hacktricks/pentesting-web/2fa-bypass.md

# Bajpasovanje 2FA/OTP

<details>

<summary><strong>Naučite hakovanje AWS-a od nule do heroja sa</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>

Drugi načini podrške HackTricks-u:

* Ako želite da vidite svoju **kompaniju reklamiranu na HackTricks-u** ili **preuzmete HackTricks u PDF formatu** proverite [**PLANOVE ZA PRIJAVU**](https://github.com/sponsors/carlospolop)!
* Nabavite [**zvanični PEASS & HackTricks swag**](https://peass.creator-spring.com)
* Otkrijte [**The PEASS Family**](https://opensea.io/collection/the-peass-family), našu kolekciju ekskluzivnih [**NFT-ova**](https://opensea.io/collection/the-peass-family)
* **Pridružite se** 💬 [**Discord grupi**](https://discord.gg/hRep4RUj7f) ili [**telegram grupi**](https://t.me/peass) ili nas **pratite** na **Twitter-u** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**.**
* **Podelite svoje hakovanje trikove slanjem PR-ova na** [**HackTricks**](https://github.com/carlospolop/hacktricks) i [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repozitorijume.

</details>

## WhiteIntel

<figure><img src=".gitbook/assets/image (1224).png" alt=""><figcaption></figcaption></figure>

[**WhiteIntel**](https://whiteintel.io) je pretraživač pokretan **dark-web-om** koji nudi **besplatne** funkcionalnosti za proveru da li je kompanija ili njeni korisnici **kompromitovani** od strane **malvera za krađu**.

Primarni cilj WhiteIntel-a je borba protiv preuzimanja naloga i napada ransomware-a koji proizilaze iz malvera za krađu informacija.

Možete posetiti njihovu veb lokaciju i isprobati njihovu mašinu za **besplatno** na:

{% embed url="https://whiteintel.io" %}

---

## **Tehnike Bajpasovanja Unapređene Dvostruke Autentifikacije**

### **Direktan Pristup Krajnjoj Tački**

Zaobiđite 2FA, pristupite narednoj krajnjoj tački direktno, poznavanje putanje je ključno. Ako ne uspete, promenite **Referrer header** da imitirate navigaciju sa stranice za verifikaciju 2FA.

### **Ponovna Upotreba Tokena**

Ponovna upotreba prethodno korišćenih tokena za autentifikaciju unutar naloga može biti efikasna.

### **Korišćenje Neiskorišćenih Tokena**

Pokušajte izvući token iz svog naloga kako biste zaobišli 2FA u drugom nalogu.

### **Otkrivanje Tokena**

Istražite da li je token otkriven u odgovoru veb aplikacije.

### **Eksploatacija Verifikacionog Linka**

Korišćenje **verifikacionog linka poslatog putem e-pošte prilikom kreiranja naloga** može omogućiti pristup profilu bez 2FA, kako je istaknuto u detaljnom [postu](https://srahulceh.medium.com/behind-the-scenes-of-a-security-bug-the-perils-of-2fa-cookie-generation-496d9519771b).

### **Manipulacija Sesijom**

Pokretanje sesija za nalog korisnika i žrtve, i završavanje 2FA za korisnički nalog bez nastavka, omogućava pokušaj pristupa sledećem koraku u toku žrtvinog naloga, eksploatišući ograničenja upravljanja sesijama na serverskoj strani.

### **Mehanizam Resetovanja Lozinke**

Istraživanje funkcije resetovanja lozinke, koja korisnika prijavljuje u aplikaciju nakon resetovanja, zbog potencijala da omogući višestruka resetovanja korišćenjem istog linka je ključno. Prijavljivanje sa novim resetovanim pristupnim podacima može zaobići 2FA.

### **Kompromitacija OAuth Platforme**

Kompromitacija korisničkog naloga na pouzdanoj **OAuth** platformi (npr. Google, Facebook) može ponuditi put za zaobilaženje 2FA.

### **Napadi Brute Force**

#### **Odsustvo Ograničenja Brzine**

Odsustvo ograničenja broja pokušaja koda omogućava napade brute force, mada treba razmotriti potencijalno tiho ograničenje brzine.

#### **Spori Brute Force**

Spori napad brute force je moguć gde postoje ograničenja brzine toka bez opšteg ograničenja brzine.

#### **Resetovanje Ograničenja Ponovnog Slanja Koda**

Ponovno slanje koda resetuje ograničenje brzine, olakšavajući nastavak napada brute force.

#### **Obilaženje Ograničenja Brzine Na Klijentskoj Strani**

Dokument detaljno opisuje tehnike za zaobilaženje ograničenja brzine na klijentskoj strani.

#### **Unutrašnje Akcije Bez Ograničenja Brzine**

Ograničenja brzine mogu štititi pokušaje prijavljivanja ali ne i interne akcije naloga.

#### **Troškovi Ponovnog Slanja SMS Koda**

Prekomerno slanje kodova putem SMS-a donosi troškove kompaniji, mada ne zaobilazi 2FA.

#### **Beskonačna Regeneracija OTP-a**

Beskonačna generacija OTP-a sa jednostavnim kodovima omogućava brute force pokušajem ponovnog pokušaja malog skupa kodova.

### **Eksploatacija Trke Uslova**

Eksploatacija trke uslova za zaobilaženje 2FA može se naći u specifičnom dokumentu.

### **CSRF/Clickjacking Ranjivosti**

Istraživanje CSRF ili Clickjacking ranjivosti za onemogućavanje 2FA je izvodljiva strategija.

### **Eksploatacija Funkcije "Zapamti Me"**

#### **Predvidljive Vrednosti Kolačića**

Pogađanje vrednosti kolačića "zapamti me" može zaobići ograničenja.

#### **Imitacija IP Adrese**

Imitacija IP adrese žrtve putem **X-Forwarded-For** zaglavlja može zaobići ograničenja.

### **Korišćenje Starijih Verzija**

#### **Poddomeni**

Testiranje poddomena može koristiti zastarele verzije koje nemaju podršku za 2FA ili sadrže ranjive implementacije 2FA.

#### **API Krajnje Tačke**

Starije verzije API-ja, naznačene putanjama direktorijuma /v\*/, mogu biti ranjive na metode zaobilaženja 2FA.

### **Rukovanje Prethodnim Sesijama**

Završavanje postojećih sesija prilikom aktivacije 2FA štiti naloge od neovlašćenog pristupa iz kompromitovanih sesija.

### **Propusti Kontrole Pristupa sa Rezervnim Kodovima**

Odmah generisanje i potencijalno neovlašćeno preuzimanje rezervnih kodova prilikom aktivacije 2FA, posebno sa CORS greškama/XSS ranjivostima, predstavlja rizik.

### **Otkrivanje Informacija na Stranici za 2FA**

Otkrivanje osetljivih informacija (npr. broj telefona) na stranici za verifikaciju 2FA je zabrinjavajuće.

### **Onemogućavanje Resetovanja Lozinke 2FA**

Proces koji demonstrira potencijalnu metodu zaobilaženja uključuje kreiranje naloga, aktivaciju 2FA, resetovanje lozinke i naknadno prijavljivanje bez zahteva za 2FA.

### **Lažni Zahtevi**

Korišćenje lažnih zahteva za prikrivanje pokušaja brute force ili zavaravanje mehanizama ograničenja brzine dodaje još jedan sloj strategijama zaobilaženja. Oblikovanje takvih zahteva zahteva nijansirano razumevanje sigurnosnih mera aplikacije i ponašanja ograničenja brzine.

## Reference

* [https://medium.com/@iSecMax/two-factor-authentication-security-testing-and-possible-bypasses-f65650412b35](https://github.com/carlospolop/hacktricks/blob/master/pentesting-web/%22https:/medium.com/@iSecMax/two-factor-authentication-security-testing-and-possible-bypasses-f65650412b35%22/README.md)
* [https://azwi.medium.com/2-factor-authentication-bypass-3b2bbd907718](https://azwi.medium.com/2-factor-authentication-bypass-3b2bbd907718)