No Rate Limit To OTP Bypass And Account Takeover

No Rate Limit

No Rate Limit adalah pembahasan kita untuk di artikel kali ini, perlu kalian ketahui Rate Limit adalah pembatasan kecepatan digunakan untuk mengontrol laju lalu lintas yang dikirim atau diterima oleh pengontrol antarmuka jaringan dan digunakan untuk mencegah serangan DoS [WikiPedia]. Jadi kata lainnya adalah Bandwith.

Tetapi saya tidak akan membagikan WriteUp tentang DoS (Denial of Service) melainkan OTP Bypass, apa itu OTP ? OTP merupakan singkatan dari One Time Password.

Ya, dari namanya saja sudah bisa di ketahui bahwa OTP adalah password yang dapat di gunakan sekali saja dalam autentikasi sebuah user maupun lainnya.

OTP BYPASS ON 21CINEPLEX.COM

Awalnya saya mendengar bahwa teman saya mendapatkan Bug SQL-injection di website 21cineplex.com dan saya mulai tertarik untuk melakukan hal yang sama yaitu berburu bounty. Setelah cukup lama mengobrak abrik dan melakukan FootPrinting saya menemukan OTP ketika melakukan login. kenapa saya memilih melakukan pentesting pada fiture ini ? karna sebelumnya saya pernah membaca No Rate Limit To Takeover Account On Facebook.

Langsung saja saya melakukan reset password dan server meminta kode OTP yang dikirimkan ke nomer telepon saya dan kode OTP berada di parameter otp_code dan mulai melakukan Bruteforcing menggunakan fiture Intrueder pada Burpsuite, berikut video nya.

Timeline Report :
[ Selasa, 08 Oktober 2019 ] ~ Bug Reported via email
[ Kamis, 10 Oktober 2019 ] ~ Bug is Valid / Triaged
[ Selasa, 22 Oktober 2019 ] ~ Reward Confirmed

Leave a Reply

Your email address will not be published. Required fields are marked *

Up Next:

Cara Encode Dan Decode Sebuah Barcode Di Linux

Cara Encode Dan Decode Sebuah Barcode Di Linux