账户枚举.

利用应用响应差异来判断目标系统中存在哪些账户、邮箱或手机号的攻击。 它属于网络安全的 身份与访问 分类。

利用应用响应差异来判断目标系统中存在哪些账户、邮箱或手机号的攻击。

账户枚举利用的是应用在账户存在与不存在时表现的差异——登录、注册或找回密码时返回不同的错误信息、响应时间差异,或不同的 HTTP 状态码。攻击者通过尝试大量候选标识符,逐步整理出有效账户列表,再用钓鱼、凭据填充或密码喷洒等手段加以利用。该漏洞常见于登录表单("用户不存在" vs "密码错误")、密码重置("已发送邮件" vs "无此账户")和注册流程("邮箱已注册")。常见对策包括统一的错误信息、恒定时间响应、通用提示文案、按 IP 与账户的速率限制、滥用时的 CAPTCHA,以及通过 MFA 缓解后续攻击。

针对 账户枚举 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: 用户枚举, 标识符枚举。