20.用户枚举漏洞
漏洞名称
用户枚举漏洞
漏洞地址
https://www.acunetix.com/support/build-history/
漏洞等级
中危
漏洞描述
由于错误配置或设计缺陷，当向应用系统提交有效用户名和无效用户名时，服务器会有不同的响应。利用响应的不同，攻击者可以获取到应用系统已经存在的用户，可用于暴力破解，进一步获取用户的登录密码。
漏洞成因
由于错误配置或设计缺陷，当向应用系统提交有效用户名和无效用户名时，服务器会有不同的响应。
漏洞危害
利用响应的不同，攻击者可以获取到应用系统已经存在的用户，可用于暴力猜解，进一步获取用户的登录密码。
修复方案
对系统登录失败提示语句表达内容进行统一的模糊描述处理，从而提高攻击者对登录系统用户名及密码的可猜测难度，如“登录账号或密码错误”、“系统登录失败”等。
测试过程
用户枚举漏洞的检测比较简单，只需用不同的用户名去登录，查看服务器响应是否有差异即可（查看页面、查看响应包等）。
有效用户名
输入应用系统存在的用户名和任意密码，应用系统响应【密码错误】。
无效用户名
输入应用系统不存在的用户名和任意密码，应用系统响应【用户名不存在】。
有效用户名和无效用户名的系统响应存在差异，这就表示应用系统存在用户枚举漏洞。简单的测试，我们就获取到了系统已经存在的admin账户，而且依据经验判断，admin很可能是应用系统管理账户。我们可以用字典去爆破admin的登录密码，也可以继续枚举应用系统存在的其他用户名，进一步确定可攻击对象。
复测情况
测试人员
南风向晚
粉丝主动打赏看这里
全系列共105篇，持续更新中
原文始发于微信公众号（利刃藏锋）：用户枚举漏洞
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论