Hello there, ('ω')ノ
アカウントの連絡先番号を確認するにはどうすればよいかを。
脆弱性：
OTPバイパス
2FAバイパス
記事：
目標：
OTPを提供せずに電話番号を追加して確認することで。
ウェブサイト名：
Redacted.com
redacted.comのサブドメイン、つまりsubdomain.redacted.comを列挙していて。
これについて登録してアカウントを作成して。
このポータルで何かを見つけるのに苦労したものの。
電話番号を追加する機能があり、さっそく追加して。
自分の電話番号を提供してOTPを確認して、応答を傍受して分析することに。
Try1：
自分の電話番号を他の電話番号に編集すると、OTPが送信されたものの。
正しいOTPを提供しないことにしたため、応答の操作を開始して失敗したので。
正しいOTPと無効なOTPの応答を比較することに。
違いは応答コードとJSONメッセージにあって。
不正なOTP応答コード：
400
失敗したJSONメッセージ：
{“verificationCode”:[{“Code”:”invalid.code”}]}
バイパス方法：
応答コードを204(NO CONTENT)に変更して。
これは、サーバが要求を正常に実行して。
応答ペイロード本文で送信する追加のコンテンツがないことを意味して。
質問：
応答コードを204に変更したのはなぜか？
回答：
自分の番号を有効なOTPに登録したときに応答を分析したところ。
コードが204で有効な応答があったため。
Best regards, (^^ゞ
