黑客攻防技术宝典web实战篇笔记--第六章
0.
验证机制执行缺陷
- 故障开放登陆机制缺陷,渗透测试步骤：多次重复登陆，以非常规方式修改提交的数据，提交一个空字符串值，完全删除键值对，提交非常长或者非常短的值........然后检查观察畸形请求的响应。
- 多阶段登陆机制的缺陷，完成第一阶段验证，然后完成第二阶段验证，最后完成第三阶段验证，那么，能否绕过第一，第二阶段，进入第三阶段。
1.章节思考题
自我注册功能如何会引入用户名枚举漏洞？如何防止这些漏洞？
通常，自我注册功能非常易于受到用户名枚举攻击，因为用户可以选择自己的用户名，并且应用程序不允许用户注册现有用户名。应用程序可以通过以下两种方法防止攻击者通过滥用自我注册功能来实施用户名枚举攻击：
a)应用程序可以生成自己的用户名，然后在每名新用户提交了所需的个人信息后向其分配一个无法预测的用户名。
b)可以在自我注册过程的第一个步骤要求用户输入他们的电子邮件地址。然后，应用程序向用户发送一封电子邮件，该邮件包含一个URL，用户可以使用该URL继续注册过程。如果提供的电子邮件已注册，则在电子邮件中向用户通知这一情况。
