<summary><strong>Jifunze kuhusu udukuzi wa AWS kutoka sifuri hadi shujaa na</strong><ahref="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
* Ikiwa unataka kuona **kampuni yako ikionekana katika HackTricks** au **kupakua HackTricks kwa PDF** Angalia [**MPANGO WA KUJIUNGA**](https://github.com/sponsors/carlospolop)!
* Pata [**swag rasmi ya PEASS & HackTricks**](https://peass.creator-spring.com)
* Gundua [**The PEASS Family**](https://opensea.io/collection/the-peass-family), mkusanyiko wetu wa kipekee wa [**NFTs**](https://opensea.io/collection/the-peass-family)
* **Jiunge na** 💬 [**Kikundi cha Discord**](https://discord.gg/hRep4RUj7f) au [**kikundi cha telegram**](https://t.me/peass) au **tufuate** kwenye **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Shiriki mbinu zako za udukuzi kwa kuwasilisha PR kwa** [**HackTricks**](https://github.com/carlospolop/hacktricks) na [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) repos za github.
Jiunge na [**HackenProof Discord**](https://discord.com/invite/N3FrSbmwdy) server ili kuwasiliana na wadukuzi wenye uzoefu na wawindaji wa tuzo za mdudu!
**Machapisho Kuhusu Udukuzi**\
Shiriki na yaliyomo yanayochunguza msisimko na changamoto za udukuzi
**Habari za Udukuzi za Wakati Halisi**\
Endelea kuwa na habari za ulimwengu wa udukuzi kwa kupitia habari na ufahamu wa wakati halisi
**Matangazo ya Hivi Karibuni**\
Baki na habari za hivi karibuni kuhusu uzinduzi wa tuzo za mdudu na sasisho muhimu za jukwaa
**Jiunge nasi kwenye** [**Discord**](https://discord.com/invite/N3FrSbmwdy) na anza kushirikiana na wadukuzi bora leo!
## **Kuvuja Kwa Nenosiri la Kusahihisha Kupitia Referrer**
* Kichwa cha habari cha HTTP kinaweza kuvuja nenosiri la kusahihisha ikiwa kimejumuishwa kwenye URL. Hii inaweza kutokea wakati mtumiaji anapobofya kiungo cha tovuti ya tatu baada ya kuomba kusahihisha nenosiri.
* **Athari**: Udukuzi wa akaunti unaowezekana kupitia mashambulizi ya Cross-Site Request Forgery (CSRF).
* **Marejeo**:
- [Ripoti ya HackerOne 342693](https://hackerone.com/reports/342693)
- [Ripoti ya HackerOne 272379](https://hackerone.com/reports/272379)
- [Makala ya Kuvuja Kwa Nenosiri la Kusahihisha](https://medium.com/@rubiojhayz1234/toyotas-password-reset-token-and-email-address-leak-via-referer-header-b0ede6507c6a)
## **Udanganyifu wa Kusahihisha Nenosiri**
* Wadukuzi wanaweza kudanganya kichwa cha mwenyeji wakati wa ombi la kusahihisha nenosiri ili kuuelekeza kiungo cha kusahihisha kwenye tovuti yenye nia mbaya.
* **Kurekebisha**: Tumia `$_SERVER['SERVER_NAME']` kuunda URL za kusahihisha nenosiri badala ya `$_SERVER['HTTP_HOST']`.
* **Athari**: Inasababisha udukuzi wa akaunti unaowezekana kwa kuvuja vifunguo vya kusahihisha kwa wadukuzi.
* **Hatua za Kupunguza Madhara**:
- Thibitisha kichwa cha mwenyeji dhidi ya orodha nyeupe ya kikoa kinachoruhusiwa.
- Tumia njia salama za upande wa seva kuzalisha URL kamili.
* **Marejeo**:
- [Makala ya Acunetix juu ya Udanganyifu wa Kusahihisha Nenosiri](https://www.acunetix.com/blog/articles/password-reset-poisoning/)
## **Kusahihisha Nenosiri Kwa Kudanganya Parameta ya Barua pepe**
* Wadukuzi wanaweza kudanganya ombi la kusahihisha nenosiri kwa kuongeza parameta za barua pepe ziada ili kuelekeza kiungo cha kusahihisha.
* **Hatua za Kupunguza Madhara**:
- Chambua na thibitisha parameta za barua pepe kwa upande wa seva.
- Tumia taarifa zilizotayarishwa au maswali yenye parameta ili kuzuia mashambulizi ya kuingiza.
