ソース：
脆弱性：Identification and Authentication Failures
訳：
まず「www.example.com」を開いてサインアップしましたが、それは暗号通貨だったので、デフォルトで2FAがオンになっていて。
2 回の試行というレート制限があるため、IP はブロックされ。
図 1 最初の試行 2FA コード
IP がブロックされていることを示すメッセージに注目して。
最初に頭に浮かんだのは、次のようなヘッダーを介して IP アドレスを変更することで。
-
x-forwarded-for:<ip>
-
x-forwarded-host:<host>
-
X-Originating-IP:<ip>
-
X-Real-IP: <ip>
-
X-Custom-IP-Authorization:<ip>
-
X-Remote-IP:<ip>
-
X-Remote-Addr: <ip>
-
X-Client-IP: <ip>
-
etc
有効であるのが最も一般的であるため、最初に x-forwarded-for を試し。
図-3 x-forwarded-for
カウンターが元に戻り、あと 2 回試行できることに注意してください。
2つの方法があります
最初にBurpSuite Intruder を使用しますが、BurpSuite pro が必要で。
図-4 Burp Intruder
写真のようにマークを設定する
最初のペイロードは IP アドレスで。
URLエンコードを必ず無効にして。
ペイロードを設定した後、攻撃をクリックして起動し。
図-7
長さの違いに注目して。
2FAを回避できて。
ほなほな。
