1. Манипуляция ответом
- Если в ответе "success":false
- Измените на "success":true
2. Манипуляция кодом состояния
- Если код состояния 4xx
- Попробуйте изменить его на 200 OK и посмотреть, можно ли обойти ограничения.
3. Утечка кода 2FA в ответе
- Проверьте ответ запроса, вызывающего код 2FA, чтобы увидеть, не просочился ли код
4. Анализ файла JS
- Редко, но некоторые файлы JS могут содержать информацию о коде 2FA, стоит попробовать
5. Возможность повторно использовать код 2FA
- Можно использовать один и тот же код повторно
6. Отсутствие защиты от перебора
- Возможен перебор кода 2FA любой длины.
7. Отсутствует проверка целостности кода 2FA
- Код для любой учетной записи пользователя может быть использован для обхода 2FA.
8. CSRF при отключении 2FA
- Нет защиты от CSRF при отключении 2FA, также нет подтверждения аутентификации.
9. Отключение 2FA при сбросе пароля
- 2FA отключается при изменении пароля/электронной почты.
10. Злоупотребление резервным кодом
- Обход 2FA с помощью функции резервного кода
- Используйте вышеупомянутые методы для обхода резервного кода, чтобы удалить/сбросить ограничения сброса 2FA.
11. Нажатие на 2FA на странице отключения
- Встраивание страницы отключения 2FA и социальная инженерия жертвы для отключения 2FA.
12. Встраивание страницы отключения 2FA и социальная инженерия жертвы для отключения 2FA
- Если сеанс уже был захвачен и есть уязвимость таймаута сеанса.
13. Обход 2FA с помощью null или 000000
- Введите код 000000 или null, чтобы обойти защиту 2FA.
- Шаги:
- Введите «null» в код 2FA.
- Введите 000000 в код 2FA.
- Отправьте пустой код - это кто-то нашел в Grammarly.
- Откройте новую вкладку в том же браузере и проверьте, доступны ли другие API-интерфейсы без ввода 2FA.
14. Обход Google Authenticator
- Шаги:
- Настройте Google Authenticator для 2FA.
- Теперь 2FA включена.
- Перейдите на страницу сброса пароля и измените свой пароль.
- Если ваш веб-сайт перенаправит вас на вашу панель инструментов, то 2FA (Google Authenticator) будет обойдена.
15. Обход OTP в формах регистрации путем многократной повторной отправки формы с помощью повторителя
- Шаги:
- Создайте учетную запись с несуществующим номером телефона.
- Перехватите запрос в BurpSuite.
- Отправьте запрос в повторитель и перенаправьте.
- Перейдите на вкладку Повторитель и измените несуществующий номер телефона на свой номер телефона.
- Если вы получили OTP на свой телефон, попробуйте использовать этот OTP для регистрации этого несуществующего номера.