密码输完了就算登录吗？MFA 的中间态

作者：ran ｜ 首发：FreeBuf ｜ 类型：原创
关键词：MFA、半认证状态、动态码爆破、验证码重放、恢复码、速率限制

摘要：两步登录里，密码通过之后那个会话不是"已登录"，而是半认证。自建靶场上四条路全部跑通：半认证会话能碰到 3 个受保护接口、6 位动态码