登录认证绕过测试：SQL 注入、密码重置、MFA…

在授权评估登录流程、密码重置、账户恢复、MFA、令牌可预测性、暴力破解防护和会话边界时，按此清单逐项测试认证机制本身的缺陷。

适用场景

解决思路

1. 先做授权凭据测试规划：按服务类型使用极小的默认凭据集——phpMyAdmin 用 root/admin + 空、root、phpmyadmin、admin；FTP 用 ftp/admin/test + 空、ftp、admin、123456；SSH 用 root/admin/服务账号名 + root、admin、季节变体；MySQL 用 root/mysql + 空、root、mysql；Tomcat/Java 管理台用 tomcat/admin/manager + tomcat、admin、s3cret；WebLogic 用 weblogic/admin + weblogic、welcome1、admin。
2. 用户名类别覆盖：通用管理员（admin、administrator、root、test、guest）、支持/运维（dev、ops、sysadmin、service、backup）、基于姓名（firstname、lastname、f.lastname、first.last）、邮箱前缀、产品名（tomcat、weblogic、jenkins、gitlab）。
3. 按场景选择字典大小：默认管理面板用 5–50 个密码（默认值优于大字典）；已知产品的内部服务用厂商专用小集合；弱管控的消费者登录用 Top 20 或 Top 100；有速率限制的登录用极小列表 + 头/轮换策略以保留尝试次数；离线哈希破解才用大字典。
4. 优先关注常见端口与服务面：80/443/8080/8443 管理面板、22 SSH、21 FTP、3306/5432/6379/27017 数据或管理服务。
5. 测试 SQL 注入登录绕过：用户名填 admin'-- 密码任意；通用绕过填 ' OR '1'='1'--；盲测变体包括 ' OR 1=1--、admin' OR 'a'='a、1' OR '1'='1'/*、1 or 1=1。逐个字段单独测试，可能只有其中一个字段存在漏洞。
6. 测试密码重置令牌可猜测性：检查是否基于时间戳（token=1691234567890）、顺序号（1001、1002、1003）、MD5(email)（echo -n "user@example.com" | md5sum）、MD5(username+timestamp) 或 4–6 位短令牌。连续请求 3 封重置邮件对比令牌模式。
7. 测试重置令牌不过期：请求重置拿到令牌，等待 48 小时以上，再用旧令牌看是否仍有效。
8. 测试重置令牌可重用：请求重置得到 T1，用 T1 完成重置，再次使用 T1 看是否仍可用。
9. 测试重置邮件中的 Host 头注入：向 /forgot-password 发送 POST，把 Host 改为 attacker.com，email 填 victim@target.com，检查邮件中重置链接是否指向攻击者域名并携带受害者令牌。
10. 测试 Referer 泄露重置令牌：请求重置并打开带令牌的重置 URL，若页面加载第三方资源（分析、字体），Referer 头会把 https://target.com/reset?token=TOKEN 泄露给第三方日志。
11. 测试修改密码不要求当前密码：向 PUT /api/user/password 发送 {"new_password": "hacked"}，看是否缺少 current_password 字段校验，可结合 CSRF 实现账户接管。
12. 测试账户枚举：对比错误信息（"User not found" vs "Incorrect password"）、响应时间差异（无效用户快、有效用户因查库+哈希比对稍慢）、密码重置流程（"This email is not registered" vs 通用提示）、注册端点（"Email already registered" vs 两者都返回"Verification email sent"）。
13. 绕过暴力破解锁定：在 10 次锁定前只试 9 次，等待重置期（通常 30 分钟或 1 小时）再试 9 次，循环避免永久锁定。
14. 绕过基于 IP 的锁定：每次请求轮换 X-Forwarded-For、X-Real-IP 等头部 IP。
15. 使用反向暴力破解：对一个密码（如 password123）尝试大量用户名，找出弱密码账户，避免单个账户被锁定。
16. 使用凭据填充：用 HaveIBeenPwned 等泄露数据集配合 Hydra、Burp Intruder 或自定义脚本攻击目标，例如 hydra -C credentials.txt https-post-form://target.com/login:"username=^USER^&password=^PASS^":"error message"。
17. 测试 2FA 前会话 Cookie 绕过：密码正确后重定向到 2FA 页面时，会话 Cookie 已设置但 2FA 未校验，直接用该 Cookie 访问 /dashboard 跳过 2FA。
18. 暴力破解 2FA 验证码：4–6 位 TOTP 最多 100 万种可能，若 2FA 步骤无锁定，用 Burp Intruder 顺序爆破；注意 TOTP 30 秒窗口及部分实现接受前后窗口。
