¿Cómo puedo hacer un pentest de manera exitosa con la autenticación de dos factores? [cerrado]

Question

¿Cómo puedo hacer un pentest de manera exitosa con la autenticación de dos factores? [cerrado]

#1 de atk (2 votos)

-6

Quiero usar una herramienta comercial y automatizada pero no puedo iniciar sesión correctamente porque el sitio web requiere un proceso de autenticación de dos factores mediante SMS. Para las pruebas, el mensaje SMS se envía a otro sitio web, aunque en situaciones normales el SMS se envía a un teléfono móvil.

Hice clic en muchos botones en el sitio de destino. Después de eso, escanee el sitio usando Burp Suite Pro. Sin embargo, la mayoría de los resultados que obtengo son falsos positivos porque el sitio da respuestas diferentes. Por ejemplo, la primera respuesta es un error de entrada y la segunda respuesta es un error de tiempo de espera. Por este motivo, la herramienta busca las respuestas e informa resultados falsos positivos.

¿Cómo puedo pentestear exitosamente el sitio con autenticación de dos factores?

web-application appsec penetration-test multi-factor burp-suite

pregunta dgn 17.12.2013 - 16:53

fuente

1 respuesta

Lea otras preguntas en las etiquetas web-application appsec penetration-test multi-factor burp-suite

¿Problema de cifrado? [duplicar] Pregunta sobre Oauth y https [cerrado]

score 2 · Accepted Answer

Parece que está preguntando cómo obtener una herramienta automatizada para iniciar sesión en un sitio que ofrece autenticación de dos factores. Con la información limitada que proporcionó, hay cuatro enfoques que vienen a la mente.

use la herramienta de rastreo manual de la herramienta . Muchas herramientas automatizadas ofrecen la capacidad de conducir manualmente la herramienta, y luego la transición a la exploración / prueba automatizada. Este enfoque funciona bien si la herramienta lo ofrece y si no le importa manejar manualmente el segundo factor de autenticación.
escriba un complemento para que la herramienta inicie sesión . Si la herramienta le permite escribir complementos, y si puede automatizar el segundo factor (como repetir una exploración de huellas dactilares, o usar un escáner óptico para un token de hardware, etc.), puede agregar funcionalidad a la herramienta para manejar esta forma particular de dos factores authn.
escribe un proxy para manejar la autenticación . Si no puedes escribir un complemento, escribe un servidor proxy y configura el escáner original para que use tu proxy o simplemente pulsa una parodia para mitigar el tráfico. Use su servidor proxy para secuestrar completamente la sesión, realizar la autenticación y luego devolver la sesión a la herramienta original.
deshabilita la función de dos factores para tu cuenta / sistema . Simplemente deshabilitar la función automática de dos factores facilitará la entrada de la herramienta. Por supuesto, esto requiere que el producto que se está probando pueda configurarse, y tendrá que escanear dos veces: una para cubrir las pantallas de authn y una para para cubrir el resto del producto.

Para recibir la respuesta de SMS, deberá registrar su teléfono y escribir un código para recibir el SMS y reenviarlo a su complemento / proxy; o deberás proporcionar una URL a la que enviar el SMS que apunta directamente a tu complemento / proxy o que puedas asignar a tu complemento / proxy, nuevamente con un código personalizado.

Para lidiar con falsos positivos, deberá revisar los resultados y recortarlos usted mismo. Un gran número de falsos positivos es uno de los desafíos de trabajar con herramientas de escaneo automatizadas.