account takeover

작성자 M0X0101 프로그램 버그캠프 (Bugcamp)

WEB 종료됨(무효) 없음 보상없음 작성일: 2022년 8월 25일 (2년 전) 마지막 업데이트일: 2022년 8월 29일 (2년 전)

취약점 유형

Account takeover

상세내용

개요

non rate limit at login page leads to account takeover

재현 과정

  1. go to login page : https://bugcamp.io/sign-in
  2. entar your email and wrong pass and intersept the request
  3. you will see that the password will encept with sha256 so make anlist of password and encripted all of them to sha256
  4. send the requst to repeter to try all of password in our list

예상되는 취약점 발생 원인

full account takeover

패치 방법

make a rate limit on login page

기타사항 및 레퍼런스

https://hackerone.com/reports/209008

첨부파일

ATO_bugcamp.PNG

타임라인

M0X0101 님이 티켓을 제출했습니다. 2022년 8월 25일 (2년 전)
Steve MANAGER 님이 상태를 '제출됨'에서 '종료됨(무효)'으로 변경했습니다. 2022년 8월 25일 (2년 전)
Steve MANAGER 님이 댓글을 남겼습니다. 2022년 8월 25일 (2년 전)

해당 티켓은 프로그램 규칙의 포상에서 제외되는 경우에 명시된 일부 항목에 부합하여 종료됨(무효) 로 분류됩니다.

  • 무작위 대입 공격
  • 취약점 개념 증명 코드(PoC)를 포함하지 않은 제보
  • 위협 가능성만을 제시하는 제보(e.g. 패스워드 복잡도 미흡, 서버 정보 노출 등)

프로그램 규칙을 확인 후 버그바운티 활동에 참여해주시면 감사드리겠습니다.

Jerry MANAGER 님이 위험도를 '매우높음'에서 '없음'으로 변경했습니다. 2022년 8월 29일 (2년 전)
Jerry MANAGER 님이 공개상태를 '비공개'에서 '전체공개'로 변경했습니다. 2022년 8월 29일 (2년 전)