27身份验证漏洞

## 概述

身份验证是验证用户或客户端身份的过程，网站可能会暴露给任何连接到互联网的人。因此，强大的身份验证机制是有效的网络安全不可或缺的一部分。

身份验证主要有三种类型：

- 您**知道的**某些信息，例如密码或安全问题的答案。这些有时被称为“知识因素”。
- 你**拥有的**某物，例如手机短信验证码或安全令牌等实物。这些有时被称为“占有因素”。
- 您的**身份**或行为。例如，您的生物特征或行为模式。这些有时被称为“先天因素”。

**多因素认证（MFA/2FA）** 结合了以上至少两种因素，能极大提升安全性。

**身份验证和授权有什么区别？**

身份验证是验证用户身份是否与其声称的身份相符的过程。授权则涉及验证用户是否被允许执行某项操作。

例如，身份验证可以确定尝试使用用户名访问网站的人是否是`Carlos123`创建该帐户的人。

一旦`Carlos123`通过身份验证，他们的权限将决定他们被授权执行的操作。例如，他们可能被授权访问其他用户的个人信息，或执行诸如删除其他用户帐户之类的操作。

## 核心与危害

**身份验证漏洞**泛指攻击者能够绕过、破坏或模仿合法用户身份验证过程的任何缺陷。

**最直接的危害**：**攻击者能够以其他用户（通常是高权限用户）的身份登录系统，从而完全访问该用户的数据和功能**。这可能导致：

- **数据泄露**：访问所有个人身份信息（PII）、私人消息、财务记录。
- **权限提升**：以普通用户身份登录，然后利用访问控制漏洞提升至管理员权限。
- **账户接管（ATO）**：完全控制用户的账户，并利用其身份进行恶意活动（如诈骗、发布虚假信息）。
- **系统完全沦陷**：如果攻破的是管理员账户，可能意味着整个系统或网络的失守。

## 常见漏洞类型与攻击方式

### 基于凭证的攻击

这类攻击主要针对“知识因素”。

**1. 弱密码**：

**原因**：用户设置简单密码（如 `123456`, `password`），或系统未实施强密码策略。

**攻击**：攻击者使用常见密码字典进行自动化尝试。

**2. 暴力破解（Brute-force Attacks）**：

**原因**：登录端点没有或实施了无效的暴力破解防护机制。

**攻击**：攻击者使用自动化工具（如 Burp Intruder, Hydra）以极高的频率尝试大量用户名/密码组合。

**变种**：

- **密码喷洒（Password Spraying）**：对大量用户尝试少数几个常用密码，避免单个账户被锁定。
- **字典攻击（Dictionary Attacks）**：使用根据真实密码库生成的、更精确的密码列表进行攻击。

**3. 凭证填充（Credential Stuffing）**：

**原因**：用户在多个网站使用相同的密码。

**攻击**：攻击者利用从其他网站泄露的用户名/密码组合（“撞库”），在目标网站上进行自动化登录尝试。这之所以有效，是因为很多人有密码复用习惯。

### 身份验证逻辑缺陷

这类漏洞源于应用程序自身逻辑的错误。

**1. 弱锁定机制（Weak Lockout Mechanisms）**：

**场景**：系统在多次失败登录后锁定账户，但攻击者可以通过细微更改用户名（如 `admin` vs `admin `）或IP地址来绕过锁定限制。

**2. 可预测的凭据**：

**场景**：应用程序为新用户设置可预测的初始密码（如 `Welcome123` 或基于用户名的密码），且未强制要求首次登录时修改。

**3. 故障开放（Fail-Open）条件**：

**场景**：当身份验证系统遇到意外错误（如数据库连接失败）时，错误地**授予了访问权限**而不是拒绝它。

**4. 密码重置功能缺陷**：

**可预测的令牌**：密码重置令牌（通常通过链接发送）熵值低、可预测或基于时间戳等可猜测值。

**令牌未失效**：重置令牌在使用后或长时间后仍然有效。

**电子邮件劫持**：重置链接发送到的电子邮件账户本身不安全。

**主机头注入**：密码重置邮件中的链接可能受 `Host` 头控制，攻击者可将其指向自己的域名，从而截获重置令牌。

```http
POST /forgot-password HTTP/1.1
Host: evil-user.net // 恶意修改Host头
...
email=victim@example.com
```

**5. 多步骤流程绕过**：

**场景**：登录或重置密码流程有多个步骤，但后端仅在最后一步验证身份，攻击者可直接跳到最后一步。

**6. “记住我”功能缺陷**：

**原因**：“记住我”功能生成的持久性Cookie（如 `remember_me=admin`）是可预测的、可篡改的或未正确签名验证的。

**攻击**：攻击者可以伪造或篡改该Cookie来模拟用户。

### 会话管理缺陷

会话是身份验证后的状态维持，其缺陷等同于身份验证失效。

**1. 会话劫持（Session Hijacking）**：

**原因**：会话ID（Session ID）通过不安全的通道（如HTTP）传输，或暴露在URL中（URL重写）。

**攻击**：攻击者通过网络嗅探、记录URL或跨站脚本（XSS）攻击窃取会话ID，然后将其放入自己的浏览器中以劫持会话。

**2. 会话固定（Session Fixation）**：

**原因**：应用程序在用户登录前和登录后使用同一个会话ID。

**攻击**：
1. 攻击者访问网站，获取一个会话ID `SESSID=abc123`。
2. 诱骗受害者使用这个特定的会话ID登录网站（例如，通过一个包含 `?SESSID=abc123` 的链接）。
3. 用户登录后，会话ID `abc123` 被提升为已认证状态。
4. 攻击者使用已知的会话ID `abc123` 即可直接访问用户的账户。

