Аналитик по кибербезопасности из Пакистана Эхтешам Уль Хак обнаружил уязвимость в веб-приложении, позволяющую обойти аутентификацию на основе одноразовых паролей (one-time password, OTP), и заработал на этом 650 долларов. Киберэксперт отмечает, что данный случай демонстрирует необходимость комплексной защиты, особенно при использовании OTP.
В ходе тестирования на проникновение для частного клиента Хак выявил несколько уязвимостей низкой и средней степени риска, а также обнаружил потенциальную проблему с захватом субдомена (вне области тестирования). Основное внимание он уделил механизму OTP-аутентификации, используя Burp Suite для перехвата и анализа запросов.
«Вводя неверный OTP, Хак наблюдал стандартный ответ сервера об ошибке (400 Bad Request). Затем он подменил этот ответ на успешный ответ (200 OK) из предыдущей успешной попытки входа. Эта манипуляция позволила ему обойти проверку OTP и получить доступ к системе без корректного кода. После документирования методики эксперт отправил подробный отчет команде разработчиков и вскоре получил вознаграждение в размере 650 долларов. Фаззинг неверных значений OTP позволил обнаружить возможность подмены ответа сервера, что дало полный обход механизма одноразовой аутентификации», — пояснил киберэксперт лаборатории стратегического развития продуктов кибербезопасности компании «Газинформсервис» Михаил Спицын.
Для защиты корпоративных сетей от подобных атак киберэксперт рекомендует комплексный подход:
«Чтобы в корпоративной сети исключить возможность обхода проверки OTP через манипуляцию ответом, нужно внедрить комплекс мер на уровне приложения, инфраструктуры и процессов. Обязательно весь трафик между клиентом и сервером должен идти по https, и нужно внедрить защиту от фаззинга: блокировку после множества неудачных входов с одного IP или учетной записи, а также вводить дополнительные проверки, в том числе 2FA. Рекомендую использовать современную платформу мониторинга подозрительной активности с расширенными возможностями, например, с встроенными модулями поведенческой аналитики, которая отправляет уведомления об обнаруженных аномалиях в корпоративной сети, после чего оператор смог бы исключить возможность «успешной» подмены ответа сервером, разорвав цепочку атаки», — подчеркнул Михаил Спицын.
