Hesap Devir Rehberi

Hey millet, bu eğitimde, sadece hesap devralmayla ilgili bazı blogları okuduktan sonra öğrendiğim hesap devralma hakkında öğrendiklerimi paylaşacağım.

Hesap Devralma güvenlik açığı nedir?

Hesap ele geçirme, yetkisiz bir kullanıcının o web sitesinde bulunan her türlü güvenlik açığından yararlanarak başka birinin hesabına erişmesini sağlayan bir saldırı türüdür ve bu güvenlik açıklarına hesap devralma güvenlik açıkları denir.

Hesap devralma da kısaca ATO olarak yazılır.

1. Şifre sıfırlamada IDOR üzerinden hesap devralma -

Nasıl Yapılır: POST isteğinde user_id'yi kendinizden başka birine değiştirin, bu güvenlik açığı varsa, kurbanın (user_id'sini girdiğiniz kişi) hesabının şifresi değişir.

Etkiyi nasıl artırabilirim: Bu güvenlik açığı varsa, yöneticinin hesabını devralmayı deneyin.

Bununla ilgili ayrıntılı bir blogu şu adreste okuyun:https:///@swapmaurya20/a-simple-idor-to-account-takeover-88b8a1d2ec24

2. Şifre sıfırlama zehirlenmesi yoluyla Hesap Devralma -

Ne zaman avlanmalı: Bildiğim kadarıyla belirli bir semptom yok

Nasıl Yapılır: Burp Suite'te parola sıfırlama isteğini durdurun, aşağıdaki başlıkları birer birer eklemeyi deneyin ve alacağınız e-postadaki bağlantıya bakın.

Ana Bilgisayar: attacker.com
Ana Bilgisayar: target.com
X-Forwarded-Host: attacker.com
Ana Bilgisayar: target.com
Ana Bilgisayar: attacker.co m

Not — Birçok hata ödül programında, bu hata, kullanıcı etkileşimi gerektirdiğinden kapsam dışında tutulur, bu nedenle program politikasını dikkatlice okuyun.

Bununla ilgili ayrıntılı bir blogu şu adreste okuyun:https://vbharad./account-takeover-through-password-reset-poisoning-72989a8bb8ea

3. CSRF ile Hesap Devralma-

Siteler Arası İstek Sahtekarlığı (CSRF), bir saldırganın bir kullanıcı adına bir web uygulamasında istenmeyen eylemler gerçekleştirmesine izin veren bir saldırı türüdür. Bir hesabın ele geçirilmesi bağlamında, bir CSRF saldırısı, bir kullanıcıyı bir bağlantıya tıklaması veya saldırgan tarafından kontrol edilen bir web sitesini ziyaret etmesi için kandırmayı içerir. Bağlantı veya web sitesi daha sonra kullanıcı adına web uygulamasına, örneğin kullanıcının şifresini değiştirmek veya kullanıcının hesabından para aktarmak gibi bir talepte bulunur.

Ne Zaman Avlanmalı: Eksik anti csrf belirteçleri (bazen web sitesi, korumak için csrf belirteçlerinden çok farklı başka yollar kullanır)

Nasıl Avlanır: Hesabınız üzerinden yapmanız gereken şifre değiştirme talebini girin ve ardından burp suite'e gidin ve bunun için bir csrf poc oluşturun ve kurbanın hesabına kullanıcı adı ve e-posta gibi ayrıntıları değiştirin. Bu başarılı bir şekilde çalışırsa, şifremi unuttum kullanarak şifreyi sıfırlayabilirsiniz.

Bununla ilgili ayrıntılı bir blogu şu adreste okuyun:https://infosecwriteups.com/account-takeover-via-csrf-78add8c99526

4. Bozuk kriptografi ile Hesabın Devralınması -

Ne zaman avlanmalı: Parolamı unuttum için postanıza aldığınız URL'nin kolayca çözülüp değiştirilebileceğine dair bir içgüdü aldığınızda.

Nasıl Avlanır: Web sitesinde iki hesap oluşturun, 1. hesap için bir şifre isteyin ve isteği burpsuite'te yakalayın ve ardından davetsiz misafire gönderin ve ayrıca sunucuya gönderin. Şimdilik, şifre sıfırlama bağlantısı içeren bir e-posta almış olacaksınız, dizenin kodunu çözmeye çalışın. Şimdi, 2. hesap için jeton oluşturmaya çalışın, eğer bunu yapabilirseniz, 2. hesap için şifreyi sıfırlayabilirsiniz.

Bununla ilgili ayrıntılı bir blogu şu adreste okuyun:https://vasuyadav0786./weak-cryptography-to-account-takeovers-87782224ed0d

5. 0auth Hatalı Yapılandırma ile Hesabın Devralınması -

Ne zaman avlanmalı: Birden çok türde yetkilendirmeye sahipken

Nasıl Avlanır: Githttps://target.com/signup/ve kayıtlı olmayan kurbanın hesabını kullanarak kaydolun. Bir süre sonra kurban, OAuth yöntemini kullanarak kaydolacaktır. Burada olan şey, artık saldırganın, doğrulama yöntemlerini atlayarak kurbanın hesabını kullanarak kolayca oturum açabilmesidir.

Hesap devralmanın başka yolları da var ama ben en yaygın olanları ele aldım, diğerleri hakkında google'da okuyabilirsiniz.

Hesap Devralma Zihin Haritası:https://xmind.app/m/M3WEqG/

Twitter'da beni takip et -
https://twitter.com/Dheerajydv19