Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-23 05:03:35 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/pentesting-web/reset-password.md
Translator workflow 6cb783ece2 Translated to Turkish
2024-02-10 18:14:16 +00:00

8.5 KiB
Raw Blame History

Şifre Sıfırlama/Unutulan Şifre Atlatma

htARTE (HackTricks AWS Red Team Expert) ile sıfırdan kahraman olmak için AWS hackleme öğrenin!

HackTricks'ı desteklemenin diğer yolları:

Deneyimli hackerlar ve ödül avcılarıyla iletişim kurmak için HackenProof Discord sunucusuna katılın!

Hacking İçgörüleri
Hacking'in heyecanını ve zorluklarını ele alan içeriklerle etkileşime geçin

Gerçek Zamanlı Hack Haberleri
Hızlı tempolu hacking dünyasını gerçek zamanlı haberler ve içgörülerle takip edin

En Son Duyurular
Yeni ödül avcıları başlatmaları ve önemli platform güncellemeleri hakkında bilgi edinin

Bize katılın Discord ve bugün en iyi hackerlarla işbirliği yapmaya başlayın!

Referrer Aracılığıyla Şifre Sıfırlama Jetonu Sızıntısı

  • HTTP referer başlığı, şifre sıfırlama jetonunu URL içinde yer aldığında sızabilir. Bu durum, bir kullanıcının şifre sıfırlama isteğinden sonra üçüncü taraf bir web sitesi bağlantısına tıklaması durumunda ortaya çıkabilir.
  • Etki: Cross-Site Request Forgery (CSRF) saldırıları aracılığıyla potansiyel hesap ele geçirme.
  • Referanslar:

Şifre Sıfırlama Zehirlenmesi

  • Saldırganlar, şifre sıfırlama isteklerinde Host başlığını manipüle ederek sıfırlama bağlantısını kötü niyetli bir siteye yönlendirebilir.
  • Yama: Şifre sıfırlama URL'lerini oluşturmak için $_SERVER['HTTP_HOST'] yerine $_SERVER['SERVER_NAME'] kullanın.
  • Etki: Sıfırlama jetonlarını saldırganlara sızdırarak potansiyel hesap ele geçirmeye yol açar.
  • Hafifletme Adımları:
  • Host başlığını izin verilen alan adları beyaz listesine karşı doğrulayın.
  • Mutlak URL'ler oluşturmak için güvenli, sunucu tarafı yöntemler kullanın.
  • Referanslar:

E-posta Parametresini Manipüle Ederek Şifre Sıfırlama

  • Saldırganlar, sıfırlama bağlantısını yönlendirmek için şifre sıfırlama isteğine ek e-posta parametreleri ekleyebilir.
  • Hafifletme Adımları:
  • Sunucu tarafında e-posta parametrelerini düzgün bir şekilde ayrıştırın ve doğrulayın.
  • Enjeksiyon saldırılarını önlemek için hazırlanmış ifadeler veya parametreli sorgular kullanın.
  • Referanslar:

API Parametreleri Aracılığıyla Herhangi Bir Kullanıcının E-posta ve Şifresini Değiştirme

  • Saldırganlar, API isteklerinde e-posta ve şifre parametrelerini değiştirerek hesap kimlik bilgilerini değiştirebilir.
  • Hafifletme Adımları:
  • Sıkı parametre doğrulama ve kimlik doğrulama kontrolleri sağlayın.
  • Şüpheli faaliyetleri tespit etmek ve yanıtlamak için sağlam günlükleme ve izleme uygulayın.
  • Referans:

Hız Sınırlaması Yok: E-posta Bombardımanı

  • Şifre sıfırlama isteklerinde hız sınırlamasının olmaması, kullanıcıyı sıfırlama e-postalarıyla ezme durumuna yol açabilir.
  • Hafifletme Adımları:
  • IP adresine veya kullanıcı hesabına dayalı hız sınırlaması uygulayın.
  • Otomatik kötüye kullanımı önlemek için CAPTCHA meydan okumaları kullanın.
  • Referanslar:

Şifre Sıfırlama Jetonunun Nasıl Oluşturulduğunu Bulma

  • Jeton oluşturma desenini veya yöntemini anlamak, jetonların tahmin edilmesine veya brute-force saldırılarına yol açabilir.
  • Hafifletme Adımları:
  • Jeton oluşturmak için güçlü, kriptografik yöntemler kullanın.
  • Tahmin edilebilirliği önlemek için yeterli rastgelelik ve uzunluk sağlayın.
  • Araçlar: Jetonların rastgeleliğini analiz etmek için Burp Sequencer'ı kullanın.

Tahmin Edilebilir GUID

  • GUID'ler (örneğin, sürüm 1) tahmin edilebilir veya öngörülebilir ise, saldırganlar geçerli sıfırlama jetonları oluşturmak için brute-force saldırısı yapabilir.
  • Hafifletme Adımları:
  • Rastgelelik için GUID sürüm 4 kullanın veya diğer sürümler için ek güvenlik önlemleri uygulayın.
  • Araçlar: GUID'leri analiz etmek ve oluşturmak için guidtool kullanın.

Yanıt Manipülasyonu: Kötü Yanıtı İyi Bir Yanıtla Değiştirme

  • HTTP yanıtlarını manipüle ederek hata mesajlarını veya kısıtlamaları atlatma.
  • Hafifletme Adımları:
  • Yanıt bütünlüğünü sağlamak için sunucu tarafı kontrolleri uygulayın.
  • Orta adam saldırılarını önlemek için HTTPS gibi güvenli iletişim kanalları kullanın.
  • Referans:

Süresi Dolmuş Jetonu Kullanma

  • Süresi dolmuş jetonların hala şifre sıfırlama için kullanılıp kullanılamayacağını test etme.
  • Hafifletme Adımları:
  • Jeton süresi dolma politikalarını sıkı bir şekilde uygulayın ve jeton süresinin sunucu tarafında doğrulan

Referanslar

Deneyimli hackerlar ve ödül avcıları ile iletişim kurmak için HackenProof Discord sunucusuna katılın!

Hacking İçgörüleri
Hacking'in heyecanına ve zorluklarına dalmış içeriklerle etkileşim kurun

Gerçek Zamanlı Hack Haberleri
Hızlı tempolu hacking dünyasını gerçek zamanlı haberler ve içgörülerle takip edin

En Son Duyurular
Yeni ödül avları başlatma ve önemli platform güncellemeleri hakkında bilgi edinin

Bize Discord katılın ve bugün en iyi hackerlarla işbirliği yapmaya başlayın!

htARTE (HackTricks AWS Red Team Expert) ile sıfırdan kahraman olmak için AWS hackleme öğrenin!

HackTricks'i desteklemenin diğer yolları: