hacktricks/pentesting-web/2fa-bypass.md

# Kupuuza Uthibitishaji wa Hatua Mbili (2FA/OTP)

<details>

<summary><strong>Jifunze kuhusu kuvamia AWS kutoka mwanzo hadi mtaalamu na</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (Mtaalamu wa Timu Nyekundu ya AWS ya HackTricks)</strong></a><strong>!</strong></summary>

Njia nyingine za kusaidia HackTricks:

* Ikiwa unataka kuona **kampuni yako ikitangazwa kwenye HackTricks** au **kupakua HackTricks kwa PDF** Angalia [**MIPANGO YA KUJIUNGA**](https://github.com/sponsors/carlospolop)!
* Pata [**bidhaa rasmi za PEASS & HackTricks**](https://peass.creator-spring.com)
* Gundua [**Familia ya PEASS**](https://opensea.io/collection/the-peass-family), mkusanyiko wetu wa kipekee wa [**NFTs**](https://opensea.io/collection/the-peass-family)
* **Jiunge na** 💬 [**Kikundi cha Discord**](https://discord.gg/hRep4RUj7f) au kikundi cha [**telegram**](https://t.me/peass) au **tufuate** kwenye **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
* **Shiriki mbinu zako za kuvamia kwa kuwasilisha PRs kwa** [**HackTricks**](https://github.com/carlospolop/hacktricks) na [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) repos za github.

</details>

## **Mbinu za Kupuuza Uthibitishaji wa Hatua Mbili (2FA)**

### **Upatikanaji wa Moja kwa Moja wa Njia ya Mwisho**

Kupuuza 2FA, fikia moja kwa moja njia ya mwisho, kujua njia ni muhimu. Ikiwa haujafanikiwa, badilisha **kichwa cha Referrer** kufanana na urambazaji kutoka ukurasa wa uthibitishaji wa 2FA.

### **Matumizi ya Tena ya Alama**

Kutumia tena alama zilizotumiwa hapo awali kwa uthibitishaji ndani ya akaunti inaweza kuwa na ufanisi.

### **Matumizi ya Alama Zisizotumiwa**

Kuchimba alama kutoka kwenye akaunti yako mwenyewe ili kupuuza 2FA kwenye akaunti nyingine kunaweza kujaribiwa.

### **Ufunuo wa Alama**

Chunguza ikiwa alama inafunuliwa katika majibu kutoka kwenye programu ya wavuti.

### **Udanganyifu wa Kiungo cha Uthibitishaji**

Kutumia **kiungo cha uthibitishaji wa barua pepe uliotumwa wakati wa uundaji wa akaunti** kunaweza kuruhusu ufikiaji wa wasifu bila 2FA, kama ilivyoelezwa kwa undani katika [chapisho](https://srahulceh.medium.com/behind-the-scenes-of-a-security-bug-the-perils-of-2fa-cookie-generation-496d9519771b).

### **Udhibiti wa Kikao**

Kuanzisha vikao kwa akaunti ya mtumiaji na ya muhanga, na kukamilisha 2FA kwa akaunti ya mtumiaji bila kuendelea, inaruhusu jaribio la kupata hatua inayofuata katika mchakato wa akaunti ya muhanga, ikichexploitisha mipaka ya usimamizi wa kikao cha nyuma.

### **Mfumo wa Kurejesha Nywila**

Kuchunguza kazi ya kurejesha nywila, ambayo inaingiza mtumiaji kwenye programu baada ya kurejesha, kwa uwezo wake wa kuruhusu urejeshaji wa nywila nyingi kwa kutumia kiungo kimoja ni muhimu. Kuingia kwa kutumia maelezo ya kuingia upya kunaweza kupuuza 2FA.

### **Uvamizi wa Jukwaa la OAuth**

Kuvamia akaunti ya mtumiaji kwenye jukwaa la **OAuth** lililothibitishwa (k.m., Google, Facebook) inaweza kutoa njia ya kupuuza 2FA.

### **Mashambulizi ya Brute Force**

#### **Kutokuwepo kwa Kikomo cha Kasi**

Ukosefu wa kikomo kwenye idadi ya majaribio ya nambari inaweza kuruhusu mashambulizi ya brute force, ingawa inapaswa kuzingatiwa kikomo cha kimya cha kasi.

#### **Mashambulizi ya Brute Force ya Polepole**

Mashambulizi ya brute force ya polepole yanawezekana ambapo kuna mipaka ya kasi ya mchakato bila kikomo kuu.

#### **Kurejesha Upya Kikomo cha Nambari**

Kutuma tena nambari kunairejesha kikomo cha kasi, kurahisisha majaribio ya brute force kuendelea.

#### **Kuzunguka Kikomo cha Kasi ya Mteja**

Hati inaelezea mbinu za kupuuza kikomo cha kasi cha mteja.

#### **Hatua za Ndani Haziweki Kikomo cha Kasi**

Mipaka ya kasi inaweza kulinda majaribio ya kuingia lakini sio hatua za akaunti za ndani.

