2FA/MFA/OTP Bypass

Reading time: 6 minutes

Enhanced Two-Factor Authentication Bypass Techniques

Direct Endpoint Access

2FA को बायपास करने के लिए, अगले एंडपॉइंट तक सीधे पहुंचें, पथ जानना महत्वपूर्ण है। यदि असफल होते हैं, तो Referrer header को 2FA सत्यापन पृष्ठ से नेविगेशन की नकल करने के लिए बदलें।

Token Reuse

किसी खाते के भीतर प्रमाणीकरण के लिए पहले से उपयोग किए गए टोकनों का पुन: उपयोग करना प्रभावी हो सकता है।

Utilization of Unused Tokens

किसी के अपने खाते से एक टोकन निकालकर दूसरे खाते में 2FA को बायपास करने का प्रयास किया जा सकता है।

Exposure of Token

जांचें कि क्या टोकन वेब एप्लिकेशन से प्रतिक्रिया में प्रकट होता है।

Verification Link Exploitation

खाता निर्माण के समय भेजे गए ईमेल सत्यापन लिंक का उपयोग करके 2FA के बिना प्रोफ़ाइल तक पहुंच प्राप्त की जा सकती है, जैसा कि एक विस्तृत पोस्ट में बताया गया है।

Session Manipulation

उपयोगकर्ता और एक पीड़ित के खाते के लिए सत्र शुरू करना, और उपयोगकर्ता के खाते के लिए 2FA को पूरा करना बिना आगे बढ़े, पीड़ित के खाते के प्रवाह में अगले चरण तक पहुंचने का प्रयास करने की अनुमति देता है, बैकएंड सत्र प्रबंधन सीमाओं का लाभ उठाते हुए।

Password Reset Mechanism

पासवर्ड रीसेट फ़ंक्शन की जांच करना, जो रीसेट के बाद उपयोगकर्ता को एप्लिकेशन में लॉग इन करता है, यह सुनिश्चित करने के लिए महत्वपूर्ण है कि क्या यह एक ही लिंक का उपयोग करके कई रीसेट की अनुमति देता है। नए रीसेट किए गए क्रेडेंशियल्स के साथ लॉग इन करना 2FA को बायपास कर सकता है।

OAuth Platform Compromise

एक विश्वसनीय OAuth प्लेटफ़ॉर्म (जैसे, Google, Facebook) पर उपयोगकर्ता के खाते से समझौता करना 2FA को बायपास करने का एक मार्ग प्रदान कर सकता है।

Brute Force Attacks

Rate Limit Absence

कोड प्रयासों की संख्या पर कोई सीमा न होने से ब्रूट फोर्स हमलों की अनुमति मिलती है, हालांकि संभावित मौन दर सीमित करने पर विचार किया जाना चाहिए।

ध्यान दें कि भले ही दर सीमा लागू हो, आपको यह देखने का प्रयास करना चाहिए कि जब मान्य OTP भेजा जाता है तो प्रतिक्रिया अलग होती है या नहीं। इस पोस्ट में, बग शिकारी ने पाया कि भले ही 20 असफल प्रयासों के बाद दर सीमा सक्रिय हो जाती है और 401 के साथ प्रतिक्रिया मिलती है, यदि मान्य OTP भेजा गया तो 200 प्रतिक्रिया प्राप्त हुई।

Slow Brute Force

एक धीमी ब्रूट फोर्स हमला तब संभव है जब प्रवाह दर सीमाएँ मौजूद हों बिना किसी समग्र दर सीमा के।

Code Resend Limit Reset

कोड को फिर से भेजने से दर सीमा रीसेट होती है, जिससे ब्रूट फोर्स प्रयासों को जारी रखने में मदद मिलती है।

Client-Side Rate Limit Circumvention

एक दस्तावेज़ क्लाइंट-साइड दर सीमाओं को बायपास करने की तकनीकों का विवरण देता है।

Internal Actions Lack Rate Limit

दर सीमाएँ लॉगिन प्रयासों की सुरक्षा कर सकती हैं लेकिन आंतरिक खाता क्रियाओं की नहीं।

