身份验证是应用安全边界的入口。它决定请求者是谁授权则在身份确认之后决定该用户可以访问哪些数据、执行哪些操作。本章围绕密码登录展开重点分析三类问题攻击者如何识别有效用户名、如何提高密码猜测效率以及限速与账户锁定为什么可能因逻辑缺陷而失效。PortSwigger Lab 只用于验证这些通用机制重点不在记忆具体操作而在理解认证系统暴露了哪些可观察差异。一、身份验证的安全边界1. 什么是身份验证身份验证Authentication是确认用户或客户端真实身份的过程。常见认证因素分为三类知识因素用户知道的信息例如密码、安全问题答案。持有因素用户持有的实体例如手机、硬件令牌。固有因素用户自身的特征例如生物识别或行为模式。只使用密码属于单因素认证。系统一旦将“知道密码”等同于“身份可信”密码的泄露、猜中或验证逻辑绕过就会直接导致账户失陷。2. Authentication 与 Authorization两者保护的是不同阶段Authentication 确认“你是谁” ↓ Authorization 确认“你能做什么”例如系统首先验证登录者是否确实为Carlos123然后再根据该账户的权限判断其能否读取其他用户资料、删除账户或进入管理后台。认证漏洞与越权漏洞不能混为一谈未登录却进入账户属于认证绕过。已登录普通用户执行管理员操作属于授权缺陷。攻击者获取管理员凭据后正常登录则是认证系统失陷后获得高权限。3. 身份验证漏洞如何产生身份验证漏洞通常来自两类问题。第一类是认证凭据强度不足或暴力破解防护薄弱例如没有限速、密码可预测、账户锁定机制容易绕过。第二类是实现中的逻辑错误使攻击者能够跳过正常认证流程也就是 Broken Authentication。身份验证位于所有登录后功能之前因此即使是很小的响应差异或计数错误也可能被放大为完整的账户接管。4. 漏洞影响高权限账户被接管后攻击者可能控制整个应用甚至进一步接触内部基础设施。低权限账户同样具有安全价值可以暴露用户隐私或商业数据可以进入公开页面无法访问的内部功能可以提供更大的后续攻击面泄露的凭据可能在其他系统中被重复使用。因此评估认证漏洞时不能只看当前账户拥有多少敏感数据还要分析登录后新增的功能和信任关系。二、密码认证与暴力破解密码登录的基本假设是用户名标识账户 只有账户所有者知道正确密码 登录者身份可信只要攻击者能够获得或猜中一组有效凭据这个假设就会失效。暴力破解并不只是遍历所有可能字符。实际攻击通常结合公开信息、常见用户名、密码泄露数据和用户行为规律以缩小搜索范围。1. 用户名为什么容易预测企业用户名经常遵循固定格式例如firstname.lastnameexample.com管理员账户还可能直接使用admin administrator support应用自身也可能公开用户名线索例如无需登录即可访问的用户资料页面作者名称与登录用户名相同HTTP 响应中包含员工邮箱管理员或技术支持人员的信息被公开展示。用户名本身不一定被视为秘密但一旦确认某个用户名有效后续密码攻击的范围就从“用户名和密码的组合”缩小为“只猜密码”。2. 强制复杂密码不等于不可预测密码策略通常要求达到最低长度同时包含大小写字母包含数字包含特殊字符。问题在于用户通常不会真正随机生成密码而是把容易记忆的密码修改到符合规则例如mypassword Mypassword1! Myp4$$w0rd强制定期修改密码还可能产生可预测变化Mypassword1! Mypassword1? Mypassword2!因此密码字典的价值不只是收录常用密码还在于模拟人类满足密码策略时形成的变形规律。三、用户名枚举从响应差异识别有效账户用户名枚举是指攻击者通过应用行为差异判断某个用户名是否存在。理想的登录接口应当让以下情况表现一致用户名不存在 用户名存在但密码错误如果两者在状态码、错误信息、响应长度或处理时间上出现稳定差异攻击者就可能筛选出有效用户名。1. 不同错误信息典型的不安全实现可能分别返回Invalid username Incorrect password这直接暴露了认证流程执行到了哪一步Invalid username → 用户查询阶段失败 Incorrect password → 用户存在但密码校验失败PortSwigger 的“Username enumeration via different responses”实验就是通过明显不同的登录响应先确认用户名再固定该用户名测试候选密码。实验揭示的通用问题是服务器把内部认证失败原因原样暴露给了客户端。2. 细微的响应差异有些应用表面上使用了相同错误信息但实际上可能存在句号差异大小写差异多余空格不可见字符HTML 结构或响应长度不同。浏览器渲染后的页面看起来可能完全一致但 Burp 可以比较原始响应和响应长度。“Username enumeration via subtly different responses”实验的重点不是寻找某个固定字符串而是建立对照大量无效用户名 → 响应模式基本相同 某个用户名 → 出现稳定的细微差异只有可重复出现的差异才能作为用户名有效的证据单次长度波动或网络异常不能直接证明结论。