# Şifre Sıfırlama/Unutulan Şifre Atlatma
AWS hackleme konusunda sıfırdan kahramana dönüşün htARTE (HackTricks AWS Kırmızı Takım Uzmanı) ile öğrenin! HackTricks'ı desteklemenin diğer yolları: * **Şirketinizi HackTricks'te reklamınızı görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**]'na göz atın(https://github.com/sponsors/carlospolop)! * [**Resmi PEASS & HackTricks ürünleri**](https://peass.creator-spring.com) edinin * [**The PEASS Ailesi**](https://opensea.io/collection/the-peass-family)'ni keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz * **Bize katılın** 💬 [**Discord grubunda**](https://discord.gg/hRep4RUj7f) veya [**telegram grubunda**](https://t.me/peass) veya bizi **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)'da **takip edin**. * **Hacking püf noktalarınızı göndererek HackTricks ve HackTricks Cloud** github depolarına PR göndererek paylaşın.
Deneyimli hackerlar ve ödül avcıları ile iletişim kurmak için [**HackenProof Discord**](https://discord.com/invite/N3FrSbmwdy) sunucusuna katılın! **Hacking İçgörüleri**\ Hacking'in heyecanını ve zorluklarını inceleyen içeriklerle etkileşime girin **Gerçek Zamanlı Hack Haberleri**\ Hızlı tempolu hacking dünyasını gerçek zamanlı haberler ve içgörülerle takip edin **En Son Duyurular**\ Başlatılan en yeni ödül avı programları ve önemli platform güncellemeleri hakkında bilgi sahibi olun **Bize katılın** [**Discord**](https://discord.com/invite/N3FrSbmwdy)'da ve bugün en iyi hackerlarla işbirliğine başlayın! ## **Referrer Aracılığıyla Şifre Sıfırlama Jetonu Sızıntısı** * HTTP referer başlığı, URL'de bulunuyorsa şifre sıfırlama jetonunu sızdırabilir. Bu durum, bir kullanıcının şifre sıfırlama isteğinden sonra üçüncü taraf bir web sitesi bağlantısına tıkladığında meydana gelebilir. * **Etki**: Cross-Site Request Forgery (CSRF) saldırıları aracılığıyla potansiyel hesap ele geçirme. * **Referanslar**: * [HackerOne Raporu 342693](https://hackerone.com/reports/342693) * [HackerOne Raporu 272379](https://hackerone.com/reports/272379) * [Şifre Sıfırlama Jetonu Sızıntısı Makalesi](https://medium.com/@rubiojhayz1234/toyotas-password-reset-token-and-email-address-leak-via-referer-header-b0ede6507c6a) ## **Şifre Sıfırlama Zehirlenmesi** * Saldırganlar, şifre sıfırlama istekleri sırasında Host başlığını manipüle ederek sıfırlama bağlantısını kötü niyetli bir siteye yönlendirebilir. * **Yama**: `$_SERVER['HTTP_HOST']` yerine şifre sıfırlama URL'lerini oluşturmak için `$_SERVER['SERVER_NAME']` kullanın. * **Etki**: Sıfırlama jetonlarını saldırganlara sızdırarak potansiyel hesap ele geçirmeye yol açar. * **Hafifletme Adımları**: * Host başlığını izin verilen alan adları beyaz listesine karşı doğrulayın. * Mutlak URL'ler oluşturmak için güvenli, sunucu taraflı yöntemler kullanın. * **Referanslar**: * [Acunetix'ten Şifre Sıfırlama Zehirlenmesi Makalesi](https://www.acunetix.com/blog/articles/password-reset-poisoning/) ## **E-posta Parametresini Manipüle Ederek Şifre Sıfırlama** * Saldırganlar, sıfırlama bağlantısını yönlendirmek için ek e-posta parametreleri ekleyerek şifre sıfırlama isteğini manipüle edebilir. * **Hafifletme Adımları**: * Sunucu taraflı olarak e-posta parametrelerini düzgün bir şekilde ayrıştırın ve doğrulayın. * Enjeksiyon saldırılarını önlemek için hazırlanmış ifadeler veya parametreli sorgular kullanın. * **Referanslar**: * [Readme.com Hesap Ele Geçirme](https://medium.com/@0xankush/readme-com-account-takeover-bugbounty-fulldisclosure-a36ddbe915be) ## **API Parametreleri Aracılığıyla Herhangi Bir Kullanıcının E-posta ve Şifresini Değiştirme** * Saldırganlar, hesap kimlik bilgilerini değiştirmek için API isteklerinde e-posta ve şifre parametrelerini değiştirebilir. * **Hafifletme Adımları**: * Sıkı parametre doğrulaması ve kimlik doğrulama kontrolleri sağlayın. * Şüpheli faaliyetleri tespit etmek ve yanıtlamak için sağlam günlük tutma ve izleme uygulayın. * **Referans**: * [API Parametre Manipülasyonu Aracılığıyla Tam Hesap Ele Geçirme](https://medium.com/@adeshkolte/full-account-takeover-changing-email-and-password-of-any-user-through-api-parameters-3d527ab27240) ## **Hız Sınırlaması Yok: E-posta Bombardımanı** * Şifre sıfırlama isteklerinde hız sınırlamasının olmaması, kullanıcıyı sıfırlama e-postalarıyla ezme durumuna yol açabilir. * **Hafifletme Adımları**: * IP adresine veya kullanıcı hesabına dayalı hız sınırlaması uygulayın. * Otomatik kötüye kullanımı önlemek için