OWASP方法论-身份鉴别管理篇

:::info 💡 根据 遗忘曲线：如果没有记录和回顾，6天后便会忘记75%的内容
笔记正是帮助你记录和回顾的工具，不必拘泥于形式，其核心是：记录、翻看、思考 :::

思维导图

用思维导图，结构化记录本书的核心观点。

身份鉴别管理

角色定义测试

一个应用至少有管理员和普通用户两个级别的角色，有些还有审计用户，操作员什么的。测试每个级别的用户是否真的被正确分配了该有的权限。

最低权限原则，在分配用户权限时，能不给就不给。 登录每个级别的用户，看权限情况。

用户注册过程

看应用是怎么处理注册过程的，或者系统到底需不需要注册。

如果系统特殊，只能管理员来新建用户，不开放注册。 是否任何人都可以注册。 是人工审核还是自动审核。 能否同名注册。 能否注册管理员。
注册验证是否太简单，或者根本没要求。

账户权限变化

当账户的权限发生变化时，比如从普通用户提升到高级权限，或者删除账户，程序是怎么处理的。

管理员能否取消自己的权限，导致没有管理员。 普通用户能否删除自己，管理员能否删除自己。 管理员能否被禁用。 删除用户是否弹窗二次确认。

用户枚举

这个主要是爆破用户名，或者手动猜测，得到用户名，再爆破密码，降低攻击成本。

如果没有次数限制，或者没有验证码，使用burp抓包，爆破用户名，根据响应包的长度或不同响应判断。 当然用户枚举不仅仅是在登录口，注册口，也可以是任何有用户名的地方，比如url，查看个人主页处。