Обхід обмеження швидкості

Reading time: 4 minutes

Техніки обходу обмеження швидкості

Дослідження подібних кінцевих точок

Слід намагатися виконувати атаки грубої сили на варіації цільової кінцевої точки, такі як /api/v3/sign-up, включаючи альтернативи, такі як /Sing-up, /SignUp, /singup, /api/v1/sign-up, /api/sign-up тощо.

Включення пробільних символів у код або параметри

Вставка пробільних байтів, таких як %00, %0d%0a, %0d, %0a, %09, %0C, %20 у код або параметри може бути корисною стратегією. Наприклад, зміна параметра на code=1234%0a дозволяє розширити спроби через варіації введення, такі як додавання символів нового рядка до адреси електронної пошти, щоб обійти обмеження спроб.

Маніпулювання IP-джерелом через заголовки

Модифікація заголовків для зміни сприйнятого IP-джерела може допомогти уникнути обмеження швидкості на основі IP. Заголовки, такі як X-Originating-IP, X-Forwarded-For, X-Remote-IP, X-Remote-Addr, X-Client-IP, X-Host, X-Forwared-Host, включаючи використання кількох екземплярів X-Forwarded-For, можуть бути відрегульовані для симуляції запитів з різних IP.

X-Originating-IP: 127.0.0.1
X-Forwarded-For: 127.0.0.1
X-Remote-IP: 127.0.0.1
X-Remote-Addr: 127.0.0.1
X-Client-IP: 127.0.0.1
X-Host: 127.0.0.1
X-Forwared-Host: 127.0.0.1

# Double X-Forwarded-For header example
X-Forwarded-For:
X-Forwarded-For: 127.0.0.1

Зміна інших заголовків

Рекомендується змінювати інші заголовки запиту, такі як user-agent та cookies, оскільки їх також можна використовувати для ідентифікації та відстеження шаблонів запитів. Зміна цих заголовків може запобігти визнанню та відстеженню діяльності запитувача.

Використання поведінки API Gateway

Деякі API шлюзи налаштовані на застосування обмеження швидкості на основі комбінації кінцевої точки та параметрів. Змінюючи значення параметрів або додаючи незначні параметри до запиту, можна обійти логіку обмеження швидкості шлюзу, роблячи кожен запит унікальним. Наприклад, /resetpwd?someparam=1.

Увійдіть у свій обліковий запис перед кожною спробою

Увійти в обліковий запис перед кожною спробою або кожним набором спроб може скинути лічильник обмеження швидкості. Це особливо корисно при тестуванні функцій входу. Використання атаки Pitchfork у таких інструментах, як Burp Suite, для ротації облікових даних кожні кілька спроб і забезпечення того, щоб перенаправлення були позначені, може ефективно перезапустити лічильники обмеження швидкості.

Використання проксі-мереж

Розгортання мережі проксі для розподілу запитів між кількома IP-адресами може ефективно обійти обмеження швидкості на основі IP. Направляючи трафік через різні проксі, кожен запит виглядає так, ніби він походить з іншого джерела, розмиваючи ефективність обмеження швидкості.

Розподіл атаки між різними обліковими записами або сесіями

Якщо цільова система застосовує обмеження швидкості на основі кожного облікового запису або сесії, розподіл атаки або тесту між кількома обліковими записами або сесіями може допомогти уникнути виявлення. Цей підхід вимагає управління кількома ідентичностями або токенами сесій, але може ефективно розподілити навантаження, щоб залишитися в межах допустимих обмежень.

Продовжуйте намагатися

Зверніть увагу, що навіть якщо обмеження швидкості встановлено, ви повинні спробувати перевірити, чи є відповідь іншою, коли надсилається дійсний OTP. У цьому пості дослідник вразливостей виявив, що навіть якщо обмеження швидкості спрацьовує після 20 невдалих спроб, відповідаючи 401, якщо дійсний OTP був надісланий, була отримана відповідь 200.