hacktricks/pentesting-web/2fa-bypass.md

# Kuvuka Uthibitisho wa Hatua Mbili (2FA/OTP)

<details>

<summary><strong>Jifunze kuhusu kuvunja usalama wa AWS kutoka mwanzo hadi kuwa bingwa na</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (Mtaalam wa Timu Nyekundu ya AWS ya HackTricks)</strong></a><strong>!</strong></summary>

Njia nyingine za kusaidia HackTricks:

* Ikiwa unataka kuona **kampuni yako inatangazwa kwenye HackTricks** au **kupakua HackTricks kwa muundo wa PDF** Angalia [**MPANGO WA KUJIUNGA**](https://github.com/sponsors/carlospolop)!
* Pata [**swag rasmi ya PEASS & HackTricks**](https://peass.creator-spring.com)
* Gundua [**The PEASS Family**](https://opensea.io/collection/the-peass-family), mkusanyiko wetu wa kipekee wa [**NFTs**](https://opensea.io/collection/the-peass-family)
* **Jiunge na** 💬 [**kikundi cha Discord**](https://discord.gg/hRep4RUj7f) au [**kikundi cha telegram**](https://t.me/peass) au **tufuate** kwenye **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Shiriki mbinu zako za kuvamia kwa kuwasilisha PRs kwenye** [**HackTricks**](https://github.com/carlospolop/hacktricks) na [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) repos za github.

</details>

## **Mbinu za Kuvuka Uthibitisho wa Hatua Mbili (2FA/OTP)**

### **Upatikanaji wa Moja kwa Moja wa Endpoint**

Ili kuvuka 2FA, fikia moja kwa moja endpoint inayofuata, kujua njia ni muhimu. Ikiwa haifanikiwi, badilisha **kichwa cha Referrer** ili kufanana na urambazaji kutoka kwenye ukurasa wa uthibitisho wa 2FA.

### **Matumizi ya Vitufe Vilivyotumiwa Tena**

Kutumia vitufe vilivyotumiwa hapo awali kwa uthibitisho ndani ya akaunti inaweza kuwa na ufanisi.

### **Matumizi ya Vitufe Visivyotumiwa**

Jaribu kuchukua kifunguo kutoka kwenye akaunti yako ili kuvuka 2FA kwenye akaunti nyingine.

### **Kufichua Kifunguo**

Chunguza ikiwa kifunguo kimefunuliwa katika jibu kutoka kwenye programu ya wavuti.

### **Udanganyifu wa Kiungo cha Uthibitisho**

Kutumia **kiungo cha uthibitisho wa barua pepe kilichotumwa wakati wa kuunda akaunti** kunaweza kuruhusu ufikiaji wa wasifu bila 2FA, kama ilivyoelezwa kwa undani katika [chapisho](https://srahulceh.medium.com/behind-the-scenes-of-a-security-bug-the-perils-of-2fa-cookie-generation-496d9519771b).

### **Udhibiti wa Kikao**

Kuanzisha vikao kwa akaunti ya mtumiaji na ya mwathiriwa, na kukamilisha 2FA kwa akaunti ya mtumiaji bila kuendelea, inaruhusu jaribio la kufikia hatua inayofuata katika mchakato wa akaunti ya mwathiriwa, kwa kuvunja mipaka ya usimamizi wa kikao cha nyuma.

### **Mfumo wa Kurejesha Nenosiri**

Chunguza kazi ya kurejesha nywila, ambayo inamuingiza mtumiaji kwenye programu baada ya kurejesha, ili kuona ikiwa inawezekana kufanya urejeshaji wa nywila kadhaa kwa kutumia kiungo kimoja. Kuingia kwa kutumia nywila mpya iliyorejeshwa inaweza kuvuka 2FA.

### **Uvamizi wa Jukwaa la OAuth**

Kuvamia akaunti ya mtumiaji kwenye jukwaa la OAuth lililothibitishwa (k.m., Google, Facebook) kunaweza kutoa njia ya kuvuka 2FA.

