מה המונח המקצועי לאיתור שמות משתמשים על ידי בדיקה של מספרים והרצה של כל מספרי הטלפון האפשריים?
User Enumeration
בנוסף גילה החוקר כי בניגוד לנהוג, הוא הצליח לשלוח בקשת איפוס הסיסמה יותר משלוש פעמים ברצף – מה שלרוב גורם לחסימה של החשבון, אבל בפועל לא קרה באפליקציות של Fizikal. לאחר מכן ביצע אביטן תהליך של User Enumeration, כלומר, איתור שמות משתמשים על ידי בדיקה של מספרים והרצה של כל מספרי הטלפון האפשריים. לאחר מכן הוא שלח SMS עם ה-OTP למספר עם חשבון באפליקציה (המספר שלו כמובן, הוא לא פרץ לחשבון של מתאמנים תמימים), והריץ Brute Force כדי להגיע למספר הנכון – פעולה שלדבריו לקחה דקה אחת בדיוק. לאחר הזנת ה-OTP הנכון וקבלת ה-ID Token הוא יכל בקלות לשנות את הסיסמה ולהשתלט על החשבון מרחוק.
User Enumeration הוא המונח המקצועי לאיתור שמות משתמשים על ידי בדיקה של מספרים והרצה של כל מספרי הטלפון האפשריים.