登录认证模块之登录失败信息

布满荆棘的人生 2022-12-16 03:54 330阅读 0赞

### 登录失败信息介绍 ###

*  在用户登录系统失败时，系统会在页面显示用户登录的失败信息。

例如一︰提交帐号在系统中不存在，系统提示登录失败信息:“用户名不存在”、“帐号不存在”等明确信息。
    例如二:提交帐号在系统中存在，则系统提示登录失败信息:“密码/口令错误”等间接提示信息.

![在这里插入图片描述][20201018143945524.png_pic_center]

### 危害 ###

*  当系统存在登录功能，并且没有做好对应的模糊登录失败提示，会导致攻击者可根据此类登录失败提示信息内容，
 *  来判断当前登录帐号是否在系统中存在，从而进行有针对性的暴力破解口令测试。
 *  进行系统用户登录

### 登录认证失败信息测试流程图 ###

*  如果没有设定验证码的有效期，会导攻击通过无限次猜解验证码来实现暴力破解，
 *  而果没有设置单位时间内错误次数的上限，攻击者也可通过同时开启多个攻击模块来进行分布式暴力破解，从而实现据在验证码有效时间范围内完成破解。  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70_pic_center]

### 测试实例 ###

**案例：**

*  根据登录失败语句信息猜测帐号是否存在，对猜测存在的帐号进行暴力破解测试。

**测试方法：**

*  1、根据登录失败语句信息猜测出存在帐号。
 *  2、针对系统存在帐号进行配置弱口令密码表。
 *  3、观察帐号密码破解是否成功，并尝试对破解成功帐号进行登录。  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70_pic_center 1]

### 防御方案 ###

*  1、对系统登录失败提示语句表达内容进行统一的模糊描述，从而提高攻击者对登录系统用户名及密码的可猜测难度。如:“登录帐号或密码错误”、“系统登录失败”等。
 *  2、建议采用锁定机制：如限制单位时间内执行某项操作的次数（如果次数超过则对账号或IP进行一段时间的锁定，锁定时间内不得使用相关功能，应对限制方式、次数和计算方法、锁定时间等进行明确的说明。

### 摘抄 ###

--------------------

有时候我们以为放弃的是一段感情，

其实我们放弃的是一种人生。

– 吴念真 《这些人，那些事》

--------------------

[20201018143945524.png_pic_center]: /images/20221123/7b570ea5e5684f3fb0352262fa5058a3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70_pic_center]: /images/20221123/024506ad0abd42bfb3e509ac8b493918.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxOTAxMTIy_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221123/8fb1c9a873ae4b88a7422e5f3c8539f8.png