R's Hacking Daily Log

Lab - 2FA broken logic ) Lab으로 들어가 로그인 정보를 입력하면 4글자 인증 코드를 입력하는 페이지가 출력된다. 메일로 전송된 코드를 입력하면 My account 페이지에서 로그인된 사용자 이름을 볼 수 있다. 이번 Lab의 목표는 carlos의 계정으로 로그인을 완료하는 것인데, 문제는 carlos의 비밀번호를 모른다. (?) 일단 위에서 본 페이지들을 정리해 보면 1) username & password를 입력하는 POST /login request 2) 1의 결과로 얻은 verify & session cookie를 포함하는 Get /login2 request 3) 2의 결과로 verify 된 사용자의 메일로는 코드가 전송되고, 코드를 입력하는 입력창 페이지가 출력된다. 4) 입..

Vulnerabilities in multi-factor authentication Multi factor authentication 내용을 간단히 상기시켜 보자면 1. Something you have 2. Something you know 3. Something you are 로 구분되는 두 개 이상의 factor를 이용하는 인증 절차를 multi factor authentication이라 했다. 여기서 기억해야 하는 것은 하나의 factor를 다른 방식으로 두 번 실행하는 건 multi factor가 아니라는 것이다. ** 로그인을 할 때 자신의 계정 정보를 인증한 다음 이메일로 전송된 인증 코드를 입력하는 경우가 있다. 대게 계정 정보를 검증한 후 인증 코드를 입력하는 절차를 진행하다 보니 익숙해..