3. 不同 HTTP 状态码如果大多数错误请求返回同一个状态码而某个用户名返回不同状态码也可能说明应用进入了不同认证分支。例如无效用户名200 OK 有效用户名302 Found状态码差异不一定意味着已经登录成功也可能只是错误处理方式不同。需要继续检查Location、响应正文和后续页面。4. 响应时间差异一种常见后端逻辑是查询用户名 ├─ 不存在 → 立即返回 └─ 存在 → 继续验证密码 → 返回有效用户名需要额外执行密码验证因此响应时间可能稍长。PortSwigger 的“Username enumeration via response timing”实验使用超长错误密码是为了放大这条分支的处理成本无效用户名 → 不执行完整密码处理 → 超长密码影响较小 有效用户名 → 执行密码处理 → 超长输入使时间差更明显普通错误密码理论上也可能产生时间差但差异可能只有几毫秒容易被网络抖动覆盖。超长密码的作用不是改变验证结果而是放大有效用户名分支的计算开销。这种方法不是所有系统都适用。只有当密码处理成本确实受输入长度影响并且无效用户名与有效用户名走不同分支时超长密码才有意义。测试时间差时还需要对同一用户名重复请求比较平均值或中位数控制并发、网络波动和限速不根据一次异常响应下结论。四、Burp 中的测试方法用户名枚举和密码爆破应拆成两个阶段而不是直接测试用户名与密码的全部组合。1. 第一阶段确定有效用户名固定一个错误密码只把用户名设置为 payload 位置username§candidate§passwordknown-wrong-password然后比较Status codeResponse length错误信息重定向位置Response received 时间。2. 第二阶段验证候选密码确认用户名后将用户名固定只替换密码usernamecarlospassword§candidate§这样可以显著减少请求数量并避免无意义的用户名与密码笛卡尔积。3. Intruder 攻击类型的含义Sniper使用一个 payload 集依次测试位置适合只改变用户名或密码。Battering ram把同一个 payload 同时填入多个位置。Pitchfork多个 payload 集按相同行号并行组合。Cluster bomb测试不同 payload 集的全部组合。如果有 100 个用户名和100 个密码Cluster bomb 会产生100 × 100 10,000 次请求更合理的策略是先用约100次请求找到用户名再用约100次请求测试密码。五、暴力破解防护为什么会失效常见防护有两类对被反复尝试的账户进行锁定对短时间发送大量请求的客户端 IP 进行封禁。两者都能增加攻击成本但如果计数维度、重置条件或代理配置存在错误仍然可能被绕过。1. IP 封禁的重置逻辑缺陷某些系统在同一 IP 连续登录失败后封禁该 IP但只要该 IP 成功登录一次就会重置失败计数器。攻击者可以在密码字典中定期插入自己的正确凭据尝试受害者密码 1 尝试受害者密码 2 使用自己的账户成功登录 尝试受害者密码 3 尝试受害者密码 4 使用自己的账户成功登录在对应 PortSwigger Lab 中wiener:peter的作用不是攻击目标账户而是周期性触发成功登录从而清空当前 IP 的失败计数。漏洞根因是防护系统把“任意账户登录成功”错误地当成当前来源不再可疑而没有分别记录每个目标账户的失败行为。Burp 本身没有一个专门表示“每隔固定数量自动插入同一值”的攻击模式。可以预先生成交错的用户名和密码列表再使用 Pitchfork 按行配对发送。2. 修改X-Forwarded-For如果应用错误信任客户端提供的X-Forwarded-For: 198.51.100.10攻击者可能通过不断修改这个值伪造来源 IP。但这不是通用绕过方式。只有后端没有正确区分可信反向代理添加的请求头和客户端直接提交的请求头时才成立。正确的系统应只信任已配置代理写入的最末端地址并删除外部传入的伪造值。3. 账户锁定与用户名枚举账户锁定可以限制针对单个账户的大量密码猜测但锁定行为本身也可能暴露用户名。例如无效用户名连续尝试 → 始终返回普通错误 有效用户名连续尝试 → 返回账户已锁定攻击者可以通过“是否触发锁定”判断用户名是否存在。账户锁定还容易被用于拒绝服务攻击者不需要知道受害者密码只要反复提交错误密码就可能让受害者无法登录。4. Password Spraying假设系统允许每个账户失败三次攻击者就不应针对一个账户尝试大量密码而可以选择不超过三组高概率密码对大量用户名分别测试password1 → 测试所有候选用户 password2 → 测试所有候选用户 password3 → 测试所有候选用户每个账户只发生少量失败不一定触发账户锁定攻击者只需要某个用户使用其中一个常见密码即可。这说明账户锁定主要限制针对单个账户的纵向爆破却不一定阻止针对大量账户的横向密码喷洒。5. Credential StuffingCredential stuffing 使用数据泄露中已经出现的真实username:password组合登录其他网站。