Homakov 16 мар 2015 в 05:15

Как обойти двух факторную аутенфикацию Authy с ../sms

3 мин

38K

Информационная безопасность*Веб-разработка*Ruby*

Перевод

+79

Комментарии 11

Temmokan 16 мар 2015 в 06:28

Вы уже сообщили Authy.com об этом прискорбном явлении?

Спасибо.

-9

naum 16 мар 2015 в 06:51

Егор — чистейший whitehat, к тому же, проблема описана в прошедшем времени.

+10

Homakov 16 мар 2015 в 07:56

Все исправили еще 8 февраля. Просто ждал пока их успешно поглотит twilio. Моя шляпа чище колумбийского кокаина.

+58

TimsTims 16 мар 2015 в 09:21

Отличная работа!

p1at0n 16 мар 2015 в 10:32

Т.е. после первого вызова (/json/sms) мы уже получаем токен сессии и второй вызов нам нужен только для его подтверждения? Мне казалось, что токен сессии должен быть выдан только после совпадения кода из смс (в ответе на /json/verify).

Homakov 16 мар 2015 в 10:54

Какой сессии? Первый вызов говорит «пошли этому юзеру токен на телефон» второй его проверяет.

PavelMSTU 16 мар 2015 в 12:01

Как я понимаю, подход тот же, что и в SQL инъекции.
Спасибо за пост!

-4

Isis 16 мар 2015 в 12:05

Что-то я не могу найти сходств.

PavelMSTU 16 мар 2015 в 13:35

Да… п.5 вносит отличия.
Я не прав.

Имел в виду, что отсутствие экранирования — это bad. И в SQL инъекции и в данном методе вся проблема в отсутствии экранирования, если я правильно понимаю…

TimsTims 16 мар 2015 в 17:33

На самом деле довольно много чего ломается с помощью путешествия по файлам через ../

Homakov 16 мар 2015 в 18:26

Вообще то да, я называю это format injection — когда есть формат с определенными правилами/делимитерами и он ломается через вставку. Только SQL это другой класс injection я бы выделил. xss-да

Зарегистрируйтесь на Хабре, чтобы оставить комментарий

Показать лучшие за всё время

Как обойти двух факторную аутенфикацию Authy с ../sms

Комментарии 11

Публикации

Истории