Bruteforcing the phone number of any Google user
a year ago
- #brute-force
- #vulnerability
- #security
- 发现谷歌用户名恢复表单存在无需JavaScript即可利用的漏洞
- 该表单允许通过两个HTTP请求验证恢复电话号码是否关联显示名称
- 初始暴力破解尝试因IP速率限制和验证码机制而受阻
- 探索使用IPv6通过轮换IP地址绕过速率限制
- 发现使用JS版表单的BotGuard令牌可绕过无JS表单的请求限制
- 开发概念验证工具(gpb)利用显示名和电话提示暴力破解号码
- 通过Looker Studio识别谷歌账户显示名泄露方法及从电话掩码推断国家代码
- 使用libphonenumber验证和实时BotGuard令牌生成优化暴力破解流程
- 实现每秒约4万次验证的破解速度，根据国家代码缩短所需时间
- 向谷歌提交漏洞报告，获5000美元奖金并最终促使无JS表单停用