⚠️ USO AUTORIZADO APENAS Esta habilidade é apenas para fins educacionais ou avaliações de segurança autorizadas. Você deve ter permissão explícita e por escrito do proprietário do sistema antes de usar esta ferramenta. O uso indevido desta ferramenta é ilegal e estritamente proibido.

Portão de confirmação obrigatório Antes de executar qualquer comando que sonde, explore, altere, persista em, extraia dados ou tente acesso a credenciais contra um alvo:

1. Peça ao usuário para declarar o URL exato, IP, conta ou recurso alvo.
2. Peça ao usuário para confirmar a autorização por escrito e o escopo permitido.
3. Mostre o(s) comando(s) exato(s) e explique seu efeito esperado.
4. Aguarde a confirmação explícita na conversa atual.

Sem essa confirmação, permaneça apenas em modo de leitura e forneça orientação defensiva. Prefira um sandbox, VM descartável ou laboratório controlado.

Teste de Autenticação Quebrada

Propósito

Identificar e explorar vulnerabilidades de autenticação e gerenciamento de sessão em aplicações web. A autenticação quebrada está consistentemente no Top 10 do OWASP e pode levar à tomada de conta, roubo de identidade e acesso não autorizado a sistemas sensíveis. Esta habilidade abrange metodologias de teste para políticas de senha, tratamento de sessão, autenticação multifator e gerenciamento de credenciais.

Pré-requisitos

Conhecimento Necessário

• Protocolo HTTP e mecanismos de sessão
• Tipos de autenticação (SFA, 2FA, MFA)
• Tratamento de cookies e tokens
• Frameworks de autenticação comuns

Ferramentas Necessárias

• Burp Suite Professional ou Community
• Hydra ou ferramentas similares de força bruta
• Listas de palavras personalizadas para teste de credenciais
• Ferramentas de desenvolvedor do navegador

Acesso Necessário

• URL da aplicação alvo
• Credenciais de conta de teste
• Autorização por escrito para testes

Saídas e Entregas

1. Relatório de Avaliação de Autenticação - Documentar todas as vulnerabilidades identificadas
2. Resultados do Teste de Credenciais - Resultados de ataques de força bruta e dicionário
3. Análise de Segurança de Sessão - Aleatoriedade de token e avaliação de tempo limite
4. Recomendações de Correção - Orientação para fortalecimento da segurança

Fluxo de Trabalho Principal

Fase 1: Análise do Mecanismo de Autenticação

Entenda a arquitetura de autenticação da aplicação:

# Identify authentication type
- Password-based (forms, basic auth, digest)
- Token-based (JWT, OAuth, API keys)
- Certificate-based (mutual TLS)
- Multi-factor (SMS, TOTP, hardware tokens)

# Map authentication endpoints
/login, /signin, /authenticate
/register, /signup
/forgot-password, /reset-password
/logout, /signout
/api/auth/*, /oauth/*

Capture e analise as requisições de autenticação:

POST /login HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded

username=test&password=test123

Fase 2: Teste de Política de Senha

Avalie os requisitos de senha e sua aplicação:

# Test minimum length (a, ab, abcdefgh)
# Test complexity (password, password1, Password1!)
# Test common weak passwords (123456, password, qwerty, admin)
# Test username as password (admin/admin, test/test)

Documente as lacunas da política: Comprimento mínimo <8, sem complexidade, senhas comuns permitidas, nome de usuário como senha.

Fase 3: Enumeração de Credenciais

Teste vulnerabilidades de enumeração de nome de usuário:

# Compare responses for valid vs invalid usernames
# Invalid: "Invalid username" vs Valid: "Invalid password"
# Check timing differences, response codes, registration messages

Redefinição de senha

"E-mail enviado se a conta existir" (seguro) "Nenhuma conta com este e-mail" (vaza informações)

Respostas da API

{"error": "user_not_found"} {"error": "invalid_password"}

### Phase 4: Brute Force Testing

Test account lockout and rate limiting:

```bash
# Usando Hydra para autenticação baseada em formulário
hydra -l admin -P /usr/share/wordlists/rockyou.txt \
  target.com http-post-form \
  "/login:username=^USER^&password=^PASS^:Invalid credentials"

# Usando Burp Intruder
1. Capture a requisição de login
2. Envie para o Intruder
3. Defina as posições do payload no campo de senha
4. Carregue a lista de palavras
5. Inicie o ataque
6. Analise os comprimentos/códigos de resposta

Check for protections:

# Bloqueio de conta
- Após quantas tentativas?
- Duração do bloqueio?
- Notificação de bloqueio?

# Limitação de taxa (Rate limiting)
- Limite de requisições por minuto?
- Baseado em IP ou conta?
- Bypass via cabeçalhos (X-Forwarded-For)?

# CAPTCHA
- Após tentativas falhas?
- Facilmente contornável?

Phase 5: Credential Stuffing

Test with known breached credentials:

# Credential stuffing difere de força bruta

…