SMS Code Resend Costs

SMS के माध्यम से कोडों को अत्यधिक पुनः भेजने से कंपनी पर लागत आती है, हालांकि यह 2FA को बायपास नहीं करता है।

Infinite OTP Regeneration

सरल कोड के साथ अंतहीन OTP उत्पन्न करना छोटे कोड सेट को फिर से प्रयास करके ब्रूट फोर्स की अनुमति देता है।

Race Condition Exploitation

2FA बायपास के लिए रेस कंडीशंस का लाभ उठाने के लिए एक विशिष्ट दस्तावेज़ में जानकारी उपलब्ध है।

CSRF/Clickjacking Vulnerabilities

CSRF या Clickjacking कमजोरियों का पता लगाना 2FA को निष्क्रिय करने के लिए एक व्यवहार्य रणनीति है।

"Remember Me" Feature Exploits

Predictable Cookie Values

"याद रखें" कुकी मान का अनुमान लगाना प्रतिबंधों को बायपास कर सकता है।

IP Address Impersonation

X-Forwarded-For हेडर के माध्यम से पीड़ित के IP पते की नकल करना प्रतिबंधों को बायपास कर सकता है।

Utilizing Older Versions

Subdomains

उप-डोमेन का परीक्षण करना पुराने संस्करणों का उपयोग कर सकता है जिनमें 2FA समर्थन की कमी हो या कमजोर 2FA कार्यान्वयन हो।

API Endpoints

पुराने API संस्करण, जो /v*/ निर्देशिका पथ द्वारा इंगित होते हैं, 2FA बायपास विधियों के प्रति संवेदनशील हो सकते हैं।

Handling of Previous Sessions

2FA सक्रिय होने पर मौजूदा सत्रों को समाप्त करना खातों को समझौता किए गए सत्रों से अनधिकृत पहुंच के खिलाफ सुरक्षित करता है।

Access Control Flaws with Backup Codes

2FA सक्रिय होने पर बैकअप कोडों का तात्कालिक निर्माण और संभावित अनधिकृत पुनर्प्राप्ति, विशेष रूप से CORS गलत कॉन्फ़िगरेशन/XSS कमजोरियों के साथ, एक जोखिम प्रस्तुत करता है।

Information Disclosure on 2FA Page

2FA सत्यापन पृष्ठ पर संवेदनशील जानकारी का खुलासा (जैसे, फोन नंबर) एक चिंता का विषय है।

Password Reset Disabling 2FA

एक प्रक्रिया जो एक संभावित बायपास विधि को प्रदर्शित करती है, उसमें खाता निर्माण, 2FA सक्रियण, पासवर्ड रीसेट, और 2FA आवश्यकता के बिना बाद में लॉगिन करना शामिल है।

Decoy Requests

ब्रूट फोर्स प्रयासों को अस्पष्ट करने या दर सीमित करने की तंत्रों को भटकाने के लिए डेकोय अनुरोधों का उपयोग करना बायपास रणनीतियों में एक और परत जोड़ता है। ऐसे अनुरोधों को तैयार करने के लिए एप्लिकेशन की सुरक्षा उपायों और दर सीमित करने के व्यवहारों की सूक्ष्म समझ की आवश्यकता होती है।

OTP Construction errors

यदि OTP उस डेटा के आधार पर बनाया गया है जो उपयोगकर्ता पहले से ही रखता है या जो OTP बनाने के लिए भेजा गया है, तो उपयोगकर्ता इसे भी उत्पन्न कर सकता है और इसे बायपास कर सकता है।

References

• https://medium.com/@iSecMax/two-factor-authentication-security-testing-and-possible-bypasses-f65650412b35
• https://azwi.medium.com/2-factor-authentication-bypass-3b2bbd907718
• https://getpocket.com/read/aM7dap2bTo21bg6fRDAV2c5thng5T48b3f0Pd1geW2u186eafibdXj7aA78Ip116_1d0f6ce59992222b0812b7cab19a4bce

P