**3. 会话ID可预测性**：

**原因**：会话ID不是使用加密安全的随机数生成器生成的，而是基于时间、用户名等可猜测信息生成的。

### 4. 其他常见漏洞

**1. 万能密码**

- **经典Payload**：在用户名字段输入 `admin'--`，如果应用程序存在SQL注入，可能会构造出如下查询，从而绕过密码检查：

```sql
  SELECT * FROM users WHERE username = 'admin'--' AND password = 'anything'
  -- 注释符 -- 后面的内容被忽略，只要admin用户存在即登录成功。
  ```

**2. 默认凭证**

- 设备或应用（如摄像头、路由器、CMS后台）使用广为人知的默认用户名和密码（`admin/admin`）。

## 防护措施

防御需要多层次、纵深防御的策略。

### 1. 通用强化策略

**实施强密码策略**：要求最小长度、复杂度（大小写字母、数字、特殊字符），但避免过于复杂导致用户记不住。

**强制使用多因素认证（MFA）**：这是**单一最有效的防御措施**，可以缓解密码泄露、暴力破解等绝大多数风险。

**安全地处理凭证**：
- **密码哈希**：使用**加盐**的、**自适应**的哈希算法（如 **Argon2id**, **bcrypt**, **PBKDF2**）存储密码。**绝对禁止**使用明文或弱加密（MD5, SHA-1）存储密码。
- **传输加密**：全程使用 **HTTPS**（TLS）加密传输数据。

### 2. 防止暴力破解

**实施智能账户锁定**：在多次（如5-10次）失败尝试后，临时锁定账户一小段时间（如15-30分钟）。避免永久锁定导致DoS攻击。

**使用CAPTCHA**：在几次失败尝试后要求用户完成验证码挑战，有效阻止自动化工具。

**监控和告警**：记录所有登录尝试（成功和失败），并对异常活动（如来自不同地理位置的登录）设置告警。

### 3. 修复逻辑缺陷

**密码重置令牌**：必须使用加密安全的随机数生成，且**单次有效、短时间有效**。

**避免故障开放**：确保在系统故障时默认**拒绝访问**。

**验证所有流程步骤**：在多步骤流程中，每一步都要验证用户的状态和权限。

### 4. 安全会话管理

**生成安全的会话ID**：使用加密安全的随机数生成器，保证足够长度和熵值。

**登录后更新会话ID**：用户成功登录后，**必须**使其旧的会话标识符失效并颁发一个新的会话ID（防止会话固定）。

**安全设置Cookie属性**：
- `Secure`：仅通过HTTPS传输。
- `HttpOnly`：阻止JavaScript访问（防XSS窃取）。
- `SameSite=Strict|Lax`：提供很好的CSRF防护。

**设置会话超时**：实现空闲超时和绝对超时。

### 5. 其他措施

**删除默认凭据**：在部署任何系统后，立即更改所有默认密码。

**防范凭证填充**：实施速率限制（基于IP和基于账户），或使用风险分析工具（如设备指纹、IP信誉）来识别自动化攻击。

**教育用户**：引导用户使用密码管理器，并为不同网站设置唯一、强大的密码。

## 实验

靶机地址：https://portswigger.net/web-security/authentication/other-mechanisms/lab-password-reset-broken-logic

已知：密码重置功能存在漏洞。

任务：重置carlos用户的密码，然后登录并访问他的“我的账户”页面。

登录凭证：wiener:peter

1、打开burp，访问靶机地址，单击“**忘记密码？”**链接并输入您自己的用户名。

![image-20250909235255388](https://oss.maolin101.com/image-20250909235255388.png-101.webp)

2、输入wiener的用户名，点击【Submit】。

![image-20250909235440861](https://oss.maolin101.com/image-20250909235440861.png-101.webp)

![image-20250909235500579](https://oss.maolin101.com/image-20250909235500579.png-101.webp)

3、在邮箱服务器中查看。

![image-20250909235522265](https://oss.maolin101.com/image-20250909235522265.png-101.webp)

![image-20250909235536216](https://oss.maolin101.com/image-20250909235536216.png-101.webp)

4、点击body中的链接即可重置密码。

![image-20250909235653028](https://oss.maolin101.com/image-20250909235653028.png-101.webp)

5、使用重置后的密码，进行登录。

![image-20250909235719742](https://oss.maolin101.com/image-20250909235719742.png-101.webp)

6、在burp的http 历史数据包中研究密码重置功能的请求和响应，观察到重置令牌作为 URL 查询参数包含在重置电子邮件中，将该数据包发送到repeater模块中。

![image-20250910000212872](https://oss.maolin101.com/image-20250910000212872.png-101.webp)

7、删除掉URL和请求正文中的temp-forgot-password-token参数值，再次发送，显示302。

![image-20250910000534649](https://oss.maolin101.com/image-20250910000534649.png-101.webp)

那么也就意味着，没有token值，也可以进行密码的重置。

8、将用户名替换为为carlos。

![image-20250910000923468](https://oss.maolin101.com/image-20250910000923468.png-101.webp)

9、回到浏览器， 输入用户名carlos，密码123456，登录成功。

![image-20250910001027422](https://oss.maolin101.com/image-20250910001027422.png-101.webp)