19. 测试关键操作未强制 2FA：登录不要求 2FA，但 DELETE /account 或 POST /transfer 要求 2FA；若只在登录校验，登录一次后即可无 2FA 执行敏感操作。
20. 滥用 2FA 备份码：生成备份码（通常 8–10 个一次性），测试是否有速率限制、能否重复使用、短码（6–8 字符）在无限速时能否爆破。
21. 测试 2FA 验证码重用：TOTP 本应一次性，重复使用同一验证码，若服务器不记录已用码则可重放。
22. 测试 OAuth/SSO 账户接管：在攻击者控制的 OAuth 提供商创建账户，把 email claim 设为 victim@target.com，通过该提供商登录/关联，若服务器信任未验证的 email claim 则账户被合并/接管。
23. 测试 SSO 关联后密码仍可用：用户关联 Google SSO 后账户无密码，走"忘记密码"流程看是否能为 SSO-only 账户设置密码，从而绕过 SSO 直接登录。
24. 测试长密码 DoS/绕过：bcrypt 有 72 字节限制，超出部分被忽略；用 "A"*100 注册，再用 "A"*72 登录应成功；用 "A"*71 + 不同后缀测试截断是否导致相同哈希。
25. 测试用户名空字节：比较 username=admin%00 与 username=admin，某些 C 字符串比较中 "admin\0attacker" 等于 "admin"。
26. 测试 Unicode 规范化：用 "ⓢcott" 规范化成 "scott" 冒充 scott；用各种 Unicode 同形字冒充 admin。
27. 测试登出后会话未失效：登录捕获会话 Cookie，登出后重放该 Cookie 看是否仍有效（服务端未失效）。
28. 测试权限变更后会话未重新生成：以低权限登录拿到 Cookie，管理员提升角色后，旧 Cookie 是否已具备管理员权限（旧令牌继承新权限）。
29. 测试会话令牌可预测：base64(userid+timestamp) 可逆、顺序整数（会话 ID 加减小数字）、短随机（32 位熵）可爆破。
30. 按认证测试清单逐项执行：登录字段 SQL 注入、密码重置令牌预测/Host 头注入/Referer 泄露、错误信息与时间枚举、2FA 跳过/爆破/重用、暴力破解防护（X-Forwarded-For 绕过、反向暴力）、登出会话失效、权限变更后会话重生成、修改密码要求当前密码、长密码（bcrypt 72 字节截断）、OAuth/SSO email claim 信任与 SSO 后设密码、remember_me 令牌时长/可撤销性/可预测性。
31. 按密码重置攻击矩阵（22 种模式）逐项测试：可预测令牌、令牌未绑定用户、令牌出现在响应体、令牌出现在 URL 参数、无过期、可重用、短/可爆破令牌、Host 头注入、注册覆盖已有账户、仅前端步骤跳过、响应篡改、验证码出现在响应、并行会话重置、email/phone 参数污染、Unicode 规范化、重置处 SQL 注入、重置端点 IDOR、跨协议重置、默认安全问题、令牌生成竞态、登出未失效重置、重置链接被 CDN/代理缓存。
32. 按 CAPTCHA/验证绕过矩阵（20 种方法）逐项测试：删除 captcha 参数、发送空 captcha、重用旧 captcha、captcha 未绑定会话、仅客户端校验、响应篡改、改请求方法（POST↔GET）、改 JSON content-type、OCR 绕过（tesseract/ML）、音频 captcha 弱点、SMS 码出现在响应、SMS 码可预测、验证码无速率限制、验证码未绑定手机/邮箱、验证码不过期、手机号空字节（+1234567890%00）、大小写敏感、标识符空格/编码、并发请求竞态、第三方 captcha 配置错误（reCAPTCHA site key 允许任意域）。
33. 测试不安全随机数导致的令牌预测：UUID v1（时间戳-clock_seq-MAC，MAC 常从其他端点泄露，时间戳为 1582-10-15 起的 100ns 间隔，用 guidtool 从已知时间范围重建）；MongoDB ObjectId（4 字节时间戳+5 字节随机+3 字节计数器，时间戳泄露创建时间，计数器顺序可预测相邻 ID）；PHP uniqid()（hex(microtime)，完全基于微秒时间戳，知道大致服务器时间即可预测）；PHP mt_rand()（Mersenne Twister，观察约 624 个输出后可恢复内部状态，用 openwall/php_mt_seed 从已知输出恢复种子并预测未来值）。
34. 使用工具辅助：guidtool 重建 UUID v1、AethliosIK/reset-tolkien 自动化密码重置令牌预测、openwall/php_mt_seed 恢复 PHP mt_rand 种子、sandwich 分析令牌时间戳。

适用边界 · 注意事项

• 仅在你拥有明确授权的目标上执行这些测试，未授权测试属于违法行为。
• JWT/OAuth 令牌本身的攻击（如算法混淆、签名绕过）不在本技能范围，应参考 ../jwt-oauth-token-attacks/SKILL.md。
• 离线哈希破解不适用在线暴力破解规则，应使用大字典而非小集合。