实验室：2FA损坏的逻辑

1. Burp运行后，登录您自己的帐户并调查2FA验证过程。请注意，在发布 /登录2请求，核实参数用于确定正在访问哪个用户帐户。
2. 注销您的帐户。
3. 发送get /login2请求打burp burp。改变价值核实参数为卡洛斯并发送请求。这样可以确保为Carlos生成临时的2FA代码。
4. 转到登录页面，输入您的用户名和密码。然后，提交无效的2FA代码。
5. 发送发布 /登录2要求打入侵者。
6. 在Burp Intruder中，设置核实参数为卡洛斯并在MFA代码范围。蛮力验证代码。
7. 将302响应加载到您的浏览器中。
8. 点击我的帐户解决实验室。

迈克尔·索默（Michael Sommer）