Web 安全实战：身份验证与会话管理漏洞全方位攻防测试笔记-尧图网络科技

前言

身份验证与会话管理是 Web 应用安全的第一道防线，也是 OWASP Top10 高频漏洞出现的区域。一旦登录认证、Cookie 会话、账号权限机制设计不当，攻击者就能通过枚举、暴力破解、会话劫持、CSRF 等方式越权登录、窃取账号、篡改用户数据。
本文结合实战靶场项目，从原理知识点到 Burp、Hydra、Metasploit 等工具实操，完整梳理身份验证与会话管理类漏洞的攻击思路、利用方式与防御方案。

一、核心理论知识点梳理

知识点 1：社会工程学及密码攻击方式

1. 社会工程学攻击原理

社会工程学并非利用代码漏洞，而是利用人性弱点实施欺骗获取敏感信息，是绝大多数账号泄露的源头。常见攻击方式：

(1)钓鱼邮件、仿造登录页面诱导用户输入账号密码；
(2)伪装客服、运维人员电话 / 微信套取账号、验证码、密保问题；
(3)公开社交平台扒取用户生日、手机号、昵称等信息，用于密码猜解；
(4)企业内网钓鱼、U 盘摆渡、诱导员工执行恶意程序。

2. 常见弱密码攻击类型

(1)默认密码：设备、后台系统出厂自带账号密码（如admin/admin、root/root、tomcat/tomcat）；
(2)弱口令密码：生日、手机号后 6 位、123456、admin、qwerty 等简单组合；
(3)信息衍生密码：用户名 + 年份、姓名缩写 + 手机号，极易通过社会工程收集信息猜解；
(4)密码复用：用户多个网站使用同一套账号密码，某平台数据泄露后会引发撞库攻击。

知识点 2：暴力破解攻击

暴力破解本质是通过自动化工具批量尝试账号、密码组合，分为两大类：

(1)字典攻击（推荐）：基于高频弱口令字典、社工字典、泄露密码库批量尝试，效率最高，是渗透测试最常用方式；
(2)纯暴力攻击：工具随机生成字母、数字、符号组合穷举，耗时极长，仅适用于密码位数很短的场景；
(3)混合暴力破解：在弱口令基础上增加后缀年份、特殊符号，针对用户自定义简单变形密码进行猜解。

常见防御缺陷：登录无验证码、无登录次数限制、无 IP 封禁、无风控策略，会直接导致暴力破解成功。

知识点 3：CSRF 跨站请求伪造 & SSRF 服务端请求伪造

CSRF（跨站请求伪造）

漏洞原理：网站信任用户浏览器携带的 Cookie 身份凭证，攻击者构造恶意页面，诱导已登录用户点击访问，在用户不知情的情况下，以用户身份发起转账、改密码、绑定手机号等敏感请求；
核心前提：目标仅依靠 Cookie 做身份校验，没有校验请求来源、没有 Token 校验；
典型场景：个人信息修改、支付操作、后台配置修改、账号权限变更。

SSRF（服务端请求伪造）

漏洞原理：Web 服务端可以根据用户传入的 URL 地址，向内部或外部服务器发起请求，攻击者利用该漏洞探测内网资产、扫描内网端口、读取本地文件、攻击内网业务；
常见风险点：图片远程加载、网页内容抓取、第三方接口调用等功能处容易出现 SSRF 漏洞。

二、九大实战任务详细实操总结

任务 4.1 用户名枚举漏洞测试

漏洞成因

网站登录、注册、密码找回页面，对存在的用户名和不存在的用户名返回不一样的提示信息、响应时长、页面状态码，导致攻击者批量枚举全部有效账号。

1.典型错误提示：

账号不存在：该用户名未注册；密码错误：密码输入错误；两种返回文案不同，可精准枚举账号；
注册页面输入已存在用户名提示用户名已被占用，同样会泄露账号。

2.实操步骤：

(1)准备常用用户名字典（admin、root、test、guest、manager 等）；
(2)Burp 抓包登录请求，发送到 Intruder 模块，对用户名位置设置载荷；
(3)根据响应长度、返回状态码、页面关键词筛选出所有有效用户名；

3.安全风险：枚举全部业务账号后，可针对性开展后续暴力破解、社工钓鱼攻击。
4.防御方案：统一错误提示（用户名或密码错误）、限制请求频率、增加验证码防护。

任务 4.2 Burp Suite 登录页面字典暴力破解

Burp Intruder 是 Web 渗透中最常用的表单暴力破解工具，针对 Web 网页登录表单做字典攻击。

1.操作流程：

浏览器配置 Burp 代理，抓取登录 POST 请求；
将数据包发送至Intruder，清除默认载荷标记，分别给用户名、密码添加载荷位置；
攻击类型选择Cluster bomb（用户名、密码交叉遍历）；
导入用户名字典、弱口令字典，设置线程数、请求延迟防止被 WAF 封禁；
开始攻击，根据响应长度、状态码、返回关键字筛选登录成功的数据包。

2.优化技巧：

攻击前先通过用户名枚举筛选有效账号，缩小破解范围，大幅提升爆破成功率。

任务 4.3 Hydra 工具远程暴力破解

Hydra（九头蛇）是开源多协议暴力破解工具，支持 HTTP、FTP、SSH、MySQL、RDP 等几十种协议，适合非 Web 表单类、远程服务的密码爆破。

1.常用 Web 表单爆破命令示例：

# GET方式登录爆破 hydra -L user.txt -P pass.txt 192.168.1.100 http-get-form "/login.php:username=^USER^&password=^PASS^:F=用户名或密码错误" # POST方式表单爆破 hydra -L user.txt -P pass.txt 靶机IP http-post-form "/login:user=^USER^&pass=^PASS^:登录失败"

