2FA/OTP Bypass
Покращені техніки обходу двофакторної аутентифікації
Прямий доступ до кінцевої точки
Для обходу двофакторної аутентифікації, важливо мати доступ до наступної кінцевої точки, знання шляху є критичним. Якщо спроба не вдається, змініть заголовок Referrer, щоб імітувати навігацію зі сторінки підтвердження 2FA.
Повторне використання токенів
Повторне використання раніше використаних токенів для аутентифікації в обліковому записі може бути ефективним.
Використання не використаних токенів
Спроба витягнути токен зі свого власного облікового запису для обходу 2FA в іншому обліковому записі.
Розкриття токену
Дослідіть, чи токен розкривається в відповіді від веб-додатку.
Експлуатація посилання для підтвердження
Використання посилання для підтвердження електронної пошти, відправленого при створенні облікового запису, може дозволити доступ до профілю без 2FA, як це показано в детальному пості.
Маніпулювання сесією
Ініціювання сесій як для облікового запису користувача, так і для облікового запису жертви, і завершення 2FA для облікового запису користувача без продовження дозволяє спробу доступу до наступного кроку в потоці облікового запису жертви, експлуатуючи обмеження управління сесією на бекенді.
Механізм скидання пароля
Дослідження функції скидання пароля, яка увійде користувача в додаток після скидання, для можливості дозволу кількох скидань за допомогою одного посилання є критичним. Вхід за новими скинутими обліковими даними може обійти 2FA.
Компрометація платформи OAuth
Компрометація облікового запису користувача на довіреній платформі OAuth (наприклад, Google, Facebook) може запропонувати шлях обходу 2FA.
Атаки методом грубої сили
Відсутність обмеження швидкості
Відсутність обмеження на кількість спроб коду дозволяє атакам методом грубої сили, хоча слід враховувати можливе тихе обмеження швидкості.
Повільна атака методом грубої сили
Повільна атака методом грубої сили можлива, де існують обмеження швидкості потоку без загального обмеження швидкості.
Скидання обмеження на відправку коду
Повторне відправлення коду скидає обмеження швидкості, сприяючи продовженню атак методом грубої сили.
Обхід обмеження швидкості на клієнтському боці
У документі описані техніки обходу обмеження швидкості на клієнтському боці.
Внутрішні дії без обмеження швидкості
Обмеження швидкості може захищати спроби входу, але не внутрішні дії облікового запису.
Вартість повторної відправки SMS-кодів
Часте повторне відправлення кодів через SMS призводить до витрат для компанії, хоча це не обходить 2FA.
Нескінченне відтворення OTP
Безкінечне відтворення OTP з простими кодами дозволяє атаку методом грубої сили шляхом повторної спроби невеликого набору кодів.
Експлуатація умови гонки
Експлуатація умов гонки для обходу 2FA можна знайти в конкретному документі.
Вразливості CSRF/Clickjacking
Дослідження вразливостей CSRF або Clickjacking для вимкнення 2FA є життєздатною стратегією.
Експлуатація функцій "Запам'ятати мене"
Припустимі значення кукі
Вгадування значення куки "запам'ятати мене" може обійти обмеження.
Імітація IP-адреси
Імітація IP-адреси жертви через заголовок X-Forwarded-For може обійти обмеження.
Використання старіших версій
Піддомени
Тестування піддоменів може використовувати застарілі версії без підтримки 2FA або містити вразливі реалізації 2FA.
API-кінцеві точки
Старі версії API, вказані шляхами до каталогів /v*/, можуть бути вразливі до методів обходу 2FA.
Обробка попередніх сесій
Завершення існуючих сесій при активації 2FA захищає облікові записи від несанкціонованого доступу з компрометованих сесій.
Недоліки управління доступом з резервними кодами
Негайне створення та потенційне несанкціоноване отримання резервних кодів при активації 2FA, особливо з помилками CORS/XSS, становить ризик.
Розкриття інформації на сторінці 2FA
Розкриття чутливої інформації (наприклад, номер телефону) на сторінці підтвердження 2FA є проблемою.
Вимкнення скидання пароля 2FA
Процес, що демонструє потенційний метод обходу, включає створення облікового запису, активацію 2FA, скидання пароля та подальший вхід без вимоги 2FA.
Вимоги-приманки
Використання вимог-приманок для затемнення атак методом грубої сили або введення в оману механізмів обмеження швидкості додає ще один рівень до стратегій обходу. Створення таких запитів вимагає витонченого розуміння заходів безпеки додатка та поведінки обмеження швидкості.
Посилання
Last updated