Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-22 12:43:23 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/pentesting-web/reset-password.md

13 KiB
Raw Blame History

Şifre Sıfırlama/Unutulan Şifre Atlatma

AWS hacklemeyi sıfırdan kahraman seviyesine öğrenin htARTE (HackTricks AWS Kırmızı Takım Uzmanı) ile!

HackTricks'ı desteklemenin diğer yolları:

Deneyimli hackerlar ve ödül avcıları ile iletişim kurmak için HackenProof Discord sunucusuna katılın!

Hackleme İçgörüleri
Hackleme heyecanını ve zorluklarını ele alan içeriklerle etkileşime geçin

Gerçek Zamanlı Hack Haberleri
Hızla değişen hackleme dünyasında gerçek zamanlı haberler ve içgörülerle güncel kalın

En Son Duyurular
Başlatılan en yeni ödül avı programları ve önemli platform güncellemeleri hakkında bilgi sahibi olun

Bize katılın Discord ve bugün en iyi hackerlarla işbirliğine başlayın!

Referans Üzerinden Şifre Sıfırlama Jetonu Sızıntısı

  • Eğer URL'de bulunuyorsa, HTTP referer başlığı şifre sıfırlama jetonunu sızdırabilir. Bu durum, bir kullanıcının şifre sıfırlama isteğinden sonra üçüncü taraf bir web sitesi bağlantısına tıkladığında meydana gelebilir.
  • Etki: Cross-Site Request Forgery (CSRF) saldırıları aracılığıyla potansiyel hesap ele geçirme.
  • Sömürü: Bir şifre sıfırlama jetonunun referer başlığında sızıp sızmadığını kontrol etmek için, e-posta adresinize bir şifre sıfırlama isteği gönderin ve sağlanan sıfırlama bağlantısına tıklayın. Şifrenizi hemen değiştirmeyin. Bunun yerine, Burp Suite kullanarak üçüncü taraf bir web sitesine (Facebook veya Twitter gibi) gezin. İstekleri inceleyerek, referer başlığının şifre sıfırlama jetonunu içerip içermediğini kontrol edin, çünkü bu hassas bilgilerin üçüncü taraflara açığa çıkmasına neden olabilir.
  • Referanslar:
  • HackerOne Raporu 342693
  • HackerOne Raporu 272379
  • Şifre Sıfırlama Jetonu Sızıntısı Makalesi

Şifre Sıfırlama Zehirlenmesi

  • Saldırganlar, şifre sıfırlama istekleri sırasında Host başlığını manipüle ederek sıfırlama bağlantısını kötü niyetli bir siteye yönlendirebilir.
  • Etki: Sıfırlama jetonlarını saldırganlara sızdırarak potansiyel hesap ele geçirmeye yol açar.
  • Önlem Adımları:
  • Host başlığını izin verilen alan adları beyaz listesine karşı doğrulayın.
  • Mutlak URL'ler oluşturmak için güvenli, sunucu taraflı yöntemler kullanın.
  • Yama: Şifre sıfırlama URL'lerini oluşturmak için $_SERVER['HTTP_HOST'] yerine $_SERVER['SERVER_NAME'] kullanın.
  • Referanslar:
  • Acunetix'ten Şifre Sıfırlama Zehirlenmesi Makalesi

E-posta Parametresini Manipüle Ederek Şifre Sıfırlama

Saldırganlar, şifre sıfırlama isteğini yönlendirmek için ek e-posta parametreleri ekleyerek manipüle edebilir.

  • İkinci parametre olarak saldırgan e-postasını ekleyin &
POST /resetPassword
[...]
email=victim@email.com&email=attacker@email.com
  • Attacker e-postasını ikinci parametre olarak %20 kullanarak ekleyin
POST /resetPassword
[...]
email=victim@email.com%20email=attacker@email.com
  • Saldırgan e-postasını ikinci parametre olarak ekleyin |
POST /resetPassword
[...]
email=victim@email.com|email=attacker@email.com
  • İkinci parametre olarak saldırgan e-postasını cc olarak ekleyin
POST /resetPassword
[...]
email="victim@mail.tld%0a%0dcc:attacker@mail.tld"
  • İkinci parametre olarak saldırgan e-postasını bcc olarak ekleyin
POST /resetPassword
[...]
email="victim@mail.tld%0a%0dbcc:attacker@mail.tld"
  • Saldırgan e-postasını ikinci parametre olarak , kullanarak ekleyin.
POST /resetPassword
[...]
email="victim@mail.tld",email="attacker@mail.tld"
  • Attacker e-postasını ikinci parametre olarak json dizisine ekleyin
POST /resetPassword
[...]
{"email":["victim@mail.tld","atracker@mail.tld"]}

API Parametreleri Aracılığıyla Herhangi Bir Kullanıcının E-posta ve Şifresini Değiştirme

  • Saldırganlar, hesap kimlik bilgilerini değiştirmek için API isteklerinde e-posta ve şifre parametrelerini değiştirebilirler.
POST /api/changepass
[...]
("form": {"email":"victim@email.tld","password":"12345678"})

