# 2FA/MFA/OTP Bypass {{#include ../banners/hacktricks-training.md}} ## **Mbinu za Kupita Uthibitisho wa Hatua Mbili** ### **Upatikanaji wa Moja kwa Moja wa Endpoint** Ili kupita 2FA, pata endpoint inayofuata moja kwa moja, kujua njia ni muhimu. Ikiwa haifanikiwi, badilisha **Referrer header** ili kuiga urambazaji kutoka kwenye ukurasa wa uthibitisho wa 2FA. ### **Matumizi ya Token Zilizotumika Tangu Zamani** Kurejelea token zilizotumika awali kwa uthibitisho ndani ya akaunti kunaweza kuwa na ufanisi. ### **Matumizi ya Token Zisizotumika** Kutoa token kutoka kwenye akaunti yako mwenyewe ili kupita 2FA katika akaunti nyingine inaweza kujaribiwa. ### **Ufunuo wa Token** Chunguza ikiwa token imefunuliwa katika jibu kutoka kwa programu ya wavuti. ### **Kudhulumu Kiungo cha Uthibitisho** Kutumia **kiungo cha uthibitisho wa barua pepe kilichotumwa wakati wa kuunda akaunti** kunaweza kuruhusu upatikanaji wa wasifu bila 2FA, kama ilivyoangaziwa katika [post](https://srahulceh.medium.com/behind-the-scenes-of-a-security-bug-the-perils-of-2fa-cookie-generation-496d9519771b). ### **Manipulasi ya Kikao** Kuanza vikao kwa akaunti ya mtumiaji na akaunti ya mwathirika, na kukamilisha 2FA kwa akaunti ya mtumiaji bila kuendelea, kunaweza kuruhusu jaribio la kufikia hatua inayofuata katika mtiririko wa akaunti ya mwathirika, ikitumia mapungufu ya usimamizi wa kikao cha nyuma. ### **Mekaniki ya Kurekebisha Nenosiri** Kuchunguza kazi ya kurekebisha nenosiri, ambayo inamwingiza mtumiaji kwenye programu baada ya kurekebisha, kwa uwezo wake wa kuruhusu marekebisho mengi kwa kutumia kiungo kimoja ni muhimu. Kuingia kwa kutumia taarifa mpya za kurekebisha kunaweza kupita 2FA. ### **Ukombozi wa Jukwaa la OAuth** Kukabili akaunti ya mtumiaji kwenye jukwaa la kuaminika la **OAuth** (mfano, Google, Facebook) kunaweza kutoa njia ya kupita 2FA. ### **Mashambulizi ya Brute Force** #### **Ukosefu wa Kiwango cha Kiwango** Ukosefu wa kikomo kwenye idadi ya majaribio ya msimbo huruhusu mashambulizi ya brute force, ingawa kikomo cha kimya kinachowezekana kinapaswa kuzingatiwa. Kumbuka kwamba hata kama kikomo cha kiwango kiko, unapaswa kujaribu kuona ikiwa jibu ni tofauti wakati OTP halali inatumwa. Katika [**post hii**](https://mokhansec.medium.com/the-2-200-ato-most-bug-hunters-overlooked-by-closing-intruder-too-soon-505f21d56732), mtafiti wa makosa aligundua kwamba hata kama kikomo cha kiwango kinachochewa baada ya majaribio 20 yasiyofanikiwa kwa kujibu na 401, ikiwa halali ilitumwa jibu la 200 lilipokelewa. #### **Brute Force Polepole** Shambulio la brute force polepole linaweza kufanyika ambapo mipaka ya mtiririko ipo bila kikomo cha jumla. #### **Kurejesha Kikomo cha Kutuma Msimbo** Kurejesha msimbo kunarejesha kikomo cha kiwango, kuruhusu majaribio ya kuendelea ya brute force. #### **Kuzidi Kikomo cha Kiwango cha Mteja** Hati inaelezea mbinu za kupita kikomo cha kiwango cha mteja. #### **Vitendo vya Ndani Havina Kikomo cha Kiwango** Mipaka ya kiwango inaweza kulinda majaribio ya kuingia lakini si vitendo vya ndani vya akaunti. #### **Gharama za Kutuma Msimbo wa SMS Tena** Kutuma