Хорошая статья. Подредактируйте немного в плане оформления и устранения грамматических ошибок. Предложения не все начинаются с заглавной буквы, интервалы между текстом и скринами, а также распределения текста по ширине страницы сильно улучшили бы читабельность и внешний вид.
[ обложка статьи ]
Режим чтения
Прежде чем перейти к практике, стоит понимать, зачем вообще нужен перебор имён пользователей. Username Enumeration — это уязвимость класса Information Disclosure, возникающая из-за ошибок в логике аутентификации: приложение так или иначе даёт понять, существует ли введённый логин в системе. Сама по себе эта уязвимость не даёт доступа к аккаунту, но она резко облегчает злоумышленнику дальнейшие шаги — брутфорс-атаки становятся точечными, а не случайными, а собранный список валидных логинов удобно использовать для целевого фишинга. Разница в ответах сервера может проявляться по-разному: в длине ответа, в кодах статуса, в тексте сообщения об ошибке или, как в разбираемом ниже случае, во времени обработки запроса. Именно последний вариант — самый скрытный и сложный для обнаружения, поэтому его и разберём на примере лабораторной работы.
Привет, это сегодня расскажу как можно пройти лабораторию "Username enumeration via response timing" от portswigger.
2) Работа в Intruder - практика, начинаем брутфорсить.
Введение
Зайдём на главную страницу сайта и введём туда данные которые как мы знаем точно не существуют, и давайте отправим запрос в Repeater
Предположим что мы посмотрели длину и коды ответов, и ничего не нашли.
- Теперь давайте найдём разницу между неверным именем пользователя и верным.
Неверный username занял у нас - 77 мс
Верный username занял - 108 мс
- Давайте ещё раз нажмём вдруг поменяется что то.
Видим, что нас вообще заблокировало, видимо он блокирует мой IP-адрес.
Давайте проверим, может тут слабый механизм блокировки. Нужно выяснить принимает ли он заголовок X-Forwarded-For
! X-Forwarded-For может использоваться для смены IP. Если в приложение встроена обработка данного хедера, просто отправьте X-Forwarded-For: desired_IP для подмены IP, чтобы обойти ограничение без использования дополнительных прокси
Отлично! всё сработало, но мы видим что нет большой разницы между неверным и верным username.
Следующее, что я собираюсь сделать, это увеличить длину пароля, потому что некоторые приложения проверяют первым на валидность имя пользователя, а если не действителен, то они не будут проверять пароль. Но если он действителен, то он будет проверять пароль и может возникнуть разница во времени
Давайте так и сделаем.
У нас получилось аж 597 мс! И кажется что серверная часть при увеличении длины пароля выполняет больше вычислений и поэтому требуется больше времени.
- Теперь давайте сделаем тоже самое для несуществующего пользователя. Не забываем менять наш заголовок!!!! А то заблокирует и плохо будет
Теперь указано 79 мс, почему так спросите? Потому что когда имя недействительно, то он дальше не идёт ничего проверять и отбрасывает нам invalid username or password.
Работа в Intruder
После того как мы разобрались во времени ответов, давайте похакаем!
Отправляем запрос в Intruder, включим тип атаки pitchfork для того что бы:
1) Менять наш X-Forwarded-For
2) Менять username
- В Payloads, ставим 1 payload в numbers, а во второй payload добавляем список пользователей
- Включаем показ времени ответа
Отлично, теперь сортируем по времени. И ищем самое большое число, теперь видим что наш username это alaska, теперь давайте для него подбирать пароль.
Меняем username на alaska, и ставим пароль в знаки амперсанда, и НЕ ЗАБЫВАЕМ менять X-Forwarded-For
Теперь мы полностью решили задачу, пароль известен, имя пользователя тоже!
Можете войти и проверить, но не забудь про X-Forwarded-For
Привет, это сегодня расскажу как можно пройти лабораторию "Username enumeration via response timing" от portswigger.
План статьи:
1) Введение - теория, узнаем как перебирать имена пользователя если мы не нашли разницу в длине ответа и в кодах ответа. Узнаем что такое X-Forwarded-For и как его использовать2) Работа в Intruder - практика, начинаем брутфорсить.
Введение
Зайдём на главную страницу сайта и введём туда данные которые как мы знаем точно не существуют, и давайте отправим запрос в Repeater
Предположим что мы посмотрели длину и коды ответов, и ничего не нашли.
- Теперь давайте найдём разницу между неверным именем пользователя и верным.
Неверный username занял у нас - 77 мс
Верный username занял - 108 мс
- Давайте ещё раз нажмём вдруг поменяется что то.
Видим, что нас вообще заблокировало, видимо он блокирует мой IP-адрес.
Давайте проверим, может тут слабый механизм блокировки. Нужно выяснить принимает ли он заголовок X-Forwarded-For
! X-Forwarded-For может использоваться для смены IP. Если в приложение встроена обработка данного хедера, просто отправьте X-Forwarded-For: desired_IP для подмены IP, чтобы обойти ограничение без использования дополнительных прокси
Отлично! всё сработало, но мы видим что нет большой разницы между неверным и верным username.
Следующее, что я собираюсь сделать, это увеличить длину пароля, потому что некоторые приложения проверяют первым на валидность имя пользователя, а если не действителен, то они не будут проверять пароль. Но если он действителен, то он будет проверять пароль и может возникнуть разница во времени
Давайте так и сделаем.
У нас получилось аж 597 мс! И кажется что серверная часть при увеличении длины пароля выполняет больше вычислений и поэтому требуется больше времени.
- Теперь давайте сделаем тоже самое для несуществующего пользователя. Не забываем менять наш заголовок!!!! А то заблокирует и плохо будет
Теперь указано 79 мс, почему так спросите? Потому что когда имя недействительно, то он дальше не идёт ничего проверять и отбрасывает нам invalid username or password.
Работа в Intruder
После того как мы разобрались во времени ответов, давайте похакаем!
Отправляем запрос в Intruder, включим тип атаки pitchfork для того что бы:
1) Менять наш X-Forwarded-For
2) Менять username
При этой атаке для каждой определенной позиции используется свой набор полезной нагрузки. Полезная нагрузка помещается в каждую позицию одновременно.
- В Payloads, ставим 1 payload в numbers, а во второй payload добавляем список пользователей
- Включаем показ времени ответа
Отлично, теперь сортируем по времени. И ищем самое большое число, теперь видим что наш username это alaska, теперь давайте для него подбирать пароль.
Меняем username на alaska, и ставим пароль в знаки амперсанда, и НЕ ЗАБЫВАЕМ менять X-Forwarded-For
Теперь мы полностью решили задачу, пароль известен, имя пользователя тоже!
Можете войти и проверить, но не забудь про X-Forwarded-For
AI-выжимка
сгенерировано ИИ
Тезисы статьи скоро
Статья читается полностью. Тезисы со ссылками на разделы появятся позже.
Содержание
Codeby Academy
Практика и мастерство
От основ до продвинутого — программы для практиков Codeby.
Перейти к курсу →
Продолжить чтение
Следующий разбор
WebSocket Security: тестирование real-time приложений
Комментарии
2