* **Marejeo**:
- [Kuchukua Akaunti ya Readme.com](https://medium.com/@0xankush/readme-com-account-takeover-bugbounty-fulldisclosure-a36ddbe915be)
## **Kubadilisha Barua pepe na Nenosiri ya Mtumiaji yeyote kupitia Parameta za API**
* Wadukuzi wanaweza kubadilisha parameta za barua pepe na nenosiri katika maombi ya API ili kubadilisha vitambulisho vya akaunti.
* **Hatua za Kupunguza Madhara**:
- Hakikisha uthibitishaji na ukaguzi wa kina wa parameta.
- Tekeleza ufuatiliaji na uchunguzi imara ili kugundua na kujibu shughuli za kutia shaka.
* **Marejeo**:
- [Kuchukua Akaunti Kamili kupitia Udanganyifu wa Parameta ya API](https://medium.com/@adeshkolte/full-account-takeover-changing-email-and-password-of-any-user-through-api-parameters-3d527ab27240)
## **Hakuna Kikomo cha Kiwango: Barua pepe za Mabomu**
* Kutokuwepo kwa kikomo cha kiwango kwenye maombi ya kusahihisha nenosiri kunaweza kusababisha barua pepe za mabomu, kuzidiwa na barua pepe za kusahihisha.
* **Hatua za Kupunguza Madhara**:
- Tekeleza kikomo cha kiwango kulingana na anwani ya IP au akaunti ya mtumiaji.
- Tumia changamoto za CAPTCHA kuzuia matumizi ya kiotomatiki.
* **Marejeo**:
- [Ripoti ya HackerOne 280534](https://hackerone.com/reports/280534)
## **Gundua Jinsi Vitambulisho vya Kusahihisha Nenosiri Vinavyotengenezwa**
* Kuelewa muundo au njia ya kuzalisha vitambulisho kunaweza kusababisha kutabiri au kuvunja nguvu vitambulisho.
* **Hatua za Kupunguza Madhara**:
- Tumia njia imara za kriptografia kwa kuzalisha vitambulisho.
- Hakikisha upangaji wa kutosha na urefu wa kutosha ili kuzuia utabirika.
* **Zana**: Tumia Burp Sequencer kuchambua upangaji wa vitambulisho.
## **GUID Inayoweza Kukisiwa**
* Ikiwa GUID (k.m., toleo 1) inaweza kubashiriwa au kutabiriwa, wadukuzi wanaweza kujaribu kuvunja nguvu ili kuzalisha vitambulisho sahihi vya kusahihisha.
* **Hatua za Kupunguza Madhara**:
- Tumia GUID toleo 4 kwa upangaji wa kubahatisha au tekeleza hatua za ziada za usalama kwa toleo zingine.
* **Zana**: Tumia [guidtool](https://github.com/intruder-io/guidtool) kwa uchambuzi na kuzalisha GUID.
## **Udanganyifu wa Majibu: Badilisha Majibu Mabaya na Mema**
* Kudanganya majibu ya HTTP ili kuepuka ujumbe wa hitilafu au vizuizi.
* **Hatua za Kupunguza Madhara**:
- Tekeleza ukaguzi wa upande wa seva ili kuhakikisha usahihi wa majibu.
- Tumia njia salama za mawasiliano kama HTTPS kuzuia mashambulizi ya mtu katik
Jiunge na seva ya [**HackenProof Discord**](https://discord.com/invite/N3FrSbmwdy) ili kuwasiliana na wadukuzi wenye uzoefu na wawindaji wa bug bounty!
<summary><strong>Jifunze udukuzi wa AWS kutoka sifuri hadi shujaa na</strong><ahref="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
* Ikiwa unataka kuona **kampuni yako inatangazwa kwenye HackTricks** au **kupakua HackTricks kwa PDF** Angalia [**MPANGO WA KUJIUNGA**](https://github.com/sponsors/carlospolop)!
* Pata [**swag rasmi ya PEASS & HackTricks**](https://peass.creator-spring.com)
* Gundua [**The PEASS Family**](https://opensea.io/collection/the-peass-family), mkusanyiko wetu wa [**NFTs**](https://opensea.io/collection/the-peass-family) ya kipekee
* **Jiunge na** 💬 [**Kikundi cha Discord**](https://discord.gg/hRep4RUj7f) au [**kikundi cha telegram**](https://t.me/peass) au **tufuate** kwenye **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Shiriki mbinu zako za udukuzi kwa kuwasilisha PRs kwa** [**HackTricks**](https://github.com/carlospolop/hacktricks) na [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) repos za github.
