搜索

[278] 2018-12-28_登录可能存在哪些问题

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2018-12-28_登录可能存在哪些问题 登 录 可 能 存 在 哪 些 问 题 发 哥 微 课 堂   a F a 攻 防 实 验 室   2 0 1 8 - 1 2 - 2 8 登 录 可 能 存 在 哪 些 问 题 ： 0 1 ： 登 录 没 有 做 次 数 限 制 ， 可 被 暴 力 破 解 。 0 2 ： 登 录 不 安 全 的 提 示 ， 可 猜 测 用 户 名 和 密 码 是 否 合 法 。 0 3 ： 登 录 验 证 码 失 效 ， 可 被 暴 力 破 解 。 0 4 ： 登 录 验 证 码 过 于 清 晰 ， 可 被 识 别 。 0 5 ： 手 机 短 信 登 录 ， 验 证 码 可 被 爆 破 。 0 6 ： 手 机 短 信 登 录 ， 服 务 器 验 证 码 回 显 。 0 7 ： 手 机 短 信 登 录 ， 验 证 码 可 重 复 使 用 。 0 8 ： 手 机 短 信 登 录 有 次 数 限 制 ， 末 尾 加 任 意 字 符 ， 未 做 提 纯 可 爆 破 。 0 9 ： 登 录 忘 记 密 码 短 信 验 证 ， s e s s i o n   覆 盖 测 试 。 1 0 ： 登 录 忘 记 密 码 ， 邮 箱 验 证 并 收 取 修 改 密 码 连 接 ， 连 接   t o k e n   可 猜 解 问 题 。 1 1 ： 回 答 密 保 的 登 录 和 找 回 密 码 ， 密 保 答 案 可 查 源 码 获 取 。 1 2 ： 登 录 是 否 成 功 ， 根 据 服 务 器 返 回 的 状 态 码 做 判 断 。 1 3 ： 登 录 返 回 的 权 限 级 别 ， 修 改 可 越 权 。 1 4 ： 登 录   s e s s i o n i d   有 规 律 ， 可 被 猜 解 。 1 5 ： 登 录   s e s s i o n i d   为 固 定 的 会 话 。 1 6 ： 登 录 后 退 出 ， s e s s i o n i d   没 有 清 空 ， 可 回 退 。 1 7 ： 登 录 的   c o o k i e   可 修 改 账 号 权 限 或 不 同 的 账 号 。 1 8 ： 登 录 的   s e s s i o n i d   存 在 于   u r l   中 。 1 9 ： 登 录 的 错 误 提 示 从   u r l   中 获 取 ， 可 反 射   x s s 。 2 0 ： 登 录 的 错 误 账 号 密 码 会 暂 存 网 页 中 ， 可 存 储   x s s 。 2 1 ： 登 录 账 号 和 明 文 没 有 进 行 加 密 和   H T T P S ， 明 文 传 输 。 2 2 ： 密 文 对 比 认 证 ， j s   加 密 账 号 密 码 传 入 后 台 存 储 数 据 库 。 2 3 ： 登 录 没 有 对 账 号 和 密 码 做 过 滤 ， 直 接 拼 接 导 致   s q l   注 入 。 2 4 ： 多 点 登 录 ， 同 一 个 账 号 可 多 个 地 点 进 行 登 录 。
2 5 ： 登 录 功 能 失 效 ， 可 直 接 未 授 权 访 问 后 台 。 2 6 ： 账 号 密 码 网 上 泄 露 ， g o o g l e h a c k   公 开 可 查 询 。 2 7 ： 注 册 覆 盖 ， 只 做   j s   校 验 ， 可 被 绕 过 注 册 ， 登 录 他 人 账 号 。 登 录 防 范 措 施 ： 0 1 ： 提 示 要 安 全 ， 账 号 或 密 码 错 误 ， l o g i n   f a i l   等 。 0 2 ： 账 号 密 码 要 做 次 数 限 制 ， 如   1   小 时 内 登 录 错 误 次 数 超 过   5   次 则 禁 用   1   小 时 。 手 机 号 登 录 需 正 则 验 证 ， 避 免 被 绕 过 次 数 限 制 。 如 若 有 验 证 码 ， 则 验 证 码 干 扰 元 素 避 免 简 单 被 识 别 的 风 险 。 0 3 ： 账 号 密 码 登 录 需 加 密 或 使 用   H T T P S ， 且 不 可 前 端 加 密 ， 后 台 直 接 存 储 ， 避 免 暴 露 加 密 算 法 ， 建 议 前 台 加 密 后 ， 后 端 再 进 行 加 密 加 盐 的 方 式 来 处 理 。 0 4 ： 登 录 的 账 号 和 密 码 需 做 特 殊 字 符 的 处 理 ， 避 免 产 生   s q l   注 入 。 0 5 ： 登 录 的 提 示 信 息 应 该 由 服 务 器 返 回 提 示 ， 避 免 从   u r l   中 获 取 ， 产 生 反 射 跨 站 。 0 6 ： 登 录 的 账 号 密 码 如 果 错 误 ， 不 应 该 暂 存 到 网 页 中 ， 避 免 产 生 存 储 跨 站 。 0 7 ： 手 机 登 录 的 验 证 码 避 免 回 显 给 客 户 端 ， 且 验 证 码 在 规 定 的 时 间 内 有 效 ， 且 只 能 使 用 一 次 。 0 8 ： 如 若 有   t o k e n   错 误 ， 且   t o k e n   需 要 足 够 加 密 ， 不 建 议 使 用 私 有 的 算 法 ， 业 界 公 认 的 强 加 密 更 能 经 得 住 考 验 。 建 议 使 用 b u r p   的   s e q u e n c e r   进 行 检 测 。 0 9 ： 登 录 过 程 中 需 要 的 参 数 需 要 做 好 足 够 的 校 验 ， 避 免 产 生   s e s s i o n 、 c o o k i e 、 c o d e   等 参 数 的 篡 改 ， 造 成 越 权 问 题 ， 后 台 做 好 全 局 校 验 ， 避 免 未 授 权 。 1 0 ： 管 理 员 和 开 发 需 提 高 安 全 意 识 ， 禁 止 公 开 账 号 和 密 码 ， 禁 止 上 传 源 码 到   g i t h u b   等 平 台 ， 避 免 账 号 密 码 可 公 开 搜 索 的 问 题 。 1 1 ： 系 统 用 户 的 密 码 ， 如 果 业 务 安 全 有 较 高 的 要 求 ， 可 强 制 用 户 规 定 时 间 内 必 须 修 改 密 码 ， 且 符 合 复 杂 度 要 求 。 欢 迎 将 文 章 分 享 到 朋 友 圈   如 果 想 g e t 更 多 的 技 能 ， 长 按 二 维 码 可 关 注 我
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理