歡迎來到 黑吧安全網 聚焦網絡安全前沿資訊,精華內容,交流技術心得!

利用簡單暴力枚舉繞過目標系統2FA驗證機制

來源:本站整理 作者:佚名 時間:2019-12-10 TAG: 我要投稿

今天分享的這篇Writeup是作者在參與漏洞眾測中,針對目標系統的動態口令OTP (One Time Password),通過利用簡單的暴力枚舉方法,實現了對目標系統雙因素驗證機制2FA (Two-Factor Authentication)的繞過或破解。目標系統是印度最大的旅行服務公司網站,其采用了動態口令OTP作為雙因素驗證2FA的實現手段。
通常來說,OTP是從0000到9999的4位數組合,假如OTP有一萬種可能性的組合,在如今強大的計算機時代,處理10000種組合也只需幾分鐘的時間。所以,如果OTP的驗證機制不當,任何人都可以通過簡單的暴力枚舉來繞過它。
為什么我可以繞過2FA?
目標系統對不成功的請求嘗試不作速率限制
目標系統對不成功的請求嘗試沒有新的動態口令措施
前提準備:
Web瀏覽器、BurpSuite。
繞過2FA的復現過程
繞過2FA的復現過程
1、開啟BurpSuite,使用手機號碼登錄目標系統網站,這里,故意輸錯系統發送到你手機中的動態OTP(這里我們隨便輸入1234),然后用BurpSuite捕獲流量;

從BurpSuite中我們可以看到OTP API的相關信息 – verifyOTP?otp=:

2、把這次OTP的發送過程右鍵 Send to intruder:


3、選擇otp=1234占位符,并把它設置為簡單暴力枚舉變量方式:

4、選擇Payload標簽項,把其修改為任意形式的組合,然后點擊attack:

5、攻擊開始。從枚舉響應結果中,我們可以看到一個長度為2250的異常響應,不出意外,就是它了:

6、 用該OTP配合登錄,可以成功有效!

【聲明】:黑吧安全網(http://www.zjtpzs.live)登載此文出于傳遞更多信息之目的,并不代表本站贊同其觀點和對其真實性負責,僅適于網絡安全技術愛好者學習研究使用,學習中請遵循國家相關法律法規。如有問題請聯系我們,聯系郵箱[email protected],我們會在最短的時間內進行處理。
  • 最新更新
    • 相關閱讀
      • 本類熱門
        • 最近下載
        神秘东方电子游艺 浙江体彩20选五开奖结果查询 河北11选五任5预测 22选5开奖号码走势图 北京麻将规则 图解 浙江快乐十二走势图表 3d定胆公式精准原创 网球比分如何计算 中乙新疆对山东比分 捕鱼来了网页版 手机填大坑游戏平台代理 富贵乐园2棋牌 安徽快三震服走势图 sg赛车开奖号 幸运飞艇实力群 日本比较漂亮的av女优 广西快乐双彩中奖规则