OWASP A7 Identification and Authentication Failures(身份识别和身份验证错误)

Identification and Authentication Failures(身份识别和身份验证错误)

从 2017 的第二名下降到了 2021的第7名

我在 TOP1 中提出过水平越权和垂直越权，这方面就可以说是利用的错误的身份识别机制

同样，在不安全的设计中提出了用户名密码的样例，如果不加以限制，容易触发撞库

也就是说在已知账户或者密码的情况下进行撞库攻击.

现在由于有了更规范的套件,和编写标准,这个漏洞的范围覆盖呈下降趋势.

但是仍不可避免,同样危害也是非常重大的.

那么在什么情况下及其容易被攻破呢?

在上面的例子中,

一个是允许攻击者使用者利用已知密码账户进行撞库自动化攻击

也就是说在其他方面也不加以限制,同样也很容易触发暴力和自动化攻击

在应用的安装中也肯定让用户确认初始密码和账户.

但是如果忘了修改初始账户和密码或者设置了简单的账户和密码.

同样也很容易被攻击的

换个角度想,在密码传输的过程中,使用了明文传输,这对于监听的攻击者来说是很容易所发现的.也就是加密机制失效.

用 OWASP 的话说,这是使用脆弱的加密方法进行存储.

OWASP 中还举了其他的例子

在 URL 中泄露会话(Session) ID .比方说,一段 URL 中有 Session 值,被攻击者监听到了.就很容易利用 Session 进行水平越权处理.

登录了没有转换会话(Session) ID .

没有及时的注销会话(Session) ID ,用户的会话(Session)或者认证token(主要的单一登入认证)没有在登出或者一段时间没活动时被注销.

名词解释

1. Session

服务器端记录用户的信息