Contournement de la limite de taux

Utilisez Trickest pour créer et automatiser facilement des flux de travail alimentés par les outils communautaires les plus avancés au monde.
Obtenez l'accès aujourd'hui :

{% embed url="https://trickest.com/?utm_campaign=hacktrics&utm_medium=banner&utm_source=hacktricks" %}

☁️ HackTricks Cloud ☁️ -🐦 Twitter 🐦 - 🎙️ Twitch 🎙️ - 🎥 Youtube 🎥

Travaillez-vous dans une entreprise de cybersécurité ? Voulez-vous voir votre entreprise annoncée dans HackTricks ? ou voulez-vous avoir accès à la dernière version de PEASS ou télécharger HackTricks en PDF ? Consultez les PLANS D'ABONNEMENT !
Découvrez The PEASS Family, notre collection exclusive de NFT
Obtenez le swag officiel PEASS & HackTricks
Rejoignez le 💬 groupe Discord ou le groupe telegram ou suivez moi sur Twitter 🐦@carlospolopm.
Partagez vos astuces de piratage en soumettant des PR au dépôt hacktricks et au dépôt hacktricks-cloud.

Utilisation d'endpoints similaires

Si vous attaquez l'endpoint /api/v3/sign-up, essayez de faire une attaque par force brute sur /Sing-up, /SignUp, /singup...

Essayez également d'ajouter à l'endpoint d'origine des octets tels que %00, %0d%0a, %0d, %0a, %09, %0C, %20

Caractères blancs dans le code/les paramètres

Essayez d'ajouter un octet blanc comme %00, %0d%0a, %0d, %0a, %09, %0C, %20 au code et/ou aux paramètres. Par exemple, code=1234%0a ou si vous demandez un code pour un e-mail et que vous n'avez que 5 essais, utilisez les 5 essais pour example@email.com, puis pour example@email.com%0a, puis pour example@email.com%0a%0a, et continuez...

Changement de l'origine IP en utilisant des en-têtes

X-Originating-IP: 127.0.0.1
X-Forwarded-For: 127.0.0.1
X-Remote-IP: 127.0.0.1
X-Remote-Addr: 127.0.0.1
X-Client-IP: 127.0.0.1
X-Host: 127.0.0.1
X-Forwared-Host: 127.0.0.1


#or use double X-Forwared-For header
X-Forwarded-For:
X-Forwarded-For: 127.0.0.1

Si le nombre d'essais est limité à 10 par adresse IP, changez l'adresse IP dans l'en-tête toutes les 10 tentatives.

Modifier d'autres en-têtes

Essayez de changer l'user-agent, les cookies... tout ce qui pourrait vous identifier.

Ajouter des paramètres supplémentaires au chemin

Si la limite est dans le chemin /resetpwd, essayez de le forcer avec une attaque BF, et une fois la limite atteinte, essayez /resetpwd?someparam=1.

Se connecter à votre compte avant chaque tentative

Peut-être que si vous vous connectez à votre compte avant chaque tentative (ou chaque ensemble de X tentatives), la limite de fréquence est réinitialisée. Si vous attaquez une fonctionnalité de connexion, vous pouvez le faire dans Burp en utilisant une attaque Pitchfork en définissant vos identifiants toutes les X tentatives (et en marquant les redirections).