tena misimbo kupitia SMS kwa wingi kunagharimu kampuni, ingawa hakupitishi 2FA. #### **Ukarabati wa OTP Usio na Mwisho** Ukarabati wa OTP usio na mwisho kwa kutumia misimbo rahisi huruhusu brute force kwa kujaribu seti ndogo ya misimbo. ### **Kudhulumu Masharti ya Mbio** Kudhulumu masharti ya mbio kwa kupita 2FA kunaweza kupatikana katika hati maalum. ### **Vulnerabilities za CSRF/Clickjacking** Kuchunguza vulnerabilities za CSRF au Clickjacking ili kuzima 2FA ni mkakati unaoweza kutekelezeka. ### **Kudhulumu Kipengele cha "Nikumbuke"** #### **Thamani za Keki Zinazoweza Kutarajiwa** Kukisia thamani ya keki ya "nikumbuke" kunaweza kupita vizuizi. #### **Uigaji wa Anwani ya IP** Kujifanya kuwa anwani ya IP ya mwathirika kupitia **X-Forwarded-For** header kunaweza kupita vizuizi. ### **Matumizi ya Matoleo ya Kale** #### **Subdomains** Kujaribu subdomains kunaweza kutumia matoleo ya zamani yasiyo na msaada wa 2FA au kuwa na utekelezaji dhaifu wa 2FA. #### **API Endpoints** Matoleo ya zamani ya API, yanayoonyeshwa na /v\*/ njia za saraka, yanaweza kuwa na udhaifu kwa mbinu za kupita 2FA. ### **Kushughulikia Vikao vya Awali** Kumaliza vikao vilivyopo wakati wa kuanzishwa kwa 2FA kunalinda akaunti dhidi ya upatikanaji usioidhinishwa kutoka kwa vikao vilivyovunjika. ### **Mapungufu ya Udhibiti wa Upatikanaji na Nambari za Akiba** Uundaji wa haraka na uwezekano wa kupata nambari za akiba bila idhini mara tu 2FA inapoanzishwa, hasa na mipangilio mbaya ya CORS/vulnerabilities za XSS, kuna hatari. ### **Ufunuo wa Taarifa kwenye Ukurasa wa 2FA** Ufunuo wa taarifa nyeti (mfano, nambari ya simu) kwenye ukurasa wa uthibitisho wa 2FA ni wasiwasi. ### **Kurekebisha Nenosiri na Kuzima 2FA** Mchakato unaoonyesha mbinu inayoweza kupita unajumuisha uundaji wa akaunti, kuanzishwa kwa 2FA, kurekebisha nenosiri, na kuingia baadaye bila hitaji la 2FA. ### **Maombi ya Kijakazi** Kutumia maombi ya kijakazi ili kuficha majaribio ya brute force au kupotosha mifumo ya kikomo cha kiwango kunaongeza safu nyingine kwa mikakati ya kupita. Kuunda maombi kama haya kunahitaji uelewa wa kina wa hatua za usalama za programu na tabia za kikomo cha kiwango. ### Makosa ya Ujenzi wa OTP Ikiwa OTP inaundwa kwa msingi wa data ambayo mtumiaji tayari ana au ambayo inatumwa kabla ya kuunda OTP, inawezekana kwa mtumiaji pia kuunda na kupita. ## References - [https://medium.com/@iSecMax/two-factor-authentication-security-testing-and-possible-bypasses-f65650412b35](https://github.com/carlospolop/hacktricks/blob/master/pentesting-web/%22https:/medium.com/@iSecMax/two-factor-authentication-security-testing-and-possible-bypasses-f65650412b35%22/README.md) - [https://azwi.medium.com/2-factor-authentication-bypass-3b2bbd907718](https://azwi.medium.com/2-factor-authentication-bypass-3b2bbd907718) - [https://getpocket.com/read/aM7dap2bTo21bg6fRDAV2c5thng5T48b3f0Pd1geW2u186eafibdXj7aA78Ip116_1d0f6ce59992222b0812b7cab19a4bce](https://getpocket.com/read/aM7dap2bTo21bg6fRDAV2c5thng5T48b3f0Pd1geW2u186eafibdXj7aA78Ip116_1d0f6ce59992222b0812b7cab19a4bce) P {{#include ../banners/hacktricks-training.md}}