Senta que lá vem história rapaziada... kkkk
Hoje eu vou tá mostrando como a gente pode interceptar a autenticação em 2 fatores, usando o método bypass e usando a ferramenta Burpsuite.
Bom mas antes de tudo, tenha em mente que vc precisará ter os dados da vítima como E-mail e Senha. Isso vc pode fazer com alguma ferramenta de Phishing. Deixei uma aí na categoria Hacking é só procurar.
O que vamos fazer?
Quando entramos na conta do Google pela primeira vez, aparece uma notificação no dispositivo da vítima do tipo: "É vc que está acessando esta conta, no dispositivo tal, Android Tal? "Sim" ou "Não". "Toque na notificação para continuar". O que vamos fazer é, captar o user-agent do celular da vítima, e substituir onde estará o nosso. Como se fosse a própria vítima que tivesse fazendo a requisição, só que pelo nosso celular. (Vamo meio que se passar pela pessoa).
Pra vc capturar o User-Agent, vc precisa de alguma ferramenta de Iplogger. Vc pode usar o Grabify.
PARTE 1
Vocês vão na página do Google e vão digitar as credenciais, e-mail e senha. Mas, não vão clicar em entrar.
Ligue a ferramenta Burpsuite (com o proxy configurado é claro), e habilite a opção de interceptação. Depois volte para página do Google e clique em entrar. A ferramenta vai capturar a requisição. Vai ficar parecido com a imagem abaixo:
Ali como vcs podem ver, foi capturado o user-agent que é onde vamos substituir pelo o que nós pegamos lá com o Grabify. Então vc irá fazer isso!
Feito isso, vc vai fazer a requisição no burpsuite clicando em Forward.
Depois a gente tem que repetir esse passo só que com o modo de interceptação desligado. Vc vai clicar em Forward e logo após isso, será enviado uma notificação para vítima, perguntando se é ela que tá acessando a conta.
Obviamente como as informações que aparecer são dela, ela vai clicar em Sim. Que no caso dará acesso a conta dela.!
BONS ESTUDOS!