CAPTCHA zorlukları kullanın. * **Referanslar**: * [HackerOne Raporu 280534](https://hackerone.com/reports/280534) ## **Şifre Sıfırlama Jetonunun Nasıl Oluşturulduğunu Bulma** * Jeton oluşturma desenini veya yöntemini anlamak, jetonları tahmin etmeye veya kaba kuvvetle çözmeye yol açabilir. * **Hafifletme Adımları**: * Jeton oluşturmak için güçlü, kriptografik yöntemler kullanın. * Tahmin edilebilirliği önlemek için yeterli rastgelelik ve uzunluk sağlayın. * **Araçlar**: Jetonların rastgeleliğini analiz etmek için Burp Sequencer'ı kullanın. ## **Tahmin Edilebilir GUID** * GUID'ler (örneğin, sürüm 1) tahmin edilebilir veya öngörülebilirse, saldırganlar bunları kaba kuvvetle çözmek için kullanabilir. * **Hafifletme Adımları**: * Rastgelelik için GUID sürüm 4 kullanın veya diğer sürümler için ek güvenlik önlemleri uygulayın. * **Araçlar**: GUID'leri analiz etmek ve oluşturmak için [guidtool](https://github.com/intruder-io/guidtool)'u kullanın. ## **Yanıt Manipülasyonu: Kötü Yanıtı İyi Olanla Değiştirme** * HTTP yanıtlarını manipüle ederek hata mesajlarını veya kısıtlamaları atlatma. * **Hafifletme Adımları**: * Yanıt bütünlüğünü sağlamak için sunucu taraflı kontrolleri uygulayın. * Orta adam saldırılarını önlemek için HTTPS gibi güvenli iletişim kanallarını kullanın. * **Referans**: * [Canlı Ödül Avı Etkinliğindeki Kritik Hata](https://medium.com/@innocenthacker/how-i-found-the-most-critical-bug-in-live-bug-bounty-event-7a88b3aa97b3) ## **Süresi Geçmiş Jetonu Kullanma** * Süresi geçmiş jetonların hala şifre sıfırlamak için kullanılıp kullanılamayacağını test etme. * **Hafifletme Adımları**: * Jeton süresi dolma politikalarını uygulayın ve jeton süresinin sunucu taraflı olarak doğrulanmasını sağlayın. ## **Kaba Kuvvet Şifre Sıfırlama Jetonu** * Reset jetonunu kaba kuvvetle çözmek için Burpsuite ve IP-Rotator gibi araçları kullanarak IP tabanlı hız sınırlarını atlatmaya çalışma. * **Hafifletme Adımları**: * Güçlü hız sınırlama ve hesap kilit mekanizmaları uygulayın. * Kaba kuvvet saldırılarını gösteren şüpheli faaliyetleri izleyin. ## **Token'ınızı Kullanmayı Deneyin** * Saldırganın sıfırlama jetonunun kurbanın e-postasıyla birlikte kullanılıp kullanılamayacağını test etme. * **Hafifletme Adımları**: * Jetonların kullanıcı oturumu veya diğer kullanıcıya özgü özelliklere bağlı olduğundan emin olun. ## **Oturum İptali Çıkış/Şifre Sıfırlama İşleminde** * Kullanıcı çıkış yaptığında veya şifresini sıfırladığında oturumların iptal edildiğinden emin olma. * **Hafifletme Adımları**: * Tüm oturumların çıkış veya şifre sıfırlama işlemi yapıldığında iptal edildiğinden emin olacak şekilde doğru oturum yönetimi uygulayın. ## **Oturum İptali Çıkış/Şifre Sıfırlama İşleminde** * Sıfırlama jetonlarının geçerlilik süresi olmalı ve bu süreden sonra geçersiz hale gelmelidir. * **Hafifletme Adımları**: * Sıfırlama jetonları için makul bir geçerlilik süresi belirleyin ve bunu sunucu taraflı olarak kesinlikle uygulayın. ## Referanslar * [https://anugrahsr.github.io/posts/10-Password-reset-flaws/#10-try-using-your-token](https://anugrahsr.github.io/posts/10-Password-reset-flaws/#10-try-using-your-token)
[**HackenProof Discord**](https://discord.com/invite/N3FrSbmwdy) sunucusuna katılın ve deneyimli hackerlar ve ödül avcıları ile iletişim kurun! **Hacking İçgörüleri**\ Hacking'in heyecanını ve zorluklarını inceleyen içeriklerle etkileşime geçin **Gerçek Zamanlı Hack Haberleri**\ Hızlı tempolu hacking dünyasında gerçek zamanlı haberler ve içgörülerle güncel kalın **En Son Duyurular**\ Yeni ödül avı başlatmaları ve önemli platform güncellemeleri hakkında bilgi edinin **Bize Katılın** [**Discord**](https://discord.com/invite/N3FrSbmwdy) ve bugün en iyi hackerlarla işbirliğine başlayın!
Sıfırdan kahraman olacak şekilde AWS hacklemeyi öğrenin htARTE (HackTricks AWS Red Team Expert)! HackTricks'i desteklemenin diğer yolları: * **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**](https://github.com/sponsors/carlospolop)'na göz atın! * [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin * [**The PEASS Family'yi**](https://opensea.io/collection/the-peass-family) keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz * **💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) katılın veya bizi **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)** takip edin.** * **Hacking püf noktalarınızı paylaşarak PR'lar göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun.