Пробив веба. Как я обошел 2FA и захватил учетки пользователей

Перечисление пользователей

• Уро­вень опас­ности: сред­ний

На сай­те, который я тес­тировал, была воз­можность зай­ти в лич­ный кабинет. А на стра­нице вхо­да наш­лась воз­можность переби­рать поль­зовате­лей и смот­реть ответ сер­вера: в слу­чае если поль­зователь с вве­ден­ным име­нем сущес­тву­ет, сер­вер отве­чает ина­че.

Ес­ли ука­зыва­ем сущес­тву­ющую учет­ку, получа­ем сооб­щение «Вве­ден невер­ный пароль» либо «Пре­выше­но количес­тво попыток вхо­да с невер­ным паролем». Если же поль­зовате­ля с таким логином нет, то в отве­те сер­вера будет сооб­щение «Ваши дан­ные не най­дены в сис­теме. Про­верь­те пра­виль­ность ука­зан­ных дан­ных».

Я запус­тил авто­мати­зиро­ван­ный под­бор по сло­варю и нашел некото­рое количес­тво валид­ных логинов.

Спреинг паролей

• Уро­вень опас­ности: сред­ний

Даль­ше я нашел воз­можность под­бирать по сло­варю пароли най­ден­ных поль­зовате­лей — опять же по отве­ту сер­вера на вве­ден­ные дан­ные. Это ата­ка password spraying. Новые пароли я про­бовал каж­дые 30 минут, так как пос­ле каж­дого сле­дующе­го невер­ного вво­да учет­ных дан­ных пери­од бло­киров­ки не уве­личи­вал­ся. В ито­ге уда­лось подоб­рать пароли для трех поль­зовате­лей сер­виса.

Обход 2FA

• Уро­вень опас­ности: кри­тичес­кий

Сра­зу зай­ти в лич­ный кабинет не уда­лось из‑за того, что сер­вис про­верял вто­рой фак­тор аутен­тифика­ции и про­сил ввес­ти код из SMS.

Изу­чив код этой стра­ницы, я нашел инте­рес­ный параметр — mode4. Здесь он име­ет зна­чение sms.

Я переб­рал воз­можные зна­чения это­го парамет­ра и нашел нес­коль­ко таких, при которых нас не перенап­равля­ет обратно на стра­ницу вво­да логина и пароля.