Spero che tu abbia letto l'articolo della Parte -1, quindi visita il link qui sotto, per capirlo correttamente.

Come ho bypassato il processo di verifica OTP? Parte 1 di Aditya Anand

Bene, non preoccuparti anche se non l'hai letto, lascia che ti faccia un breve riassunto del mio precedente articolo. Sono stato in grado di creare un nuovo account con un numero sconosciuto (che avrebbe potuto appartenere a chiunque) perché sono stato in grado di bypassare il loro processo di verifica OTP e tutto questo è stato possibile poiché ho effettuato questo attacco di forza bruta tramite Burp Suite.

In qualità di figlio responsabile, discuto di tutti i miei hack con mio padre e lui ha avuto una risposta brillante quando gli ho parlato di questo hack, "Allora, cosa succede se puoi creare un account con il mio numero di cellulare, come è comunque utile per me se devo ancora pagare i biglietti? ”. Gli ho tenuto una piccola conferenza sul furto di identità e su come la caratteristica di sicurezza di base "non ripudio" non sia qui, ma per un profano non era in realtà un grosso trucco. Ho deciso di ravvivare le cose.

Andiamo a vedere!

Ora che so già di aver aggirato il loro sistema OTP una volta, ho dovuto trovare un modo per ottenere i biglietti gratuitamente, ovvero non pagare i miei biglietti. Perché se sei come mio padre, allora sicuramente non è divertente creare un account con i numeri di telefono di qualcun altro, il vero divertimento è quando guardi quei film quando qualcun altro li paga. Voglio dire, c'è qualcosa di così rassicurante che non riesco nemmeno a descrivere.

Sessione di brainstorming

Il problema era che dovevo hackerare il gateway di pagamento, cosa che avevo fatto molto tempo prima, o entrare nell'account di qualcuno che aveva già pagato il biglietto e ottenere il biglietto e il numero di posto. Ma tenendo presente quanto sono pigro sono bloccato con l'utilizzo del metodo di bypass OTP. Proprio in quel momento questa meravigliosa idea mi è venuta in mente quando stavo cercando di entrare nel mio account "Ho dimenticato la password".

Ero un fan di questa funzione, poiché l'ho usata per entrare nell'account Facebook di altre persone come 6-7 anni fa, ma non mi sono mai concentrato su di esso ormai da giorni. Così ho deciso di provarlo per il bene dei vecchi tempi, chi sapeva che avrebbe funzionato.

Ho dimenticato la mia password

Quindi, ho proceduto con l'opzione Forgot My Password, mi è stato chiesto di inserire il mio numero di telefono che avevo usato per creare il mio account (l'immagine sopra). Una volta inserito il numero di cellulare, mi è stato presentato quanto segue nella pagina di verifica OTP e nello stesso istante ho ricevuto l'OTP sul mio telefono.

Quindi, mi sono rivolto al mio strumento definitivo, Burp Suite. Ho intercettato questo pacchetto e ho eseguito l'attacco di forza bruta. Sapevo già che la forza bruta era consentita come ho detto nell'articolo precedente.

Sapevo che l'OTP è un numero a sei cifre, ho lasciato che la forza bruta attaccasse per un po 'e voilà! Ho la possibilità di reimpostare la password.

Sono andato avanti con la funzione di reimpostazione della password ed ero nel mio account in pochissimo tempo. Avevo pieno accesso e sicuramente avevo i dettagli del biglietto che avevo prenotato in precedenza. Cosa piuttosto impressionante eh?

Morale

Come ho discusso in precedenza, questo intero hack e molti altri sono stati possibili a causa della mancanza di sicurezza, in cui gli sviluppatori non applicano alcun limite massimo di tentativi. Ciò consente agli aggressori di provare tutte le possibili combinazioni che alla fine portano a scoprire la password o l'OTP in questo caso. È necessario impostare un numero massimo di tentativi limite per fermare questo tipo di attacchi.

Sito web: aditya12anand.com