Reset/Forgotten Password Bypass
Deneyimli hackerlar ve ödül avcıları ile iletişim kurmak için [HackenProof Discord] sunucusuna katılın!
Hacking İçgörüleri Hacking'in heyecanını ve zorluklarını ele alan içeriklerle etkileşime geçin
Gerçek Zamanlı Hack Haberleri Hızlı tempolu hacking dünyasında gerçek zamanlı haberler ve içgörülerle güncel kalın
En Son Duyurular Başlatılan en yeni ödül avı programları ve önemli platform güncellemeleri hakkında bilgi sahibi olun
Bize katılın [Discord] (https://discord.com/invite/N3FrSbmwdy) ve bugün en iyi hackerlarla işbirliğine başlayın!
Referrer Aracılığıyla Şifre Sıfırlama Jetonu Sızıntısı
HTTP referer başlığı, şifre sıfırlama jetonunu sızdırabilirse URL'de bulunursa. Bu durum, bir kullanıcının şifre sıfırlama isteğinden sonra üçüncü taraf bir web sitesi bağlantısına tıkladığında meydana gelebilir.
Etki: Cross-Site Request Forgery (CSRF) saldırıları aracılığıyla potansiyel hesap ele geçirme.
Referanslar:
Şifre Sıfırlama Zehirlenmesi
Saldırganlar, şifre sıfırlama istekleri sırasında Host başlığını manipüle ederek sıfırlama bağlantısını kötü amaçlı bir siteye yönlendirebilir.
Yama:
$_SERVER['HTTP_HOST']yerine şifre sıfırlama URL'lerini oluşturmak için$_SERVER['SERVER_NAME']kullanın.Etki: Sıfırlama jetonlarını saldırganlara sızdırarak potansiyel hesap ele geçirmeye yol açar.
Hafifletme Adımları:
Host başlığını izin verilen alan adları beyaz listesine karşı doğrulayın.
Mutlak URL'leri oluşturmak için güvenli, sunucu taraflı yöntemler kullanın.
Referanslar:
E-posta Parametresini Manipüle Ederek Şifre Sıfırlama
Saldırganlar, sıfırlama bağlantısını yönlendirmek için ek e-posta parametreleri ekleyerek şifre sıfırlama isteğini manipüle edebilir.
Hafifletme Adımları:
Sunucu taraflı olarak e-posta parametrelerini düzgün bir şekilde ayrıştırın ve doğrulayın.
Enjeksiyon saldırılarını önlemek için hazırlanmış ifadeler veya parametreli sorgular kullanın.
Referanslar:
API Parametreleri Aracılığıyla Herhangi Bir Kullanıcının E-posta ve Şifresini Değiştirme
Saldırganlar, hesap kimlik bilgilerini değiştirmek için API isteklerinde e-posta ve şifre parametrelerini değiştirebilir.
Hafifletme Adımları:
Sıkı parametre doğrulaması ve kimlik doğrulama kontrolleri sağlayın.
Şüpheli faaliyetleri tespit etmek ve yanıtlamak için sağlam günlük tutma ve izleme uygulayın.
Referans:
Hız Sınırlaması Yok: E-posta Bombardımanı
Şifre sıfırlama isteklerinde hız sınırlamasının olmaması, kullanıcıyı sıfırlama e-postaları ile ezme durumuna yol açabilir.
Hafifletme Adımları:
IP adresine veya kullanıcı hesabına dayalı hız sınırlaması uygulayın.
Otomatik kötüye kullanımı önlemek için CAPTCHA zorlukları kullanın.
Referanslar:
Şifre Sıfırlama Jetonunun Nasıl Oluşturulduğunu Bulma
Jeton oluşturma desenini veya yöntemini anlamak, jetonları tahmin etmeye veya kaba kuvvetle çözmeye yol açabilir.
Hafifletme Adımları:
Jeton oluşturmak için güçlü, kriptografik yöntemler kullanın.
Tahmin edilebilirliği önlemek için yeterli rastgelelik ve uzunluk sağlayın.
Araçlar: Jetonların rastgeleliğini analiz etmek için Burp Sequencer'ı kullanın.
Tahmin Edilebilir GUID
GUID'ler (örneğin, sürüm 1) tahmin edilebilir veya öngörülebilirse, saldırganlar bunları kaba kuvvetle çözmek için kullanabilir.
Hafifletme Adımları:
Rastgelelik için GUID sürüm 4 kullanın veya diğer sürümler için ek güvenlik önlemleri uygulayın.
Araçlar: GUID'leri analiz etmek ve oluşturmak için guidtool kullanın.
Yanıt Manipülasyonu: Kötü Yanıtı İyi Olanla Değiştirme
HTTP yanıtlarını manipüle ederek hata mesajlarını veya kısıtlamaları atlatma.
Hafifletme Adımları:
Yanıt bütünlüğünü sağlamak için sunucu taraflı kontrolleri uygulayın.
Orta adam saldırılarını önlemek için HTTPS gibi güvenli iletişim kanallarını kullanın.
Referans:
Süresi Geçmiş Jetonu Kullanma
Süresi geçmiş jetonların hala şifre sıfırlamak için kullanılıp kullanılamayacağını test etme.
Hafifletme Adımları:
Jeton süresi dolma politikalarını uygulayın ve jetonun süresinin sunucu taraflı olarak geçerliliğini doğrulayın.
Kaba Kuvvet Şifre Sıfırlama Jetonu
Reset jetonunu kaba kuvvetle çözmeye çalışmak için Burpsuite ve IP-Rotator gibi araçları kullanma.
Hafifletme Adımları:
Güçlü hız sınırlama ve hesap kilit mekanizmaları uygulayın.
Kaba kuvvet saldırılarını gösteren şüpheli faaliyetleri izlemek için izleme yapın.
Token'ınızı Kullanmayı Deneyin
Saldırganın sıfırlama jetonunun kurbanın e-postasıyla birlikte kullanılıp kullanılamayacağını test etme.
Hafifletme Adımları:
Jetonların kullanıcı oturumuna veya diğer kullanıcıya özgü özniteliklere bağlı olduğundan emin olun.
Oturum İptali Çıkış/Şifre Sıfırlama İşleminde
Bir kullanıcı çıkış yaparken veya şifresini sıfırlarken oturumların iptal edildiğinden emin olma.
Hafifletme Adımları:
Tüm oturumların çıkış yaparken veya şifre sıfırlarken iptal edildiğinden emin olacak şekilde doğru oturum yönetimi uygulayın.
Oturum İptali Çıkış/Şifre Sıfırlama İşleminde
Sıfırlama jetonlarının geçersiz hale geldiği bir süre sonrasını belirlemelisiniz.
Hafifletme Adımları:
Sıfırlama jetonları için makul bir süre sonu belirleyin ve bunu sunucu taraflı olarak kesinlikle uygulayın.
Referanslar
HackenProof Discord sunucusuna katılarak deneyimli hackerlar ve ödül avcıları ile iletişim kurun!
Hacking Insights Hacking'in heyecanını ve zorluklarını ele alan içeriklerle etkileşime geçin
Gerçek Zamanlı Hack Haberleri Hızla değişen hacking dünyasını gerçek zamanlı haberler ve içgörülerle takip edin
En Son Duyurular Yeni ödül avı başlatmaları ve önemli platform güncellemeleri hakkında bilgi edinin
Bize katılın Discord ve bugün en iyi hackerlarla işbirliğine başlayın!
Last updated
