场景：通过不同的响应来枚举用户名

睡觉之前无聊开一点简单题玩玩。都是很熟悉的。

浏览器提交登录表单时，

服务器一般有三种结果：

  • 用户名不存在
  • 用户名存在，但密码错误
  • 用户名和密码都正确

安全的系统对前两种情况应尽量返回相同的提示，例如统一显示“用户名或密码错误”。否则，攻击者就可以根据响应差异判断某个用户名是否存在。

image-20261022235243757

狙击手爆破用户名，

然后爆破密码

image-20261022235530322

补充：

几种攻击模式的不同：