Hola gente, este es mi primer escrito. Quiero compartir el hallazgo reciente con todos ustedes. Comencemos con cómo encontré la adquisición de cuenta (ATO). Cuando empiezo con la evaluación, lo primero que me viene a la mente es comprobar los casos de prueba relacionados con el mecanismo de autenticación.

¿Qué es la adquisición de cuenta?

Account Takeover (ATO) es un ataque cuando el atacante obtiene la propiedad de la cuenta de la víctima o del cliente. Una vez que el atacante obtiene acceso a la cuenta objetivo, el atacante puede hacer un mal uso de la funcionalidad, ya sea transfiriendo fondos, usando tarjetas de crédito almacenadas, robando o manipulando datos, etc.

Cómo recopilan los atacantes los datos de apropiación de cuentas.

1. Revisa la gestión de sesiones

2. Obtiene los datos filtrados de las infracciones.

3. Obtiene la contraseña de un solo uso (OTP)

4. Enfoques tradicionales como ataques de ingeniería social como vishing, phishing y más.

Escenario de ataque

Me encontré con una aplicación. Empecé reconocimiento y hormigueo la aplicación. Más tarde, descubrí que la aplicación no verifica la sesión para registrarse. Pensé en registrarme con los 2 usuarios, es decir, usuario de prueba y usuario de prueba1. Mientras creaba una cuenta, intenté enviar una solicitud eliminando la cookie establecida, la cuenta se creó con éxito. Ahora, iniciamos sesión en la aplicación. Una aplicación envía OTP en un correo electrónico. Intentamos iniciar sesión con la prueba de usuario y manipulamos la solicitud y recibimos OTP en el usuario test1. ¡Auge! Me conecto al perfil de la víctima.

El componente afectado es la página del formulario de inicio de sesión. Usamos Burpsuite para explotar la vulnerabilidad.

¡Empezamos aquí!

Registre al usuario con una identificación de correo electrónico temporal: [email protected] que tiene acceso y está controlado por el atacante. Capture la solicitud con burp suite y busque el parámetro customer_id.

Aquí, podemos observar que la cuenta se creó con éxito. Podemos observar la identificación del cliente en la respuesta.

Iniciaremos sesión en la aplicación con [email protected] , haga clic en continuar y capture la solicitud en burpsuite.

Capture la solicitud anterior con Burp Suite. Ahora, cambiaremos la identificación del cliente con el valor aleatorio y observaremos que la aplicación envía una OTP en la identificación de correo electrónico [email protected] . Ingrese la OTP recibida.

Bravo…. el atacante ahora puede iniciar sesión en el perfil de la víctima o del objetivo.

Remediación

Hay muchas técnicas para defenderse contra la adquisición de cuentas (ATO), pero las técnicas más comunes se centran en las siguientes:

1. Política de contraseña caducada en cuentas

2. Autenticaciones 2FA

3. Cortafuegos de aplicaciones web (WAF)

4. Captcha

5. Bloqueo de Cuentas

6. Enviar notificaciones a los cambios de cuenta

7. Use soluciones de protección contra robo de cuentas y bots

8. Establezca límites de tasa. Los usuarios genuinos no solicitarán una contraseña olvidada varias veces.

Gracias por leer este escrito.

Perfil de Linkedin:https://www.linkedin.com/in/krunal-kawa

perfil de Twitter:https://twitter.com/Krunal_Kawa