardan kaynaklanan hesap ele geçirmeleri ve fidye saldırılarıyla mücadele etmektir.
Websitesini ziyaret edebilir ve motorlarını ücretsiz deneyebilirsiniz:
P
Last updated
