登录框安全测试全面指南

登录框安全测试全面指南 0x00 概述 登录框作为系统入口点，是安全测试的重点对象。本文系统性地总结了针对登录框的各种安全测试方法，包括暴力破解、SQL注入、XSS+CSRF组合攻击、任意用户注册、任意密码重置以及短信轰炸等技术。 0x01 暴力破解技术 1. 指定用户名爆破密码 传统爆破思路 ：固定用户名，尝试常见密码组合 用户名获取方式 ： 猜测：admin、网站域名、常见管理账号 信息收集：新闻发布人、whoami命令输出等 2. 指定密码爆破用户名 适用场景 ：更适合普通用户登录处而非后台登录 高效方法 ：使用TOP1弱口令(如123456)尝试爆破用户名 3. 绕过防御措施技巧 编写脚本 ：针对特定防御策略编写自动化绕过脚本 BurpSuite高级技巧 ： 当响应包长度和状态码相同时，设置关键字匹配 可添加登录成功/失败时的独特关键字作为匹配依据 结果会显示匹配情况，便于识别成功尝试 0x02 SQL注入攻击 1. 万能密码攻击 尝试经典SQL注入payload如： ' or '1'='1 2. SQL注入测试 测试登录框是否存在SQL注入漏洞 包括基于错误的注入、布尔盲注、时间盲注等技术 0x03 Self-XSS与CSRF组合攻击 1. Self-XSS发现 测试登录框是否存在XSS漏洞，即使只是Self-XSS(仅影响自己) 2. CSRF验证 检查登录框是否存在CSRF漏洞 组合攻击：构造CSRF POC，将XSS payload放入用户名字段 0x04 任意用户注册漏洞 当登录框附近存在用户注册功能时，可测试： 1. 失效的身份认证 检查校验值是否默认为空或可绕过 2. 验证码可爆破 测试验证码是否可被暴力破解 0x05 任意密码重置漏洞 1. 常见攻击姿势 密码重置流程存在多种可能的漏洞点 2. 高级技巧 当找回密码处无漏洞时，检查个人中心功能 可能存在的漏洞： CSRF重新绑定手机号/邮箱 用户身份可控(如通过修改请求包中的用户ID) 0x06 短信轰炸攻击 存在用户注册/找回密码功能时，测试短信炸弹： 1. 单个用户短信炸弹 指定单个用户，重放发送短信的HTTP请求 BurpSuite技巧 ：不修改参数直接重放数据包 2. 轮询用户攻击 遍历用户手机号后几位进行测试 实际案例：使用学校手机卡测试，询问同学是否收到短信 总结 登录框作为系统入口，攻击面广泛。安全测试人员应从多个维度进行全面检测，包括但不限于暴力破解、注入攻击、组合漏洞利用等。特别要注意看似无害的Self-XSS与CSRF的组合利用，以及密码重置流程中的各种潜在漏洞。