官方公众号企业安全新浪微博
FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。
FreeBuf+小程序
每日漏洞 | 用户枚举
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
0
1
2
3
4
5
6
7
8
9
每日漏洞 | 用户枚举
本文由
FreeBuf_319190 创作，已纳入「FreeBuf原创奖励计划」，未授权禁止转载
01 漏洞描述
由于错误配置或设计缺陷，当向系统提交有效账户和无效账户时，服务器会有不同的响应。利用响应的不同，攻击者可以获取到系统已经存在的账户，可用于暴力破解，进一步获取账户的登录密码。
02 漏洞检测
用户枚举漏洞的检测比较简单，只需用不同的账户去登录，查看服务器响应是否有差异即可（查看页面、查看响应包等）。
有效账户
输入系统存在的账户和任意密码，系统响应密码错误。
无效账户
输入系统不存在的账户和任意密码，系统响应用户名不存在。
有效账户和无效账户的系统响应存在差异，这就表示系统存在用户枚举漏洞。简单的测试，我们就获取到了系统已经存在的admin账户，而且按照国际流程，admin很可能是系统管理账户。我们可以用字典去爆破admin的登陆密码，也可以继续枚举系统存在的其他账户，进一步确定可攻击对象。
附带一下以前遇到过的情况。输入admin账户时，不仅会提示用户名或密码不正确，还会提示还有几次登录机会。
但输入其他账户时，只会提示用户名或密码不正确。
这种情况，别的不敢肯定，但admin账户一定存在。
03 漏洞修复
统一身份验证失败时的响应，如：用户名或密码错误。
免责声明
1.一般免责声明：本文所提供的技术信息仅供参考，不构成任何专业建议。读者应根据自身情况谨慎使用且应遵守《中华人民共和国网络安全法》，作者及发布平台不对因使用本文信息而导致的任何直接或间接责任或损失负责。
2. 适用性声明：文中技术内容可能不适用于所有情况或系统，在实际应用前请充分测试和评估。若因使用不当造成的任何问题，相关方不承担责任。
3. 更新声明：技术发展迅速，文章内容可能存在滞后性。读者需自行判断信息的时效性，因依据过时内容产生的后果，作者及发布平台不承担责任。
FreeBuf_319190
安全小白团：小白学习基地
公众号：noobsec
已在FreeBuf发表 21 篇文章
本文为 FreeBuf_319190 独立观点，未经授权禁止转载。
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf 客服小蜜蜂（微信：freebee1024）
如需授权、对文章有疑问或需删除稿件，请联系 FreeBuf 客服小蜜蜂（微信：freebee1024）
被以下专辑收录，发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
安全小白团
相关推荐
FreeBuf_319190 LV.1
安全小白团：小白学习基地
公众号：noobsec
- 21 文章数
- 49 关注者
信息收集之js文件
2019-09-12
每日漏洞 | 会话固定
2019-05-06
每日漏洞 | 跨站脚本攻击
2019-05-06