【网络安全】漏洞挖掘之 2FA 恢复代码安全措施不当
未经许可，不得转载。
文章目录
- 正文
正文
目标：example.com
2024年6月，我在HackerOne上参与一个私人项目时发现了一个与2FA（双因素身份验证）恢复代码管理相关的安全漏洞。该漏洞发生在用户禁用并重新启用2FA的过程中。问题在于，系统在2FA重新启用后，仍然接受此前生成的旧恢复代码，从而允许攻击者绕过2FA验证，未经授权地访问用户账户。
漏洞重现步骤：
1.启用2FA：在用户账户上设置双因素身份验证并生成恢复代码。
2.保存代码：将这些恢复代码妥善存储。
3.禁用2FA：禁用账户上的2FA。
4.重新启用2FA：重新激活该账户的双因素身份验证。
5.退出登录：从账户中退出。
6.登录尝试：尝试使用旧的恢复代码重新登录账户。
尽管账户的2FA已重新启用，旧的恢复代码仍然有效，这使得攻击者能够轻松绕过安全验证。
影响&#
相关文章：
【网络安全】漏洞挖掘之 2FA 恢复代码安全措施不当
未经许可，不得转载。 文章目录 正文正文 目标：example.com 2024年6月，我在HackerOne上参与一个私人项目时发现了一个与2FA（双因素身份验证）恢复代码管理相关的安全漏洞。该漏洞发生在用户禁用并重新启用2FA的过程中。问题在于，系统在2FA重新启用后，仍然接受此前生成的…...
指令微调与参数微调的代码实践与分析
文章目录 指令微调的实验性分析LoRA 代码实践与分析指令微调的示例代码与预训练的代码高度一致，区别主要在于指令微调数据集的构建（SFTDataset）和序列到序列损失的计算（DataCollatorForSupervisedDataset）。以下代码展示了 LLMBox 和 YuLan-Chat 中指令微调的整体训练流程…...
Android14音频进阶之高通Elite架构指定通道播放(八十四)
简介： CSDN博客专家、《Android系统多媒体进阶实战》一书作者 新书发布：《Android系统多媒体进阶实战》🚀 优质专栏： Audio工程师进阶系列【原创干货持续更新中……】🚀 优质专栏： 多媒体系统工程师系列【原创干货持续更新中……】🚀 优质视频课程：AAOS车载系统+…...
常见的正则化方法以及L1，L2正则化的简单描述
深度学习中的正则化是通过在模型训练过程中引入某些技术来防止模型过拟合的一种策略。过拟合是指模型在训练数据上表现非常好，但在新的、未见过的数据上表现不佳。正则化通过限制模型的复杂度或对模型参数施加约束，从而提高模型的泛化能力。 常见的正则…...
深入理解 Milvus：新一代向量数据库的基础技术与实战指南
一、什么是 Milvus？ Milvus 是一个开源的向量数据库，专门设计用于存储和检索大规模的高维向量数据。无论是图像、视频、音频还是文本，通过将这些数据转换为向量，Milvus 都能通过近似最近邻搜索（Approximate Nearest N…...
Maven教程——从入门到入坑
第1章 为什么要使用Maven 1.1 获取第三方jar包 开发中需要使用到的jar包种类繁多，获取jar包的方式都不尽相同。为了查找一个jar包找遍互联网，身心俱疲。不仅如此，费劲心血找到的jar包里有的时候并没有你需要的那个类，又或者有…...
研究生深度学习入门的十天学习计划------第九天
第9天：深度学习中的迁移学习与模型微调 目标： 理解迁移学习的核心概念，学习如何在实际应用中对预训练模型进行迁移和微调，以应对不同领域的任务。 9.1 什么是迁移学习？ 迁移学习（Transfer Learning&#…...
perl的学习记录——仿真regression
1 记录的背景 之前只知道有这个强大语言的存在，但一直侥幸自己应该不会用到它，所以一直没有开始学习。然而人生这么长，怎就确定自己不会用到呢？ 这次要搭建一个可以自动跑完所有case并且打印每个case的pass信息到指定的文件中。…...
