介绍双因子身份验证 (2FA) 或多因子身份验证 (MFA) 是一种通过需要至少两个识别证明的服务进行身份验证的方法。如今，大多数云服务都要求典型用户使用 2FA 方法，例如 Google、Micro...
03月06日17 views评论网络钓鱼
身份验证
多因素身份验证绕过方法
03月06日17 views评论网络钓鱼
身份验证
03月06日17 views评论网络钓鱼
身份验证
从头开始在 Go 中设计一个无密码的登录系统
无密码登录是一种误导性的说法，因为在任何认证步骤中都会以这样或那样的方式涉及密码。即使是在生物识别系统中，你的生物识别技术也充当了密码。无密码的概念是围绕着为用户创建临时密码而展开的。以达到减少攻击面...
02月15日10 views评论密码
用户
漏洞赏金猎人系列-如何测试注册(Sign up)功能(V)以及相关Tips
漏洞赏金猎人系列-如何测试注册(Sign up)功能(V)以及相关Tips声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文...
01月30日安全文章7 views评论allow
otp
2FA 的SRC终极漏洞挖掘手段
我列出了在网站上测试 2FA 或 MFA 时可能遇到的漏洞点，以及如何利用它们。在对许多善网站进行渗透测试时，您会发现它们普遍有 2FA（双因素身份验证）或 MFA（多因素身份验证）。这增加了针额外安...
12月28日13 views评论漏洞挖掘
身份验证
渗透测试 | 漏洞挖掘中理解和绕过速率限制
介绍当您浏览一个网站并在短时间内多次提交重复请求时，该网站可能会要求您填写验证码或要求额外验证。如果发生这种情况，您将需要遵守该请求。这种做法被称为“速率限制”。这意味着一旦网站检测到请求可能来自计算...
12月19日17 views评论渗透测试
漏洞挖掘
挖洞技巧——绕过某视频站验证
我通过收集有关目标网站的一些信息来发起攻击，让我们以该网站为example.com，我注册了一个帐户并正在搜索仪表板。但是令我惊讶的是，我找不到能够停止前进的仪表板，因为我喜欢寻找XSS，就在登录页面...
12月17日12 views评论手机号码
数据包
G.O.S.S.I.P 阅读推荐 2022-12-09
1935年12月9日在北平爆发的12.9运动，是广大青年爱国学生在中国共产党地下党组织领导下的一次伟大的抗日救亡运动。长期以来，学生们的爱国热忱和奋不顾身的救国行动，激励了一代又一代青年为振兴中华而奋...
12月10日20 views评论otp
攻击者
记一次Bypass OTP二次验证的漏洞挖掘【文末赠书】
见文末赠书规则大家好！这个Bypass OTP有点有趣，你会学到很多东西，希望能学到很多东西。所以我正在浏览这个网站，它实际上处理教师的登录和教育内容（政府网站）。让我们称这个网站为“example....
10月13日22 views评论受害者
应用程序
Web Tips
绕过身份认证响应/状态码操作。蛮力otp。OTP 使用后不会过期。从账户 A 和 V 请求 2 个令牌。在 V 的账户中使用 A 的令牌。尝试在不解决 2FA 的情况下直接转到仪表板 URL。如果不成...
07月18日8 views评论com
代码
实战 | 记一次使用密码重置功能接管所有用户帐户
如何使用密码重置功能接管所有用户帐户我在一个外部的bugbounty程序中发现了这个bug并获得了500美金，你可以用谷歌黑客语法 inurl:/responsible-disclosure...
07月08日25 views评论burp
密码
密码重置测试小结
前言 实现密码重置功能的常见方法:发送带有唯一 URL 的电子邮件以重置密码2.使用临时密码或当前密码发送的电子邮件 3.询问私密问题，然后提供重置密码的选项4.使用 OTP（一次性密码）或...
07月08日74 views评论hackerone
攻击者
一次有意思的OTP绕过
声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。背景介绍：今天的故事来自一位名叫Vaibh...
06月22日21 views评论otp
手机号码