hacktricks/pentesting-web/rate-limit-bypass.md

# レート制限回避

<figure><img src="../.gitbook/assets/image (3) (1) (1) (1) (1) (1) (1) (1).png" alt=""><figcaption></figcaption></figure>

\
[**Trickest**](https://trickest.com/?utm\_campaign=hacktrics\&utm\_medium=banner\&utm\_source=hacktricks)を使用して、世界で最も**高度な**コミュニティツールによって強化された**ワークフローを簡単に構築**および**自動化**します。\
今すぐアクセスを取得:

{% embed url="https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}

<details>

<summary><strong>**htARTE (HackTricks AWS Red Team Expert)**でAWSハッキングをゼロからヒーローまで学ぶ</strong></summary>

HackTricksをサポートする他の方法:

* **HackTricksで企業を宣伝**したい場合や**HackTricksをPDFでダウンロード**したい場合は、[**SUBSCRIPTION PLANS**](https://github.com/sponsors/carlospolop)をチェックしてください！
* [**公式PEASS＆HackTricksのグッズ**](https://peass.creator-spring.com)を入手
* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)を発見し、独占的な[**NFTs**](https://opensea.io/collection/the-peass-family)のコレクションを見つける
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**をフォロー**してください。
* **ハッキングトリックを共有するために、**[**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のgithubリポジトリにPRを提出してください。

</details>

## レート制限回避テクニック

### 類似エンドポイントの調査

`/api/v3/sign-up`など、ターゲットとなるエンドポイントのバリエーションに対してブルートフォース攻撃を試みるべきです。`/Sing-up`、`/SignUp`、`/singup`、`/api/v1/sign-up`、`/api/sign-up`などの代替案も含めて。

### コードやパラメータに空白文字を組み込む

コードやパラメータに`%00`、`%0d%0a`、`%0d`、`%0a`、`%09`、`%0C`、`%20`などの空白バイトを挿入することは有用な戦略となります。たとえば、パラメータを`code=1234%0a`に調整することで、入力の変化を通じて試行を拡張することが可能となります。メールアドレスに改行文字を追加するなどの入力の変化を通じて試行制限を回避することができます。

### ヘッダーを介したIPの出所の操作

知覚されるIPの出所を変更するためにヘッダーを変更することは、IPベースのレート制限を回避するのに役立ちます。`X-Originating-IP`、`X-Forwarded-For`、`X-Remote-IP`、`X-Remote-Addr`、`X-Client-IP`、`X-Host`、`X-Forwared-Host`などのヘッダーを調整し、異なるIPからのリクエストをシミュレートするために`X-Forwarded-For`の複数のインスタンスを使用することができます。
```bash
X-Originating-IP: 127.0.0.1
X-Forwarded-For: 127.0.0.1
X-Remote-IP: 127.0.0.1
X-Remote-Addr: 127.0.0.1
X-Client-IP: 127.0.0.1
X-Host: 127.0.0.1
X-Forwared-Host: 127.0.0.1

# Double X-Forwarded-For header example
X-Forwarded-For:
X-Forwarded-For: 127.0.0.1
```
### 他のヘッダーの変更

ユーザーエージェントやクッキーなど、他のリクエストヘッダーを変更することが推奨されています。これらはリクエストのパターンを特定して追跡するために使用されることがあります。これらのヘッダーを変更することで、リクエストの活動を認識および追跡することを防ぐことができます。

### API Gatewayの動作を活用

一部のAPIゲートウェイは、エンドポイントとパラメータの組み合わせに基づいてレート制限を適用するように構成されています。パラメータ値を変化させたり、リクエストに無関係なパラメータを追加することで、ゲートウェイのレート制限ロジックを回避し、各リクエストを一意に見せることが可能です。例：`/resetpwd?someparam=1`。

### 各試行前にアカウントにログイン

各試行前または一連の試行ごとにアカウントにログインすることで、レート制限カウンターをリセットすることができます。特にログイン機能をテストする際に役立ちます。Burp SuiteなどのツールでPitchfork攻撃を利用し、数回の試行ごとに資格情報を切り替え、リダイレクトをマークすることで、レート制限カウンターを効果的にリスタートできます。

### プロキシネットワークの活用

複数のIPアドレスにリクエストを分散させるためにプロキシネットワークを展開することで、IPベースのレート制限を効果的にバイパスできます。さまざまなプロキシを介してトラフィックをルーティングすることで、各リクエストが異なるソースから発信されたものとして見え、レート制限の効果を薄めることができます。

### 異なるアカウントやセッションに攻撃を分割

対象システムがアカウントごとまたはセッションごとにレート制限を適用している場合、攻撃やテストを複数のアカウントやセッションに分散させることで検出を回避できます。このアプローチでは、複数のアイデンティティやセッショントークンを管理する必要がありますが、許容可能な制限内に留まるために負荷を分散させるのに効果的です。