用户名密码枚举

简介： 在用户登录系统失败时，系统会在页面显示用户登录失败的具体信息

危害： 攻击者可根据此类登录失败提示信息，来判断当前登录账号是否在系统中存在，从而进行有针对性的暴力破解口令测试

漏洞挖掘： 假如提交账号在系统中不存在，系统提示“用户名不存在”、“账号不存在”等明确信息；假如提交账号在系统中存在，则系统提示“密码/口令错误”等间接提示信息

修复建议： 对系统登录失败提示语句表达内容进行统一的模糊描述，如用户名或密码错误

案例：