#### **Gharama za Kutuma Upya Nambari za SMS**

Kutuma upya nambari kupitia SMS kunagharimu kampuni, ingawa haisababishi kupuuza 2FA.

#### **Uzalishaji Usio na Mwisho wa OTP**

Uzalishaji usio na mwisho wa OTP na nambari rahisi kuruhusu brute force kwa kujaribu seti ndogo ya nambari.

### **Udanganyifu wa Hali ya Mashindano**

Kuchexploitisha hali za mashindano kwa kupuuza 2FA inaweza kupatikana katika hati maalum.

### **Makosa ya CSRF/Clickjacking**

Kuchunguza makosa ya CSRF au Clickjacking kwa kulegeza 2FA ni mkakati unaoweza kutumika.

### **Mbinu za Kutumia "Nikumbuke"**

#### **Alama za Vidakuzi Zinazoweza Kupredict**

Kudhani thamani ya kuki ya "nikumbuke" kunaweza kupuuza vizuizi.

#### **Uigaji wa Anwani ya IP**

Kujifanya kuwa anwani ya IP ya muhanga kupitia kichwa cha **X-Forwarded-For** kunaweza kupuuza vizuizi.

### **Matumizi ya Toleo za Zamani**

#### **Subdomains**

Kujaribu subdomains kunaweza kutumia toleo za zamani zisizo na msaada wa 2FA au zina utekelezaji wa 2FA wenye mapungufu.

#### **Njia za API**

Toleo za zamani za API, zinazoonyeshwa na njia za saraka za /v\*/, zinaweza kuwa na mapungufu ya kupuuza 2FA.

### **Kushughulikia Vikao Vya Awali**

Kukomesha vikao vilivyopo baada ya kuanzisha 2FA hulinda akaunti dhidi ya ufikiaji usioidhinishwa kutoka kwa vikao vilivyoharibiwa.

### **Makosa ya Udhibiti wa Upatikanaji na Nambari za Kuhifadhi**

Uzalishaji wa haraka na upatikanaji usiohalali wa nambari za kuhifadhi mara baada ya kuanzisha 2FA, hasa na makosa ya CORS/XSS, inaleta hatari.

### **Ufunuo wa Taarifa kwenye Ukurasa wa 2FA**

Ufunuo wa taarifa nyeti (k.m., nambari ya simu) kwenye ukurasa wa uthibitishaji wa 2FA ni wasiwasi.

### **Kulegeza Urejesha Nywila Kupitia Kupuuza 2FA**

Mchakato unaodhihirisha njia ya kupuuza inajumuisha uundaji wa akaunti, kuanzisha 2FA, urejeshaji wa nywila, na kuingia baadaye bila mahitaji ya 2FA.

### **Maombi ya Kudanganya**

Kutumia maombi ya kudanganya kuficha majaribio ya brute force au kudanganya mifumo ya kikomo cha kasi huongeza safu nyingine kwa mikakati ya kupuuza. Kuunda maombi kama hayo kunahitaji uelewa wa kina wa hatua za usalama za programu na tabia za kikomo cha kasi.

## Marejeo

* [https://medium.com/@iSecMax/two-factor-authentication-security-testing-and-possible-bypasses-f65650412b35](https://github.com/carlospolop/hacktricks/blob/master/pentesting-web/%22https:/medium.com/@iSecMax/two-factor-authentication-security-testing-and-possible-bypasses-f65650412b35%22/README.md)
* [https://azwi.medium.com/2-factor-authentication-bypass-3b2bbd907718](https://azwi.medium.com/2-factor-authentication-bypass-3b2bbd907718)

<details>

<summary><strong>Jifunze kuhusu kuvamia AWS kutoka mwanzo hadi mtaalamu na</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (Mtaalamu wa Timu Nyekundu ya AWS ya HackTricks)</strong></a><strong>!</strong></summary>

Njia nyingine za kusaidia HackTricks:

* Ikiwa unataka kuona **kampuni yako ikitangazwa kwenye HackTricks** au **kupakua HackTricks kwa PDF** Angalia [**MIPANGO YA KUJIUNGA**](https://github.com/sponsors/carlospolop)!
* Pata [**bidhaa rasmi za PEASS & HackTricks**](https://peass.creator-spring.com)
* Gundua [**Familia ya PEASS**](https://opensea.io/collection/the-peass-family), mkusanyiko wetu wa kipekee wa [**NFTs**](https://opensea.io/collection/the-peass-family)
* **Jiunge na** 💬 [**Kikundi cha Discord**](https://discord.gg/hRep4RUj7f) au kikundi cha [**telegram**](https://t.me/peass) au **tufuate** kwenye **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
* **Shiriki mbinu zako za kuvamia kwa kuwasilisha PRs kwa** [**HackTricks**](https://github.com/carlospolop/hacktricks) and [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) repos za github.

</details>