【Go】go连接clickhouse使用TCP协议
离开你是傻是对是错 是看破是软弱 这结果是爱是恨或者是什么 如果是种解脱 怎么会还有眷恋在我心窝 那么爱你为什么 🎵 黄品源/莫文蔚《那么爱你为什么》 package mainimport ("context""fmt""log""time&q…...
Emlog-Pro访问网站时需要密码验证插件
插件介绍 EmlogPro访问网站密码验证插件，为你的网站添加输入密码访问网站功能，在应用中的场景往往运用在为内部或是个人使用的页面里面，在访问的时候可以提示输入密码，做隐私保护。 下载地址： Emlog-Pro访问网站时需…...
Apache ShardingSphere数据分片弹性伸缩加解密中间件
Apache ShardingSphere Apache ShardingSphere 是一款分布式 SQL 事务和查询引擎，可通过数据分片、弹性伸缩、加密等能力对任意数据库进行增强。 软件背景 ShardingSphere是一套开源的分布式数据库中间件解决方案组成的生态圈，它由Sharding-JDBC、Sharding-Proxy和Sharding…...
Django+Vue家居全屋定制系统的设计与实现
目录 1 项目介绍2 项目截图3 核心代码3.1 需要的环境3.2 Django接口层3.3 实体类3.4 config.ini3.5 启动类3.5 Vue 4 数据库表设计5 文档参考6 计算机毕设选题推荐7 源码获取 1 项目介绍 博主个人介绍：CSDN认证博客专家，CSDN平台Java领域优质创作者&…...
如何把自动获取的ip地址固定
在大多数网络环境中，设备通常会自动从DHCP服务器获取IP地址。这种动态分配IP的方式虽然灵活方便，但在某些特定场景下，我们可能需要将设备的IP地址固定下来，以确保网络连接的稳定性和可访问性。本文将详细介绍如何把自…...
Java应用的数据库死锁问题分析与解决
Java应用的数据库死锁问题分析与解决 大家好，我是微赚淘客返利系统3.0的小编，是个冬天不穿秋裤，天冷也要风度的程序猿！ 数据库死锁是多线程环境中常见的问题，尤其是在复杂的事务处理和数据访问中。死锁发生时&#x…...
ImportError: cannot import name ‘DglNodePropPredDataset‘ from ‘ogb.nodepropp
ImportError: cannot import name DglNodePropPredDataset from ogb.nodepropp 问题： 在跑深度学习时引入这个模块一直报错不能引入， 但看环境相关的包都安装好了，就是读取不到，时间还白白浪费。 解决办法 from ogb.nodeproppr…...
基于SSM（Spring、SpringMVC、MyBatis）框架的高校信息管理系统
基于SSM（Spring、SpringMVC、MyBatis）框架的高校信息管理系统是一个典型的Java Web应用开发项目。这类系统通常需要处理大量的学生、教师及课程信息，并提供相应的管理功能。下面是一个简化的设计方案，旨在帮助你理解如何构建这样的…...
C++第一节入门
一、历史 C是在C上继承拓展的！ java是一家公司（甲骨文）借鉴C生成的！ C#是微软借鉴java生成的！ 二、命名空间 当我们定义一个名叫rand的变量，但是由于stdlib头文件里面有个函数跟rand重名！因此…...
全能型 AI 的崛起：未来的市场宠儿还是昙花一现？
近日，OpenAI 宣布将在秋季推出代号为“草莓”的新一代 AI 模型。这款 AI 被描述为全能型，从处理复杂的数学问题到应对主观性强的营销策略，它的能力可以覆盖多个领域。听起来像是科技界的“万能钥匙”，无论面对什么问题，…...
如何在PPT中插入已经绘制好的excel表格数据
1、新建一个演示文稿 2、点击“插入—对象” 3、点击“由文件创建—浏览” 4、浏览选择电脑上所处理好的excel表格数据 5、这样就可将excel表格数据插入PPT中...
微积分直觉：隐含微分
目录 一、介绍 二、梯子问题 三、结论 四、一个额外的例子 一、介绍 让我们想象一个半径为 5 的圆，以 xy 平面为中心。现在假设我们想在点 （3,4） 处找到一条切线到圆的斜率。 好吧，为了做到这一点，我们必须非常接近圆和…...
未来机器人的大脑：如何用神经网络模拟器实现更智能的决策？
编辑：陈萍萍的公主一点人工一点智能 未来机器人的大脑：如何用神经网络模拟器实现更智能的决策？RWM通过双自回归机制有效解决了复合误差、部分可观测性和随机动力学等关键挑战，在不依赖领域特定归纳偏见的条件下实现了卓越的预测准…...
。】2022-5-15)
【根据当天日期输出明天的日期(需对闰年做判定)。】2022-5-15
缘由根据当天日期输出明天的日期(需对闰年做判定)。日期类型结构体如下： struct data{ int year; int month; int day;};-编程语言-CSDN问答 struct mdata{ int year; int month; int day; }mdata; int 天数(int year, int month) {switch (month){case 1: case 3:…...
Auto-Coder使用GPT-4o完成：在用TabPFN这个模型构建一个预测未来3天涨跌的分类任务
通过akshare库，获取股票数据，并生成TabPFN这个模型 可以识别、处理的格式，写一个完整的预处理示例，并构建一个预测未来 3 天股价涨跌的分类任务 用TabPFN这个模型构建一个预测未来 3 天股价涨跌的分类任务，进行预测并输…...
select、poll、epoll 与 Reactor 模式
在高并发网络编程领域，高效处理大量连接和 I/O 事件是系统性能的关键。select、poll、epoll 作为 I/O 多路复用技术的代表，以及基于它们实现的 Reactor 模式，为开发者提供了强大的工具。本文将深入探讨这些技术的底层原理、优缺点。 一、I…...
视觉slam十四讲实践部分记录——ch2、ch3
ch2 一、使用g++编译.cpp为可执行文件并运行(P30) g++ helloSLAM.cpp ./a.out运行 二、使用cmake编译 mkdir build cd build cmake .. makeCMakeCache.txt 文件仍然指向旧的目录。这表明在源代码目录中可能还存在旧的 CMakeCache.txt 文件，或者在构建过程中仍然引用了旧的路…...
20个超级好用的 CSS 动画库
分享 20 个最佳 CSS 动画库。 它们中的大多数将生成纯 CSS 代码，而不需要任何外部库。 1.Animate.css 一个开箱即用型的跨浏览器动画库，可供你在项目中使用。 2.Magic Animations CSS3 一组简单的动画，可以包含在你的网页或应用项目中。 3.An…...
Unity VR/MR开发-VR开发与传统3D开发的差异
视频讲解链接：【XR马斯维】VR/MR开发与传统3D开发的差异【UnityVR/MR开发教程--入门】_哔哩哔哩_bilibili...
Vue3 PC端 UI组件库我更推荐Naive UI
一、Vue3生态现状与UI库选择的重要性 随着Vue3的稳定发布和Composition API的广泛采用，前端开发者面临着UI组件库的重新选择。一个好的UI库不仅能提升开发效率，还能确保项目的长期可维护性。本文将对比三大主流Vue3 UI库（Naive UI、Element …...
向量几何的二元性：叉乘模长与内积投影的深层联系
在数学与物理的空间世界中，向量运算构成了理解几何结构的基石。叉乘（外积）与点积（内积）作为向量代数的两大支柱，表面上呈现出截然不同的几何意义与代数形式，却在深层次上揭示了向量间相互作用的…...
FTXUI::Dom 模块
DOM 模块定义了分层的 FTXUI::Element 树，可用于构建复杂的终端界面，支持响应终端尺寸变化。 namespace ftxui {...// 定义文档 定义布局盒子 Element document vbox({// 设置文本 设置加粗 设置文本颜色text("The window") | bold | color(…...