Domande con tag 'user-enumeration'

domande con tag
2
risposte

Gestione della violazione della privacy degli utenti registrati durante l'autenticazione fallita

Siamo avanti e indietro discutendo su come gestire i problemi di privacy durante l'autenticazione fallita, la reimpostazione della password e la creazione dell'account su un'applicazione web. Diciamo che sono in procinto di creare un account...
posta 16.05.2018 - 10:53
1
risposta

Messaggi di errore informativi nella funzionalità di reimpostazione della password?

Quando sto implementando la funzionalità di reimpostazione della password di solito non includo messaggi informativi sul fatto che sia stato trovato un utente, perché ho sempre creduto che possa portare all'enumerazione del nome utente. Quindi,...
posta 09.03.2016 - 17:29
1
risposta

Fornire agli utenti inesistenti con sali falsi impedisce l'enumerazione degli utenti?

Sfondo Attualmente sto impostando un nome utente e un ampli di base; processo di accesso basato su hash per un'applicazione web. Il processo consiste dei seguenti passaggi: L'utente invia il suo nome utente. Il server risponde con salt....
posta 27.10.2015 - 11:10
3
risposte

Quali attacchi sono possibili se riesci a racimolare un elenco di utenti?

Ci sono stati attacchi (o puoi pensare a un potenziale attacco) che dipendevano dalla possibilità di capire se un utente esiste in un sistema? Ad esempio, in un'app Web c'è una pagina "Reimposta password" in cui si inserisce un indirizzo e-ma...
posta 17.03.2017 - 06:44
2
risposte

Perché diversi bug bug ignorano l'enumerazione degli utenti?

Durante la visualizzazione dei bounty bug, ho notato che la maggior parte dei bug bounty elenca l'enumerazione degli utenti nell'elenco escluso. Ad esempio, per forzare brute account utente, i moduli password dimenticati rientrano generalmente i...
posta 31.05.2016 - 07:21
1
risposta

Le chiavi del Registro di sistema di Windows non impediscono l'enumerazione di utenti / gruppi tramite sessione nulla

Durante il test del nostro controller di dominio Windows (Server 2012 R2), ero in grado di utilizzare l'utilità Linux rpcclient per enumerare account e gruppi utente tramite una sessione Null (vedere l'output sotto). Controllando le chiavi de...
posta 03.03.2017 - 06:22
2
risposte

È vulnerabile consentire agli utenti di conoscere il proprio ID di altri utenti da un database?

Dire, ho una tabella Utenti con ID che è un numero intero. Ogni utente in qualche modo è a conoscenza del proprio id in qualche modo, ad esempio, in un url al proprio profilo è incluso l'id. O è esposto a loro in qualche altro modo, non è così....
posta 22.11.2016 - 10:01
1
risposta

Come testare efficacemente il rischio di enumerazione del nome utente?

Sono responsabile di alcune applicazioni Web pubbliche e voglio testarle per il rischio di enumerazione del nome utente come spiegato in Test per l'enumerazione utente e l'account utente prescelto (OWASP-AT-002) dal progetto OWASP. Queste a...
posta 19.09.2016 - 16:49
1
risposta

Dovrei essere preoccupato per la vulnerabilità di enumerazione degli utenti di WordPress REST API?

Con l'attuale API di WordPress puoi ottenere un elenco di nomi utente e indirizzi email di tutti gli utenti del sistema senza alcuno sforzo: <url>/wp-json/wp/v2/users Emette qualcosa come: [{ "id":1, "name":"admin", "url":""...
posta 10.02.2017 - 02:14
2
risposte

Come proteggere l'endpoint di convalida della posta elettronica?

Abbiamo la convalida e-mail nel nostro modulo di registrazione (una chiamata Ajax a un endpoint REST per convalidare un indirizzo e-mail quando un utente lo inserisce). Diamo un nome normale, nome, cognome, email, password, indirizzo ... Abbiamo...
posta 06.11.2017 - 19:35