Эта статья о том, как я обнаружил уязвимость состояния гонки, которая позволила мне отключить 2FA любой учетной записи HackerOne. Я не знаю, как долго там присутствовала эта уязвимость, пока я ее не заметил и не сообщил их команде.
Вот ограниченное раскрытие информации.
Важно сначала изучить то, как работает 2FA на Hackerone. Если вы включили 2FA в своей учетной записи Hackerone, процесс аутентификации выглядит следующим образом:
Email + Password => ✅ => 2FA code => ✅ => Logged In.
Я не смог найти ни одной уязвимости, чтобы пропустить один из приведенных выше шагов для обхода аутентификации.
Как отключить 2FA?
Все статьи подряд / Информационная безопасность / Хабр
Ваша реакция?
+1
+1
+1
+1
+1
+1
+1