2.优势：

多线程并发效率高、支持批量 IP 批量协议爆破，常用于内网渗透批量扫描弱口令。

3.注意事项：

过高线程容易触发目标防火墙 IP 封禁，需要合理设置延迟参数。

任务 4.4 Metasploit 破解 Tomcat 后台密码

Apache Tomcat 管理后台默认路径为/manager/html，采用 Basic 基础认证，若使用默认弱口令，攻击者可上传 WAR 包木马，直接获取服务器权限。

1.MSF 实操步骤：

# 1. 启动msf控制台 msfconsole # 2. 搜索Tomcat爆破模块 search tomcat_login # 3. 调用爆破模块 use auxiliary/scanner/http/tomcat_login # 4. 设置目标IP、端口、账号密码字典 set RHOSTS 192.168.1.100 set USER_FILE user.txt set PASS_FILE pass.txt # 5. 执行爆破 run

2.漏洞危害：

爆破成功后，可利用 Tomcat WAR 上传模块，打包 Web 木马部署到服务端，直接拿下服务器最高权限。

3.防御方案：

修改 Tomcat 默认账号密码、限制后台访问 IP、关闭线上环境管理控制台。

任务 4.5 手工挖掘 Cookie 安全漏洞

Cookie 是服务端用来存储用户会话身份的凭证，如果 Cookie 配置不安全，极易造成会话劫持、XSS 窃取 Cookie 越权登录。

常见 Cookie 漏洞点：

1.缺少 HttpOnly 属性：前端 JS 脚本可以通过 XSS 漏洞直接读取 Cookie，攻击者拿到 Cookie 即可无需账号密码登录；
2.缺少 Secure 属性：HTTP 明文传输 Cookie，抓包可直接劫持会话凭证；
3.Cookie 有效期过长：永久会话 Cookie，设备丢失、浏览器被入侵后会长期存在账号被盗风险；
4.Cookie 没有绑定 IP、设备：Cookie 在任意设备、任意 IP 下都可以直接复用登录。

手工检测方式：

F12 开发者工具 - Application-Cookie，查看 Cookie 字段的属性配置，同时抓包查看 HTTP 响应头中Set-Cookie字段配置。

任务 4.6 会话固定漏洞攻击

1.漏洞原理：

攻击者提前生成一个无效的 Session 会话 ID，诱导受害者访问携带该 SessionID 的链接，受害者登录后，服务端不会重新生成新的 Session，攻击者使用该 SessionID 即可直接登录受害者账号。

2.攻击流程：

(1)攻击者访问网站，获取一个未登录状态下的 Session Cookie；
(2)构造 URL：http://xxx.com/login?PHPSESSID=攻击者提前获取的会话ID发送给受害者；
(3)受害者点击链接输入账号密码完成登录；
(4)攻击者直接携带该 SessionID，就能以受害者身份登录系统。

3.核心成因：

用户身份认证成功后，服务端没有销毁旧会话、没有重新生成全新的 Session 标识符。

4.防御方案：

用户登录成功后强制销毁原有 Session，重新生成新的 SessionID；给 Cookie 配置 HttpOnly、Secure 安全属性。

任务 4.7 Burp Sequencer 评估会话标识符随机性

SessionID、Cookie、验证码这类身份凭证必须具备高强度随机性，如果可预测、有规律，攻击者可以直接猜解会话实现劫持越权。

Burp Sequencer 作用：对大量随机生成的会话令牌做熵值分析，检测令牌是否具备不可预测性。

1.实操步骤：

(1)正常登录抓包，找到服务端返回的 SessionID 字段；
(2)将该数据包发送到Sequencer模块，选择需要检测的会话令牌参数；
(3)持续捕获几百上千条随机生成的令牌样本；
(4)工具进行随机性熵分析，判断会话 ID 强弱：
熵值高：随机性强，无法被预测，安全；
熵值低：存在时间规律、自增序列、固定前缀等缺陷，可被暴力猜解，存在会话劫持风险。

2.高危场景：

SessionID 使用时间戳、有序数字、用户名简单加密生成，极易被批量预测破解。

任务 4.8 不安全的直接对象引用（IDOR 越权漏洞）

属于权限控制失效类高频漏洞，核心成因：服务端直接使用用户可控参数（ID、订单号、用户编号）访问资源，没有校验当前登录用户是否有权访问该资源。

水平越权：A 用户修改请求里的用户 ID 为 B 的 ID，直接查看 B 的个人信息、订单、隐私数据；示例：getUserInfo?userid=1001，修改 userid 为 1002 即可查看他人数据；
垂直越权：普通低权限用户，修改参数访问管理员接口，新增、删除后台数据；
测试思路：
- 用两个不同权限账号分别抓包，修改业务 ID 参数；
- 对比返回数据，若能访问非授权资源则存在越权漏洞；
防御方案：服务端每次请求校验当前登录用户的权限，禁止直接通过前端可控参数访问私有资源。

任务 4.9 CSRF 跨站请求伪造攻击实战

1.漏洞利用步骤：

(1) 登录目标网站，抓取修改密码、绑定手机号、个人信息修改等敏感操作请求；
(2) 确认请求仅依靠 Cookie 鉴权，没有携带随机 CSRF Token、没有校验 Referer 请求来源；
(3) 构造恶意 HTML 页面，自动提交恶意 POST/GET 请求；
(4) 诱导已经登录目标网站的用户打开恶意页面，请求会自动携带用户 Cookie 执行敏感操作；

2.简易 CSRF 攻击 POC 示例：

<form action="http://靶机网站/modifyPwd.php" method="POST"> <input type="hidden" name="newpwd" value="123456"> </form> <script>document.forms[0].submit();</script>