Hello there, ('ω')ノ
ボスのように2FAをバイパスするを。
脆弱性：
レート制限の欠如
ブルートフォース
記事：
https://infosecwriteups.com/bypass-2fa-like-a-boss-378787707ba
今回は、ターゲットをdomain.comと仮定して。
偵察プロセスで、同じウェブサイトが２つあることがわかって。
www.domain.com
beta.domain.com
2FAは、www.domain.comで有効になっていて。
このドメインでアカウントを作成すると。
2FAコードを入力せずにbeta.domain.comにログインできて。
デフォルトでは、2FAは無効になっているので。
www.domain.comで、2FAをバイパスして有効にすることにして。
ユーザ名とパスワードを入力した後、6文字（数字と文字）を入力する必要があって。
５分後には、コードの有効期限が切れるので、ブルートフォースは機能せず。
パスワードを入力した後、Burp Suiteでリクエストをインターセプトして。
ホストヘッダをbeta.domain.comに変更して。
twofactorcodeフィールドに000000を入力してリクエストすると。
正しいコードを入力せずにwww.domain.comに正常にログインできて。
Best regards, (^^ゞ
