Lab: Username enumeration via account lock账户锁定限制的暴力破解靶场复盘

靶场内容

This lab is vulnerable to username enumeration. It uses account locking, but this contains a logic flaw. To solve the lab, enumerate a valid username, brute-force this user’s password, then access their account page.

Candidate usernames
Candidate passwords

靶场复盘

• 这个靶场如果多次请求账户并且输入密码，会导致出现账户锁定的情况
• 但是最大的缺陷就是：只有输入正确的用户名，才会导致账户锁定，所以我们可以检索出正确的用户名进行尝试
• 使用"Cluster bomb"模式，该模式下会将两个payload完全组合。
• 在username下加上payload，但是还需要在密码后面的空地方加上payload，因为我们需要尝试多次请求，类似于这样：username=§invalid-username§&password=example§§.
• username的字典使用由靶场提供的，而后面的payload选择空字典：“Null payloads”，然后输入：generate 5 payloads，意思是空空请求5次
• 开始攻击，发现有一个用户最后响应报文的长度更长，并且报错信息为：You have made too many incorrect login attempts。
• 这个用户是autodiscover，这个用户有个坑，就是你在复制它