reset

CSS 的 all 屬性

查資料注意到 CSS 的 all 屬性可以用來清除網站上的設定 (通常需要加上邪惡的 !important)，剛好搭配 uBlock Origin 的 :style，可以很方便的用自訂規則處理掉：

www.example.com##div.foo:style(all: initial !important;)

當然這也可以用在 UserCSS 上面。

從 Can I Use? 這邊看起來兩個陣營大概都是 2014 年就支援這個屬性了，所以自己用的話不用太在意相容性的問題：「CSS all property」。

GitLab.com 將不支援免費使用者的 2FA reset

好像是在 Hacker News 的首頁上看到的，GitLab 宣佈他們的服務將不提供免費使用者 2FA reset：「GitLab Support is no longer processing MFA resets for free users」，對應的討論串在「Gitlab Support is no longer processing MFA resets for free users (gitlab.com)」這邊可以看到。

官方的公告，從今年的 8/15 開始就不再提供 reset：

As of Aug. 15th, 2020, GitLab Support will no longer process MFA resets for free accounts.

這反而是鼓勵使用者不要開啟 2FA，在討論裡面有人就講到這件事情，這個方法讓設定 2FA 的人受到處罰：

Think about the psychology of what you are telling people: "You have two choices - one is normal security, which you use on 80%+ of the rest of the internet, and one is 2fa which you only use on the annoying services that badger you into it. On the first one, if you lose your password you can do a password reset. On the second one, if your laptop and phone get fried in a rainstorm / car crash / act of children, you lose access to everything forever, no recourse and no recovery. And by the way, we totally encourage you to choose the second one... "

主因是，不是每個用 2FA 的人都知道要怎麼保護自己的帳號：像是同時有多把硬體的 U2F 放在不同地方，並且還有手機的 TOTP，另外還會把 backup code 放到安全的地方。

這次可以看出來 GitLab 的安全概念其實又出包了...

把 FreeOTP 搞掛了，只好換一套...

再弄 WordPress 的 U2F 時發現他也可以共存其他 2FA 機制 (也就是可以挑一種方式當 2FA，像是 TOTP)，就開始重設 OTP...

結果手賤把 FreeOTP 的 ' 改成 ' (因為看起來不順眼 XD)，就遇到「FreeOTP stuck crashing at startup if name contains certain characters · Issue #100 · freeotp/freeotp-ios」這個問題，結果 FreeOTP 直接閃退開不起來，而且沒有 workaround 的方式存取其他的 OTP token...

找了一下替代方案，目前先用「mattrubin/Authenticator: Two-Factor Authentication Client for iOS」這套了，要注意有同名而且界面很像的 app 在上面，要確認作者名稱...

然後接下來就是一連串 reset 2FA token 的步驟了，有些當初沒有留 backup code 超麻煩 @_@

重設密碼 + Social Engineering

在「The password reset MitM attack」這邊看到 PRMitM (Password Reset Man-in-the-Middle) 這樣的攻擊，原始論文在「The Password Reset MitM Attack」這邊可以取得。

用圖說明基本版的攻擊方式：

另外列出了各大站台的狀態：

以及各家簡訊的文字，可以發現不是每一家都有把產品的名稱寫上去：

這方法好有趣啊... XD

大量破解 Facebook 帳號的方法

Facebook 安全設計上的問題造成的重大漏洞：「Hacker reveals How He Could have Hacked Multiple Facebook Accounts」。

攻擊者先用很多 proxy 去打出哪些 id 是有效的：

Gurkirat first collected valid Facebook IDs by making queries to Facebook Graph API starting with 100,000,000,000,000, since Facebook IDs are generally 15-digit long and then visited www.facebook.com/[ID] with a valid ID number in place of [ID].

這樣他就順利打出兩百萬個帳號：

Once entered, the URL automatically redirected and changed the Facebook ID to the user's username. In this way, first, he was able to make a list of 2 Million valid Facebook usernames.

接下對這些帳號發出重設密碼的需求，並且開始亂猜六碼數字 (也是透過大量的 proxy)：

Then using a script, hundreds of proxies and random user-agents, Gurkirat automatically initiated the password reset requests for those 2 million users, each assigned a 6-digit password reset code, thus consuming the complete 6-digit range.

然後就打出一票來了：