Translated ['src/pentesting-web/account-takeover.md'] to sr

src/SUMMARY.md

@@ -842,7 +842,6 @@
   - [FISSURE - The RF Framework](todo/radio-hacking/fissure-the-rf-framework.md)
   - [Low-Power Wide Area Network](todo/radio-hacking/low-power-wide-area-network.md)
   - [Pentesting BLE - Bluetooth Low Energy](todo/radio-hacking/pentesting-ble-bluetooth-low-energy.md)
-- [Industrial Control Systems Hacking](todo/industrial-control-systems-hacking/README.md)
 - [Test LLMs](todo/test-llms.md)
 - [LLM Training](todo/llm-training-data-preparation/README.md)
   - [0. Basic LLM Concepts](todo/llm-training-data-preparation/0.-basic-llm-concepts.md)

src/pentesting-web/account-takeover.md

@@ -4,9 +4,9 @@
 
 ## **Problem sa autorizacijom**
 
-Email naloga treba pokušati promeniti, a proces potvrde **mora biti ispitan**. Ako se utvrdi da je **slab**, email treba promeniti na onaj koji pripada nameravanoj žrtvi i zatim potvrditi.
+Email naloga treba pokušati promeniti, a proces potvrde **mora biti ispitivan**. Ako se utvrdi da je **slab**, email treba promeniti na onaj koji pripada nameravanoj žrtvi i zatim potvrditi.
 
-## **Problem sa Unicode normalizacijom**
+## **Problem sa normalizacijom Unicode-a**
 
 1. Nalog nameravane žrtve `victim@gmail.com`
 2. Treba kreirati nalog koristeći Unicode\
@@ -14,12 +14,12 @@ na primer: `vićtim@gmail.com`
 
 Kao što je objašnjeno u [**ovom predavanju**](https://www.youtube.com/watch?v=CiIyaZ3x49c), prethodni napad se takođe može izvršiti zloupotrebom identiteta treće strane:
 
-- Kreirati nalog kod treće strane sa sličnim emailom kao žrtva koristeći neki unicode karakter (`vićtim@company.com`).
+- Kreirati nalog kod treće strane sa sličnim email-om kao žrtva koristeći neki unicode karakter (`vićtim@company.com`).
 - Treća strana ne bi trebala da verifikuje email
 - Ako identitetski provajder verifikuje email, možda možete napasti deo domena kao: `victim@ćompany.com` i registrovati taj domen i nadati se da identitetski provajder generiše ascii verziju domena dok platforma žrtve normalizuje naziv domena.
 - Prijavite se putem ovog identitetskog provajdera na platformu žrtve koja bi trebala normalizovati unicode karakter i omogućiti vam pristup nalogu žrtve.
 
-Za više detalja, pogledajte dokument o Unicode normalizaciji:
+Za više detalja, pogledajte dokument o normalizaciji Unicode-a:
 
 {{#ref}}
 unicode-injection/unicode-normalization.md
@@ -31,7 +31,7 @@ Ako ciljni sistem dozvoljava **ponovno korišćenje reset linka**, treba uložit
 
 ## **Pre preuzimanja naloga**
 
-1. Email žrtve treba koristiti za registraciju na platformi, a lozinka treba biti postavljena (pokušaj potvrde treba izvršiti, iako nedostatak pristupa emailovima žrtve može učiniti ovo nemogućim).
+1. Email žrtve treba koristiti za registraciju na platformi, i treba postaviti lozinku (pokušaj potvrde treba izvršiti, iako nedostatak pristupa email-ovima žrtve može učiniti ovo nemogućim).
 2. Treba čekati dok žrtva ne registruje koristeći OAuth i potvrdi nalog.
 3. Nadamo se da će redovna registracija biti potvrđena, omogućavajući pristup nalogu žrtve.
 
@@ -75,7 +75,7 @@ reset-password.md
 
 ## **Manipulacija odgovorom**
 
-Ako se odgovor na autentifikaciju može **smanjiti na jednostavnu boolean vrednost, samo pokušajte da promenite false u true** i vidite da li dobijate bilo kakav pristup.
+Ako se odgovor na autentifikaciju može **smanjiti na jednostavnu boolean vrednost, pokušajte da promenite false u true** i vidite da li dobijate bilo kakav pristup.
 
 ## OAuth za preuzimanje naloga
 
@@ -88,7 +88,7 @@ oauth-to-account-takeover.md
 1. Host zaglavlje se menja nakon iniciranja zahteva za resetovanje lozinke.
 2. `X-Forwarded-For` proxy zaglavlje se menja u `attacker.com`.
 3. Host, Referrer i Origin zaglavlja se istovremeno menjaju u `attacker.com`.
-4. Nakon iniciranja resetovanja lozinke i zatim odabira ponovnog slanja maila, koriste se sve tri prethodno pomenute metode.
+4. Nakon iniciranja resetovanja lozinke i zatim odabira ponovnog slanja maila, koriste se sve tri prethodno navedene metode.
 
 ## Manipulacija odgovorom
 
@@ -99,17 +99,22 @@ oauth-to-account-takeover.md
 
 Ove tehnike manipulacije su efikasne u scenarijima gde se JSON koristi za prenos i prijem podataka.
 
-## Promena emaila trenutne sesije
+## Promena email-a trenutne sesije
 
 Iz [ovog izveštaja](https://dynnyd20.medium.com/one-click-account-take-over-e500929656ea):
 
 - Napadač traži da promeni svoj email na novi
-- Napadač dobija link za potvrdu promene emaila
-- Napadač šalje žrtvi link kako bi ga kliknula
-- Email žrtve se menja na onaj koji je naveo napadač
+- Napadač prima link za potvrdu promene email-a
+- Napadač šalje žrtvi link da ga klikne
+- Email žrtve se menja na onaj koji je naznačio napadač
 - Napadač može povratiti lozinku i preuzeti nalog
 
-Ovo se takođe dogodilo u [**ovom izveštaju**](https://dynnyd20.medium.com/one-click-account-take-over-e500929656ea).
+Ovo se takođe desilo u [**ovom izveštaju**](https://dynnyd20.medium.com/one-click-account-take-over-e500929656ea).
+
+### Zaobilaženje verifikacije email-a za preuzimanje naloga
+- Napadač se prijavljuje sa attacker@test.com i verifikuje email prilikom registracije.
+- Napadač menja verifikovani email na victim@test.com (bez sekundarne verifikacije prilikom promene email-a)
+- Sada web sajt omogućava victim@test.com da se prijavi i zaobišli smo verifikaciju email-a korisnika žrtve.
 
 ### Stari kolačići