用户名枚举.

账户枚举的一种特定形式,通过应用响应确认某个用户名是否存在,从而帮助攻击者更有针对性地发起后续攻击。 它属于网络安全的 身份与访问 分类。

账户枚举的一种特定形式,通过应用响应确认某个用户名是否存在,从而帮助攻击者更有针对性地发起后续攻击。

用户名枚举是账户枚举的一种特定形式,只是被探测的标识符是用户名,而非邮箱或手机号。区分 "用户不存在" 和 "密码错误" 的登录页、显示 handle 是否存在的找回密码流程、对未知用户返回 404、对密码错误返回 401 的 API、以及在注册时提示 handle 已被占用的表单,都会形成这种判定预言机。掌握有效用户名列表后,攻击者可以以低速、低尝试次数进行密码喷洒,针对性地实施社会工程,或在不同服务间关联同一身份。常见对策包括统一的错误信息、通用的密码重置提示、速率限制、检测到滥用时启用的 CAPTCHA,以及通过 MFA 降低后续影响。

针对 用户名枚举 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: 用户枚举, 登录枚举。