खाता अधिग्रहण गाइड

हे दोस्तों, इस ट्यूटोरियल में, मैं अकाउंट टेकओवर के बारे में अपनी सीख साझा करूँगा जो मैंने कुछ ब्लॉग्स को केवल अकाउंट टेकओवर पर पढ़ने के बाद सीखा है।

खाता अधिग्रहण भेद्यता क्या है?

अकाउंट टेकओवर एक प्रकार का हमला है जो एक अनधिकृत उपयोगकर्ता को उस वेबसाइट पर मौजूद किसी भी प्रकार की कमजोरियों का फायदा उठाकर किसी अन्य खाते तक पहुंच प्राप्त करने की अनुमति देता है, और इन कमजोरियों को अकाउंट टेकओवर भेद्यता कहा जाता है।

Account takeover को संक्षेप में ATO भी लिखा जाता है।

1. पासवर्ड रीसेट में आईडीओआर के माध्यम से खाता अधिग्रहण -

कैसे करें: केवल POST अनुरोध में यूजर_आईडी को अपने से किसी और के लिए बदलें, यदि यह भेद्यता मौजूद है, तो पीड़ित का पासवर्ड (वह व्यक्ति जिसका यूजर_आईडी आपने दर्ज किया है) बदल जाएगा।

मैं प्रभाव कैसे बढ़ा सकता हूँ: यदि यह भेद्यता मौजूद है, तो व्यवस्थापक के खाते को अपने हाथ में लेने का प्रयास करें।

इस पर एक विस्तृत ब्लॉग पढ़ेंhttps:///@swapmaurya20/a-simple-idor-to-account-takeover-88b8a1d2ec24

2. पासवर्ड रीसेट पॉइज़निंग के माध्यम से अकाउंट टेकओवर -

कब शिकार करें: मेरी जानकारी के अनुसार कोई विशेष लक्षण नहीं है

कैसे करें: बर्प सुइट में पासवर्ड रीसेट अनुरोध को रोकें, निम्नलिखित हेडर को एक-एक करके जोड़ने का प्रयास करें, और आपको प्राप्त होने वाले ईमेल में प्राप्त लिंक का निरीक्षण करें।

होस्ट: हमलावर.कॉम
होस्ट: target.com
एक्स-फॉरवर्डेड-होस्ट: हमलावर.कॉम
होस्ट: target.com
होस्ट: हमलावर.को एम

नोट - कई बग बाउंटी प्रोग्राम में, इस बग को दायरे से बाहर रखा जाता है क्योंकि इसके लिए यूजर इंटरेक्शन की आवश्यकता होती है, इसलिए प्रोग्राम पॉलिसी को ध्यान से पढ़ें।

इस पर एक विस्तृत ब्लॉग पढ़ेंhttps://vbharad./account-takeover-through-password-reset-poisoning-72989a8bb8ea

3. सीएसआरएफ के माध्यम से खाता अधिग्रहण-

क्रॉस-साइट रिक्वेस्ट फोर्जरी (CSRF) एक प्रकार का हमला है जो एक हमलावर को उपयोगकर्ता की ओर से वेब एप्लिकेशन पर अवांछित क्रियाओं को अंजाम देने की अनुमति देता है। एक खाता अधिग्रहण के संदर्भ में, एक सीएसआरएफ हमले में एक उपयोगकर्ता को लिंक पर क्लिक करने या हमलावर द्वारा नियंत्रित वेबसाइट पर जाने के लिए धोखा देना शामिल होगा। लिंक या वेबसाइट तब उपयोगकर्ता की ओर से वेब एप्लिकेशन के लिए अनुरोध करेगी, जैसे कि उपयोगकर्ता का पासवर्ड बदलना या उपयोगकर्ता के खाते से धन स्थानांतरित करना।

कब शिकार करना है: एंटी सीएसआरएफ टोकन गुम होना (कभी-कभी वेबसाइट सीएसआरएफ टोकन के अलावा सुरक्षा के अन्य तरीकों का भी उपयोग करती है)

शिकार कैसे करें: पासवर्ड बदलने के अनुरोध को इंटर करें जो आपको अपने खाते के माध्यम से करना चाहिए और फिर बर्प सुइट में जाएं और इसके लिए एक सीएसआरएफ पीओसी बनाएं, और पीड़ित के खाते में उपयोगकर्ता नाम और ईमेल जैसे विवरण बदलें। यदि यह सफलतापूर्वक काम करता है, तो आप पासवर्ड भूल गए का उपयोग करके पासवर्ड रीसेट करने में सक्षम होंगे।

इस पर एक विस्तृत ब्लॉग पढ़ेंhttps://infosecwriteups.com/account-takeover-via-csrf-78add8c99526

4. टूटी क्रिप्टोग्राफी द्वारा अकाउंट टेकओवर -

कब शिकार करें: जब आपको एक वृत्ति मिलती है कि आपके मेल में पासवर्ड भूल जाने के लिए जो URL मिल रहा है, उसे आसानी से डिकोड और बदला जा सकता है।

हंट कैसे करें: वेबसाइट पर दो अकाउंट बनाएं, अकाउंट 1 के लिए पासवर्ड की रिक्वेस्ट करें और रिक्वेस्ट को बर्पसुइट में कैप्चर करें और फिर घुसपैठिए को भेजें और सर्वर को भी भेजें। अभी के लिए, आपको पासवर्ड रीसेट लिंक वाला एक ईमेल प्राप्त होगा, स्ट्रिंग को डीकोड करने का प्रयास करें। अब, खाता 2 के लिए टोकन बनाने का प्रयास करें, यदि आप ऐसा करने में सक्षम हैं, तो आप खाता 2 के लिए पासवर्ड रीसेट करने में सक्षम होंगे।

इस पर एक विस्तृत ब्लॉग पढ़ेंhttps://vasuyadav0786./weak-cryptography-to-account-takeovers-87782224ed0d

5. 0auth ग़लत कॉन्फ़िगरेशन द्वारा खाता अधिग्रहण -

कब शिकार करें: कई प्रकार के प्राधिकरण होने पर

शिकार कैसे करें: पर जाएंhttps://target.com/signup/और अपंजीकृत पीड़ित के खाते का उपयोग करके साइनअप करें। कुछ समय बाद पीड़ित OAuth पद्धति का उपयोग करके साइनअप करने जा रहा है। यहाँ क्या होता है, अब हमलावर पीड़ित के खाते का उपयोग करके आसानी से लॉग इन कर सकता है जो सत्यापन विधियों को दरकिनार कर देता है।

अकाउंट टेकओवर के कुछ और तरीके भी हैं लेकिन मैंने अभी सबसे आम लोगों को कवर किया है, आप Google पर दूसरों के बारे में पढ़ सकते हैं।

खाता अधिग्रहण माइंडमैप:https://xmind.app/m/M3WEqG/

ट्विटर पर मुझे फॉलो करें -
https://twitter.com/Dheerajydv19