Transcript · English → Spanish
Bypassing Two-Factor Authentication Techniques
Voy a mostrarte cómo los hackers eluden la autenticación de dos factores.
Este método específico funciona incluso si tienes la contraseña más segura del
mundo
entero. Esto es solo con fines educativos,
y nunca deberías
usar esto para dañar a nadie. Piensa en este método como en tener una
pulsera en un
parque de atracciones para demostrar que puedes subir a las atracciones,
en vez de tener que
mostrar tu identificación cada vez.
Este método se llama secuestro de sesión.
Aquí tienes el ataque en un entorno de prueba vulnerable.
En tu primera cuenta, haz clic derecho en cualquier lugar de la página
y selecciona
Inspeccionar, o pulsa Control más Mayús más I.
Esto abre las herramientas de desarrollo. Ve a la pestaña Aplicación y luego a
Cookies. Verás el ID de sesión. Copia ese valor.
Ahora abre otro navegador en el que hayas iniciado sesión con otra cuenta.
Ve al mismo sitio, abre la misma sección de cookies,
busca el ID de sesión, y sustitúyelo por el que copiaste
de la primera
cuenta. Actualiza la página. Ahora has iniciado sesión en la
primera cuenta. Has eludido por completo la contraseña y la autenticación de dos
factores. Así de fácil, ya estás dentro. Esto es
exactamente por qué nunca debes dejar la sesión iniciada en ordenadores públicos.
Cierra siempre la sesión en todos los dispositivos y ten cuidado con las redes Wi-Fi
públicas. Esto solo fue un vistazo.
Si quieres dominar realmente estas técnicas y entender la ciberseguridad
desde cero,
te enseño todo esto a fondo en mi boot
camp.
Enlace en la bio si quieres ir más allá de lo básico.
End of transcript · 273 words · machine translated
Original transcript (English)
I'm gonna show you how hackers bypass two-factor authentication. This specific method works even if you have the strongest password in the entire world. This is for educational purposes only, and you should never
use this to harm anyone. Think of this method like having a wristband at a theme park to prove that you can go on the rides, rather than having to show your ID each time.
This method is called session hijacking. Here's the attack on a vulnerable test environment. On your first account, right-click anywhere on the page and select Inspect, or press Control plus Shift plus I.
This opens Developer Tools. Go to the Application tab, then Cookies. You'll see the session ID. Copy that value. Now open another browser where you're logged into a different account. Navigate to the same site, open the same Cookies section, find the session ID, and replace it with the one you copied
from the first account. Refresh the page. You're now logged into the first account. You completely bypass the password and two FA. You're in, just like that. This is exactly why you should never stay logged in on public computers.
Always sign out of all devices regularly and be careful on public Wi-Fi. Now, this was just a glimpse. If you want to really master these techniques and understand cybersecurity from the ground up, I teach all of this in depth in my boot
camp. Link in bio if you wanna go further than just the basics.