由于每个账户可能只被尝试一次账户锁定通常不会触发。其利用的是用户跨站复用密码而不是单纯猜测密码。六、User Rate Limiting 的边界User rate limiting 通常按照一段时间内来自某个 IP 的请求数量进行限制。超过阈值后IP 可能通过以下方式解除封禁等待固定时间管理员手动解除完成 CAPTCHA通过其他人工验证。与账户锁定相比IP 限速不容易被直接用于锁死指定账户也较少通过锁定提示暴露用户名但仍存在两个主要问题。第一服务器可能错误识别客户端 IP例如不安全地信任X-Forwarded-For。第二限速器可能统计 HTTP 请求数量而认证逻辑在一个请求中执行多次密码验证。例如某个接口允许数组、批处理或 GraphQL 请求限速器记录1 次 HTTP 请求 认证代码执行多个密码检查这种绕过要求应用确实存在批处理或参数解析缺陷普通登录表单并不会自动支持一个请求猜测多个密码。因此防护系统需要统计实际认证行为而不只是进入登录接口的 HTTP 请求数量。七、HTTP Basic AuthenticationHTTP Basic Authentication 的典型流程是客户端访问受保护资源 ↓ 服务器返回 401 WWW-Authenticate: Basic realm... ↓ 浏览器获取用户名和密码 ↓ 拼接 username:password ↓ Base64 编码 ↓ 发送 Authorization 请求头例如Authorization: Basic d2llbmVyOnBldGVy其中 Base64 解码后的内容为wiener:peterBase64 只是编码不是加密。Basic Authentication 发送的不是随机 Session ID而是用户名和密码的可逆表示。其格式由 RFC 7617定义。浏览器通常会缓存凭据并在相应的认证保护范围内重复发送。因此它存在以下风险每个请求都携带等价于真实密码的静态凭据如果没有 HTTPS凭据可能被中间人截获缺少 HSTS 会增加首次使用 HTTP 或协议降级的风险实现经常缺少完善的限速和异常登录监控浏览器自动附加凭据因此 Basic Authentication 本身不能防止 CSRF泄露的密码可能被用于其他复用相同凭据的系统。HSTS 不负责加密请求真正提供传输机密性的是 TLS。HSTS 的作用是要求浏览器持续使用 HTTPS相关机制由 RFC 6797定义。Cookie 的SameSite属性不能保护 Basic Authentication因为身份凭据并不存储在 Cookie 中。敏感操作仍应验证 CSRF Token、Origin或Referer并限制请求方法和内容类型。八、统一理解这些漏洞本章涉及的攻击方式虽然不同但都在利用认证系统暴露的状态差异或防护逻辑错误服务器对不同认证状态执行不同处理 ↓ 状态码、错误内容、时间或锁定行为出现差异 ↓ 攻击者识别有效用户名 ↓ 结合字典和用户密码规律缩小猜测范围 ↓ 利用计数、重置或来源识别缺陷绕过防护 ↓ 获得有效凭据并进入目标账户用户名枚举本身通常不会直接接管账户但它会降低密码攻击的搜索空间。限速或账户锁定也不一定存在单独的“开关型漏洞”真正需要分析的是防护按照什么维度计数哪些事件会重置计数器锁定结果是否泄露账户状态服务端如何识别请求来源一次请求实际执行多少次认证判断多个防护措施是否能够相互补充。九、防御思路可靠的认证防护不能只依赖某一个计数器应组合使用对外统一认证失败状态码、错误信息和响应结构。尽量统一有效与无效用户名的处理路径和时间特征。同时从账户、IP、设备和全局异常行为等维度进行限速。记录实际认证检查次数而不只是 HTTP 请求数量。使用渐进式延迟降低持续自动化攻击效率。谨慎设置账户锁定避免被用于用户名枚举和拒绝服务。正确配置反向代理只信任可信代理提供的客户端地址。对高价值账户和敏感操作启用 MFA。检测 Password Spraying、Credential Stuffing 和分布式低速尝试。使用 HTTPS并配置 HSTS 降低协议降级风险。不依赖 Basic Authentication 保护高价值功能如必须使用也要补充限速、监控和 CSRF 防护。阻止已泄露密码和常见弱密码同时避免诱导用户形成可预测的周期性密码变体。总结身份验证漏洞的核心不只是“密码是否足够复杂”而是整个认证流程是否向外暴露了可利用的信息以及防护系统是否准确记录了攻击行为。用户名枚举利用的是不同账户状态之间的可观察差异暴力破解利用的是密码可预测性Password Spraying 和 Credential Stuffing 绕过的是以单账户失败次数为中心的防护IP 限速绕过则通常源于来源识别、计数方式或重置逻辑错误。分析认证系统时应始终沿着下面的顺序检查输入了什么凭据 → 服务器执行了哪条认证分支 → 客户端能够观察到什么差异 → 防护按照什么维度计数 → 什么条件会重置或绕过防护 → 获得凭据后能够进入哪些功能真正可靠的认证机制需要同时控制信息泄露、密码质量、尝试频率、账户风险、凭据传输和登录后的权限边界。