August 4, 2023

2FA Bypass-техники

1. Манипуляция ответом

  • Если в ответе "success":false
  • Измените на "success":true

2. Манипуляция кодом состояния

  • Если код состояния 4xx
  • Попробуйте изменить его на 200 OK и посмотреть, можно ли обойти ограничения.

3. Утечка кода 2FA в ответе

  • Проверьте ответ запроса, вызывающего код 2FA, чтобы увидеть, не просочился ли код

4. Анализ файла JS

  • Редко, но некоторые файлы JS могут содержать информацию о коде 2FA, стоит попробовать

5. Возможность повторно использовать код 2FA

  • Можно использовать один и тот же код повторно

6. Отсутствие защиты от перебора

  • Возможен перебор кода 2FA любой длины.

7. Отсутствует проверка целостности кода 2FA

  • Код для любой учетной записи пользователя может быть использован для обхода 2FA.

8. CSRF при отключении 2FA

  • Нет защиты от CSRF при отключении 2FA, также нет подтверждения аутентификации.

9. Отключение 2FA при сбросе пароля

  • 2FA отключается при изменении пароля/электронной почты.

10. Злоупотребление резервным кодом

  • Обход 2FA с помощью функции резервного кода
  • Используйте вышеупомянутые методы для обхода резервного кода, чтобы удалить/сбросить ограничения сброса 2FA.

11. Нажатие на 2FA на странице отключения

  • Встраивание страницы отключения 2FA и социальная инженерия жертвы для отключения 2FA.

12. Встраивание страницы отключения 2FA и социальная инженерия жертвы для отключения 2FA

  • Если сеанс уже был захвачен и есть уязвимость таймаута сеанса.

13. Обход 2FA с помощью null или 000000

  • Введите код 000000 или null, чтобы обойти защиту 2FA.
  • Шаги:
    • Введите «null» в код 2FA.
    • Введите 000000 в код 2FA.
    • Отправьте пустой код - это кто-то нашел в Grammarly.
    • Откройте новую вкладку в том же браузере и проверьте, доступны ли другие API-интерфейсы без ввода 2FA.

14. Обход Google Authenticator

  • Шаги:
    • Настройте Google Authenticator для 2FA.
    • Теперь 2FA включена.
    • Перейдите на страницу сброса пароля и измените свой пароль.
    • Если ваш веб-сайт перенаправит вас на вашу панель инструментов, то 2FA (Google Authenticator) будет обойдена.

15. Обход OTP в формах регистрации путем многократной повторной отправки формы с помощью повторителя

  • Шаги:
    • Создайте учетную запись с несуществующим номером телефона.
    • Перехватите запрос в BurpSuite.
    • Отправьте запрос в повторитель и перенаправьте.
    • Перейдите на вкладку Повторитель и измените несуществующий номер телефона на свой номер телефона.
    • Если вы получили OTP на свой телефон, попробуйте использовать этот OTP для регистрации этого несуществующего номера.