### **Mashambulizi ya Brute Force**

#### **Kukosekana kwa Kikomo cha Kasi**

Kutokuwepo kwa kikomo cha idadi ya majaribio ya nambari kunaruhusu mashambulizi ya nguvu, ingawa kikomo cha kimya kinapaswa kuzingatiwa.

#### **Mashambulizi ya Brute Force Yenye Kasi Ndogo**

Mashambulizi ya nguvu yenye kasi ndogo yanawezekana ambapo kuna kikomo cha kasi ya mchakato bila kikomo kikuu.

#### **Kurejesha Kikomo cha Kutuma Nambari**

Kutuma tena nambari kunarejesha kikomo cha kasi, kurahisisha jaribio la mashambulizi ya nguvu.

#### **Kuzunguka Kikomo cha Kasi ya Upande wa Mteja**

Hati inaelezea mbinu za kuzunguka kikomo cha kasi ya upande wa mteja.

#### **Hatua za Ndani Hazina Kikomo cha Kasi**

Kikomo cha kasi kinaweza kulinda majaribio ya kuingia lakini sio hatua za ndani za akaunti.

#### **Gharama za Kutuma tena Nambari za SMS**

Kutuma tena nambari kupitia SMS kunasababisha gharama kwa kampuni, ingawa haivuki 2FA.

#### **Uzalishaji Usio na Mwisho wa OTP**

Uzalishaji usio na mwisho wa OTP kwa nambari rahisi unaruhusu mashambulizi ya nguvu kwa kujaribu seti ndogo ya nambari.

### **Udanganyifu wa Hali ya Mashindano**

Kuvamia hali ya mashindano kwa kuvuka 2FA inaweza kupatikana katika hati maalum.

### **Makosa ya Udhibiti wa CSRF/Clickjacking**

Kuchunguza makosa ya Udhibiti wa CSRF au Clickjacking ili kulemaza 2FA ni mkakati unaofaa.

### **Udanganyifu wa Kipengele cha "Nikumbuke"**

#### **Thamani ya Kidakuzi Inayoweza Kukisia**

Kukisia thamani ya kidakuzi cha "nikumbuke" kunaweza kulemaza vizuizi.

#### **Uigaji wa Anwani ya IP**

Kuiga anwani ya IP ya mwathiriwa kupitia kichwa cha **X-Forwarded-For** kunaweza kulemaza vizuizi.

### **Matumizi ya Toleo za Zamani**

#### **Subdomains**

Jaribu tovuti ndogo kwa kutumia toleo za zamani ambazo hazina msaada wa 2FA au zina utekelezaji wa 2FA wenye udhaifu.

#### **Endpoint za API**

Toleo za zamani za API, zinazoonyeshwa na njia za saraka /v\*/, zinaweza kuwa na udhaifu wa kuvuka 2FA.

### **Kushughulikia Vikao Vilivyopita**

Kuisha vikao vilivyopo baada ya kuanzisha 2FA kunalinda akaunti dhidi ya ufikiaji usioidhinishwa kutoka kwa vikao vilivyoharibiwa.

### **Dosari za Udhibiti wa Upatikanaji na Nambari za Kuhifadhi**

Uzalishaji wa haraka na upatikanaji usio halali wa nambari za kuhifadhi baada ya kuanzisha 2FA, haswa na dosari za CORS/XSS, unaweka hatari.

### **Kufichua Taarifa kwenye Ukurasa wa 2FA**

Kufichua taarifa nyeti (k.m., nambari ya simu) kwenye ukurasa wa uthibitisho wa 2FA ni wasiwasi.

### **Kufuta Urejeshaji wa Nenosiri kulemaza 2FA**

Mchakato unaodhihirisha njia ya kuvuka 2FA unahusisha kuunda akaunti, kuamsha 2FA, kurejesha nywila, na kuingia baadaye bila mahitaji ya 2FA.

### **Maombi ya Kudanganya**

Kutumia maombi ya kudanganya ili kuficha mashambulizi ya nguvu au kudanganya taratibu za kikomo cha kasi kunatoa safu nyingine ya mkakati wa kuvuka. Kuunda maombi kama hayo kunahitaji uelewa wa kina wa hatua za usalama za programu na tabia za kik