ワンタイムパスワードの略称。
ソース： medium.com 脆弱性：OTP 訳： この攻撃は https://thehackernews.com/2016/03/hack-facebook-account.html と非常に似ていますが、唯一の違いは、攻撃がログイン機能自体に対するものであることで。 ログインメカニズム : 携帯電話番号を入力すると、ユーザーは otp を受け取ります。 OTP を入力し、Web アプリケーションにログインし。 欠陥は、レート制限が設定されていないことであり、そのため、攻撃者に 6 桁のコードを総当たり攻撃して任意のアカウントにログインする機会が無限に与えられてしまい。 有効な OTP に…
dockerコンテナ上のアプリをAWS Lambda上で呼び出すには、awslambdaricというのが必要なようです。 dockerイメージは以下のようになります。 # Define custom function directory ARG FUNCTION_DIR="/function" FROM --platform=linux/amd64 python:3.10-slim-bullseye ENV TZ="Asia/Tokyo" # Include global arg in this stage of the build ARG FUNCTION_DIR # Install aws…
ソース： medium.com 脆弱性：OTP 訳： #### 発見プロセス セキュリティを強化するために OTP を採用した Web サイトを使用しているときに、その OTP 処理に異常があることに気付き。 この脆弱性をどのように特定したかを段階的に説明し。 1. **OTP のリクエスト:** - ログインや身元確認など、Web サイト上でアクションを求める OTP リクエストを開始して。 Web サイトはすぐに私の登録メール アドレスに OTP を送信して。メールには 10 分間の有効期限が明記されて。 2. **OTP の入力:** - 受信した OTP を入力して、意図したアクション…
ソース： xamiron.medium.com 脆弱性：OTP 訳： 今日のこの記事では、OTP をバイパスするために使用されている方法とテクニックについて説明し。 ステップ 1: この Web サイト、たとえば example.com に対して攻撃を開始し。 OTP の長さを知っておく必要があって。OTP の長さは、可能な組み合わせの数に影響して。 たとえば、6 桁の OTP には 1,000,000 通りの組み合わせがあります (000000 ～ 999999)。 長さを知ることは、攻撃者が OTP を推測するために必要な複雑さと試行回数を理解するのに役立ち。 OTP の有効期間を知ってお…
ソース： medium.com 脆弱性：OTP 訳： 私が簡単に見つけた方法の話: 実際に現場を訪れてみると。 そこで、ログインについて尋ねられ。 そこからサイトのテストを開始しました。 まず、携帯電話番号や血液型などを記入する登録フォームがありました。 その後、私のハッカー心が目覚め 😎 、OTP をバイパスする方法をテストし始め。 OTP をバイパスする場合だからです。 したがって、アカウントを作成できるだけでなく、別のユーザーアカウントを引き継ぐこともでき。 そのため、そのサイトではユーザーを認証するために OTP がメインで。 フォームに記入すると、OTP 番号を求められ。 したがって…
ソース： medium.com 脆弱性：JWT, OTP 訳： 対象者について： ターゲットの名前を明らかにすることは許可されていませんが、これはコーディングなしでモバイル アプリケーションを作成できるインドの人気 Web サイトです。 私は偵察ではなく、メインのアプリケーションに集中しました。 そこで、その Web サイトでアカウントを作成し、XSS、IDOR、SSRF などのバグを探し始めましたが、残念ながら見つかりませんでした。 実際の問題: バグが見つからず諦めかけていたところ、2FAを有効にするオプションが表示されたので「2FAに関連する問題がないか確認してみよう」と思い、Googl…
ソース： medium.com 脆弱性：OTP、WAF、Blind SQL 訳： サブドメインを 1 つずつ開いた後、「legacypanel.redacted.com」というサブドメインを見つけました。 しかし、最初に遭遇したのは「403 - アクセスが拒否されました」でした。 いつものように、ダミー パスを入力して、これがすべてのパスでの頑固な 403 なのか、それともメイン ドメインのみでののかをテストしました。 legacypanel.redacted.com/dummypath ダミー パスを入力すると、コードが 403 から 404 に変化しました。これは、403 制限がメインドメ…
ソース： medium.com 脆弱性：2FA, OTP 訳： まとめ この Web アプリを使用すると、ユーザーは電話番号を使用してアカウントを作成し、OTP を入力して登録プロセスを完了できます。 このバグは、応答を操作することによって登録ページで OTP をバイパスすることに関するものです。 再現手順 (PoC): アカウントを作成します https://example[.]com/register 必要事項をすべて記入し、電話番号を入力してフォームを送信して 登録に使用した電話番号に 5 桁の OTP が届き。 ランダムな 5 桁を入力 (例: 00000) burp suite プロ…
ソース： secureitmania.medium.com 脆弱性：OTP 訳： イントロ： デジタル世界が拡大するにつれて、 サイバーセキュリティ の重要性も高まり。 ワンタイム パスワード (OTP) は、認証の分野でますます普及してきていて。 これらは追加のセキュリティ層を提供し、ハッカーによる不正アクセスを困難にすることで知られていて。 ただし、OTP 検証が適切に実装されていない場合、システムはさまざまなセキュリティリスク にさらされる可能性があり。 OTP 検証の最も一般的な 6 つの安全でない方法を見てみましょう。 1. 応答時の OTP リーク アプリケーション バックエンド …
ソース： https://medium.com/@aniketvs012/how-i-got-my-first-bounty-ff84f46a276b 脆弱性：MFA(OTP) 訳： プライベート プログラム (銀行ベース) への招待状を受け取り。プログラムの範囲を調査しているときに、範囲内の URLのほとんどがユーザー登録に基づいており。私が持っていない特定の国の携帯電話番号が必要であり。 ここで私が学んだ最初の重要なポイントは、「アプリケーションを探索するときは、ランダムにヒットするのではなく、最初にアプリケーションの機能を学ぶように努める」ということでゲス。 アプリケーションが任意のラン…
employment.en-japan.com
gist.github.com
speakerdeck.com
www.slideshare.net
www.erlang.org
kuenishi.hatenadiary.jp
gist.github.com
akaki.io
qiita.com