Hız Sınırlaması Yok: E-posta Bombardımanı

  • Şifre sıfırlama isteklerinde hız sınırlamasının olmaması, kullanıcıyı sıfırlama e-postalarıyla ezme riskini taşır.
  • Önleme Adımları:
  • IP adresine veya kullanıcı hesabına dayalı hız sınırlaması uygulayın.
  • Otomatik kötüye kullanımı önlemek için CAPTCHA zorlukları kullanın.
  • Referanslar:
  • HackerOne Rapor 280534

Şifre Sıfırlama Jetonunun Nasıl Oluşturulduğunu Bulma

  • Jeton oluşturma desenini veya yöntemini anlamak, jetonları tahmin etmeye veya kaba kuvvet uygulamaya yol açabilir. Bazı seçenekler:
  • Zaman Damgasına Dayalı
  • Kullanıcı Kimliğine Dayalı
  • Kullanıcının E-postasına Dayalı
  • Ad ve Soyada Dayalı
  • Doğum Tarihine Dayalı
  • Kriptografiye Dayalı
  • Önleme Adımları:
  • Jeton oluşturmak için güçlü, kriptografik yöntemler kullanın.
  • Tahmin edilebilirliği önlemek için yeterli rastgelelik ve uzunluk sağlayın.
  • Araçlar: Jetonların rastgeleliğini analiz etmek için Burp Sequencer'ı kullanın.

Tahmin Edilebilir UUID

  • UUID'lerin (sürüm 1) tahmin edilebilir veya öngörülebilir olması durumunda, saldırganlar bunları geçerli sıfırlama jetonları oluşturmak için kaba kuvvet uygulayabilir. Kontrol edin: {% content-ref url="uuid-insecurities.md" %} uuid-insecurities.md {% endcontent-ref %}

  • Önleme Adımları:

  • Rastgelelik için GUID sürüm 4 kullanın veya diğer sürümler için ek güvenlik önlemleri uygulayın.

  • Araçlar: guidtool kullanarak GUID'leri analiz etme ve oluşturma.

Yanıt Manipülasyonu: Kötü Yanıtı İyi Olanla Değiştirme

  • HTTP yanıtlarını manipüle ederek hata mesajlarını veya kısıtlamaları atlamak.
  • Önleme Adımları:
  • Yanıt bütünlüğünü sağlamak için sunucu taraflı kontrolleri uygulayın.
  • Orta Adam Saldırılarını önlemek için HTTPS gibi güvenli iletişim kanallarını kullanın.
  • Referans:
  • Canlı Bug Bounty Etkinliğindeki Kritik Hata

Süresi Geçmiş Jetonun Kullanılması

  • Süresi geçmiş jetonların hala şifre sıfırlamak için kullanılıp kullanılamadığını test etme.
  • Önleme Adımları:
  • Katı jeton süresi dolma politikaları uygulayın ve jetonun süresinin sunucu taraflı olarak geçerliliğini doğrulayın.

Kaba Kuvvet Şifre Sıfırlama Jetonu

  • Sıfırlama jetonunu Burpsuite ve IP-Rotator gibi araçlar kullanarak kaba kuvvet uygulama, IP tabanlı hız sınırlarını atlamak için.
  • Önleme Adımları:
  • Güçlü hız sınırlama ve hesap kilit mekanizmaları uygulayın.
  • Kaba kuvvet saldırılarını gösteren şüpheli faaliyetleri izleyin.

Jetonunuzu Kullanmayı Deneyin

  • Saldırganın sıfırlama jetonunun kurbanın e-postasıyla birlikte kullanılıp kullanılamadığını test etme.
  • Önleme Adımları:
  • Jetonların kullanıcı oturumuna veya diğer kullanıcıya özgü özelliklere bağlı olduğundan emin olun.

Oturum İptali Çıkış/Şifre Sıfırlama İşleminde

  • Kullanıcının çıkış yapması veya şifresini sıfırlaması durumunda oturumların iptal edildiğinden emin olma.
  • Önleme Adımları:
  • Tüm oturumların çıkış veya şifre sıfırlama işleminden sonra iptal edildiğinden emin olacak şekilde uygun oturum yönetimi uygulayın.

Oturum İptali Çıkış/Şifre Sıfırlama İşleminde

  • Sıfırlama jetonlarının geçerlilik süresi olmalı ve bu süre dolduktan sonra geçersiz hale gelmelidir.
  • Önleme Adımları:
  • Sıfırlama jetonları için makul bir geçerlilik süresi belirleyin ve bunu sunucu taraflı olarak kesinlikle uygulayın.

Referanslar

HackenProof Discord sunucusuna katılarak deneyimli hackerlar ve hata avcılarıyla iletişim kurun!

Hacking Insights
Hacking'in heyecanını ve zorluklarını inceleyen içeriklerle etkileşime geçin

Gerçek Zamanlı Hack Haberleri
Hızlı tempolu hacking dünyasını gerçek zamanlı haberler ve içgörülerle takip edin

En Son Duyurular
Yeni hata avcılıklarını ve önemli platform güncellemelerini takip edin

Bize Katılın Discord ve bugün en iyi hackerlarla işbirliğine başlayın!

Sıfırdan Kahraman'a AWS hackleme öğrenin htARTE (HackTricks AWS Red Team Expert) ile!

HackTricks'i desteklemenin diğer yolları: