当前位置： 首页 > news >正文

【网络安全】漏洞挖掘之 2FA 恢复代码安全措施不当

news 2026/4/1 13:54:44

未经许可，不得转载。

文章目录

    • 正文

正文

目标：example.com

2024年6月，我在HackerOne上参与一个私人项目时发现了一个与2FA（双因素身份验证）恢复代码管理相关的安全漏洞。该漏洞发生在用户禁用并重新启用2FA的过程中。问题在于，系统在2FA重新启用后，仍然接受此前生成的旧恢复代码，从而允许攻击者绕过2FA验证，未经授权地访问用户账户。

漏洞重现步骤：
1.启用2FA：在用户账户上设置双因素身份验证并生成恢复代码。

2.保存代码：将这些恢复代码妥善存储。

3.禁用2FA：禁用账户上的2FA。

4.重新启用2FA：重新激活该账户的双因素身份验证。

5.退出登录：从账户中退出。

6.登录尝试：尝试使用旧的恢复代码重新登录账户。

尽管账户的2FA已重新启用，旧的恢复代码仍然有效，这使得攻击者能够轻松绕过安全验证。

影响&#

相关文章：

【网络安全】漏洞挖掘之 2FA 恢复代码安全措施不当

未经许可，不得转载。 文章目录 正文正文 目标：example.com 2024年6月，我在HackerOne上参与一个私人项目时发现了一个与2FA（双因素身份验证）恢复代码管理相关的安全漏洞。该漏洞发生在用户禁用并重新启用2FA的过程中。问题在于，系统在2FA重新启用后，仍然接受此前生成的…...

编程日记 2024/9/9 10:53:03

指令微调与参数微调的代码实践与分析

文章目录 指令微调的实验性分析LoRA 代码实践与分析指令微调的示例代码与预训练的代码高度一致，区别主要在于指令微调数据集的构建（SFTDataset）和序列到序列损失的计算（DataCollatorForSupervisedDataset）。以下代码展示了 LLMBox 和 YuLan-Chat 中指令微调的整体训练流程…...

编程日记 2024/9/9 10:51:01

Android14音频进阶之高通Elite架构指定通道播放(八十四)

简介： CSDN博客专家、《Android系统多媒体进阶实战》一书作者 新书发布：《Android系统多媒体进阶实战》🚀 优质专栏： Audio工程师进阶系列【原创干货持续更新中……】🚀 优质专栏： 多媒体系统工程师系列【原创干货持续更新中……】🚀 优质视频课程：AAOS车载系统+…...

编程日记 2024/9/9 10:42:53

常见的正则化方法以及L1，L2正则化的简单描述

深度学习中的正则化是通过在模型训练过程中引入某些技术来防止模型过拟合的一种策略。过拟合是指模型在训练数据上表现非常好，但在新的、未见过的数据上表现不佳。正则化通过限制模型的复杂度或对模型参数施加约束，从而提高模型的泛化能力。 常见的正则…...

编程日记 2024/9/9 10:40:51

深入理解 Milvus：新一代向量数据库的基础技术与实战指南

一、什么是 Milvus？ Milvus 是一个开源的向量数据库，专门设计用于存储和检索大规模的高维向量数据。无论是图像、视频、音频还是文本，通过将这些数据转换为向量，Milvus 都能通过近似最近邻搜索（Approximate Nearest N…...

编程日记 2024/9/9 10:37:48

Maven教程——从入门到入坑

第1章 为什么要使用Maven 1.1 获取第三方jar包   开发中需要使用到的jar包种类繁多，获取jar包的方式都不尽相同。为了查找一个jar包找遍互联网，身心俱疲。不仅如此，费劲心血找到的jar包里有的时候并没有你需要的那个类，又或者有…...

编程日记 2024/9/9 10:31:43

研究生深度学习入门的十天学习计划------第九天

第9天：深度学习中的迁移学习与模型微调 目标： 理解迁移学习的核心概念，学习如何在实际应用中对预训练模型进行迁移和微调，以应对不同领域的任务。 9.1 什么是迁移学习？ 迁移学习（Transfer Learning&#…...

编程日记 2024/9/9 10:29:40

perl的学习记录——仿真regression

1 记录的背景 之前只知道有这个强大语言的存在，但一直侥幸自己应该不会用到它，所以一直没有开始学习。然而人生这么长，怎就确定自己不会用到呢？ 这次要搭建一个可以自动跑完所有case并且打印每个case的pass信息到指定的文件中。…...

编程日记 2024/9/9 10:28:39

【Go】go连接clickhouse使用TCP协议

离开你是傻是对是错 是看破是软弱 这结果是爱是恨或者是什么 如果是种解脱 怎么会还有眷恋在我心窝 那么爱你为什么 🎵 黄品源/莫文蔚《那么爱你为什么》 package mainimport ("context""fmt""log""time&q…...

编程日记 2024/9/9 10:27:38

Emlog-Pro访问网站时需要密码验证插件

插件介绍 EmlogPro访问网站密码验证插件，为你的网站添加输入密码访问网站功能，在应用中的场景往往运用在为内部或是个人使用的页面里面，在访问的时候可以提示输入密码，做隐私保护。 下载地址： Emlog-Pro访问网站时需…...

编程日记 2024/9/9 10:25:36

Apache ShardingSphere数据分片弹性伸缩加解密中间件

Apache ShardingSphere Apache ShardingSphere 是一款分布式 SQL 事务和查询引擎，可通过数据分片、弹性伸缩、加密等能力对任意数据库进行增强。 软件背景 ShardingSphere是一套开源的分布式数据库中间件解决方案组成的生态圈，它由Sharding-JDBC、Sharding-Proxy和Sharding…...

编程日记 2024/9/9 10:24:35

Django+Vue家居全屋定制系统的设计与实现

目录 1 项目介绍2 项目截图3 核心代码3.1 需要的环境3.2 Django接口层3.3 实体类3.4 config.ini3.5 启动类3.5 Vue 4 数据库表设计5 文档参考6 计算机毕设选题推荐7 源码获取 1 项目介绍 博主个人介绍：CSDN认证博客专家，CSDN平台Java领域优质创作者&…...

编程日记 2024/9/9 10:23:34

如何把自动获取的ip地址固定

在大多数网络环境中，‌设备通常会自动从DHCP服务器获取IP地址。‌这种动态分配IP的方式虽然灵活方便，‌但在某些特定场景下，‌我们可能需要将设备的IP地址固定下来，‌以确保网络连接的稳定性和可访问性。‌本文将详细介绍如何把自…...

编程日记 2024/9/9 10:19:27

Java应用的数据库死锁问题分析与解决

Java应用的数据库死锁问题分析与解决 大家好，我是微赚淘客返利系统3.0的小编，是个冬天不穿秋裤，天冷也要风度的程序猿！ 数据库死锁是多线程环境中常见的问题，尤其是在复杂的事务处理和数据访问中。死锁发生时&#x…...

编程日记 2024/9/9 10:18:26

ImportError: cannot import name ‘DglNodePropPredDataset‘ from ‘ogb.nodepropp

ImportError: cannot import name DglNodePropPredDataset from ogb.nodepropp 问题： 在跑深度学习时引入这个模块一直报错不能引入， 但看环境相关的包都安装好了，就是读取不到，时间还白白浪费。 解决办法 from ogb.nodeproppr…...

编程日记 2024/9/9 10:17:25

基于SSM（Spring、SpringMVC、MyBatis）框架的高校信息管理系统

基于SSM（Spring、SpringMVC、MyBatis）框架的高校信息管理系统是一个典型的Java Web应用开发项目。这类系统通常需要处理大量的学生、教师及课程信息，并提供相应的管理功能。下面是一个简化的设计方案，旨在帮助你理解如何构建这样的…...

编程日记 2024/9/9 10:11:17

C++第一节入门

一、历史 C是在C上继承拓展的！ java是一家公司（甲骨文）借鉴C生成的！ C#是微软借鉴java生成的！ 二、命名空间 当我们定义一个名叫rand的变量，但是由于stdlib头文件里面有个函数跟rand重名！因此…...

编程日记 2024/9/9 10:07:50

全能型 AI 的崛起：未来的市场宠儿还是昙花一现？

近日，OpenAI 宣布将在秋季推出代号为“草莓”的新一代 AI 模型。这款 AI 被描述为全能型，从处理复杂的数学问题到应对主观性强的营销策略，它的能力可以覆盖多个领域。听起来像是科技界的“万能钥匙”，无论面对什么问题&#xff0c…...

编程日记 2024/9/9 10:06:39

如何在PPT中插入已经绘制好的excel表格数据

1、新建一个演示文稿 2、点击“插入—对象” 3、点击“由文件创建—浏览” 4、浏览选择电脑上所处理好的excel表格数据 5、这样就可将excel表格数据插入PPT中...

编程日记 2024/9/9 10:05:14

微积分直觉：隐含微分

目录 一、介绍 二、梯子问题 三、结论 四、一个额外的例子 一、介绍 让我们想象一个半径为 5 的圆，以 xy 平面为中心。现在假设我们想在点 （3,4） 处找到一条切线到圆的斜率。 好吧，为了做到这一点，我们必须非常接近圆和…...

编程日记 2024/9/9 9:55:23

资源提取高效解析与跨设备管理：猫抓浏览器扩展的技术实践

资源提取高效解析与跨设备管理：猫抓浏览器扩展的技术实践 【免费下载链接】cat-catch 猫抓 浏览器资源嗅探扩展 / cat-catch Browser Resource Sniffing Extension 项目地址: https://gitcode.com/GitHub_Trending/ca/cat-catch 在数字化内容爆炸的今天&…...

编程新知 2026/4/1 13:00:31

ESP32组件化开发实战：从零构建高效项目结构

1. 为什么需要组件化开发？ 第一次接触ESP32开发时，我习惯把所有代码都塞进main文件夹里。结果项目稍微复杂点就乱成一锅粥，每次修改都要在几十个文件里翻找，不同功能模块互相纠缠，想复用某个传感器驱动都得连带着拷贝…...

编程新知 2026/4/1 12:28:17

突破网页资源提取困境：猫抓工具解密流媒体下载全攻略

突破网页资源提取困境：猫抓工具解密流媒体下载全攻略 【免费下载链接】cat-catch 猫抓 浏览器资源嗅探扩展 / cat-catch Browser Resource Sniffing Extension 项目地址: https://gitcode.com/GitHub_Trending/ca/cat-catch 你是否曾为无法保存在线课程视频而…...

编程新知 2026/4/1 11:33:41

电容耦合等离子刻蚀（CCP）在先进芯片制造中的关键作用与工艺优化

1. 电容耦合等离子刻蚀（CCP）技术解析 第一次接触CCP刻蚀设备时，我被它那看似简单却暗藏玄机的结构震撼到了——两块金属电极板，加上射频电源，就能实现纳米级的精密加工。这种利用电容耦合原理产生等离子体的技术&#…...

编程新知 2026/4/1 11:07:28

forkrun：革新数据处理，突破传统并行工具性能瓶颈

【导语：forkrun 作为一款自调优工具，可直接替代 GNU Parallel 和 xargs -P。它在现代 CPU 上能显著提升基于 Shell 的数据准备速度，尤其在 NUMA 架构上表现出色，为数据处理领域带来了新的变革。】数据处理速度的飞跃：5…...

编程新知 2026/4/1 11:05:26

抽象推理终极指南：10个ARC经典案例解析助你掌握核心技巧

抽象推理终极指南：10个ARC经典案例解析助你掌握核心技巧 【免费下载链接】ARC-AGI The Abstraction and Reasoning Corpus 项目地址: https://gitcode.com/GitHub_Trending/ar/ARC-AGI 抽象与推理语料库（ARC）是一个专门用于评估通用人…...

编程新知 2026/4/1 10:43:09

Qwen3-0.6B-FP8详细步骤：WebUI中max_new_tokens参数设置避坑指南

Qwen3-0.6B-FP8详细步骤：WebUI中max_new_tokens参数设置避坑指南 1. 引言：一个参数引发的“血案” 最近在折腾Qwen3-0.6B-FP8这个轻量级模型时，我遇到了一个挺有意思的问题。当时我正在测试它的“思考模式”——就是那个能展示模型内部推理…...

编程新知 2026/4/1 10:41:09

如何用StreamCap实现多平台直播内容的自动捕获与管理

如何用StreamCap实现多平台直播内容的自动捕获与管理 【免费下载链接】StreamCap Multi-Platform Live Stream Automatic Recording Tool | 多平台直播流自动录制客户端 基于FFmpeg 支持监控/定时/转码 项目地址: https://gitcode.com/gh_mirrors/st/StreamCap 在数字…...

编程新知 2026/4/1 9:29:58

Qwen3.5-9B镜像免配置实战：Docker化迁移与端口映射最佳实践

Qwen3.5-9B镜像免配置实战：Docker化迁移与端口映射最佳实践 1. 项目概述 Qwen3.5-9B是一个拥有90亿参数的开源大语言模型，具备强大的逻辑推理、代码生成和多轮对话能力。该模型支持多模态理解（图文输入）和长上下文处理&#xff…...

编程新知 2026/4/1 8:59:13

Fish Speech 1.5 Web界面保姆级教程：上传参考音频→文本对齐→语音生成全链路

Fish Speech 1.5 Web界面保姆级教程：上传参考音频→文本对齐→语音生成全链路 你是不是也想用AI生成和自己声音一模一样的语音？Fish Speech 1.5就能帮你实现这个愿望！这个强大的语音合成工具不仅能生成自然流畅的语音，还能通过参…...

编程新知 2026/4/1 8:36:45