Представляю вашему вниманию очередную часть перевода OWASP Testing Guide. В данной статье речь пойдет о выявлении пользователей.

Довольно часто имена пользователей строго подчиняются определенным правилам и создаются в зависимости от имени и фамилии пользователя, например, Bob Bloggs получит аккаунт jbloggs, Fred Nurks — fnurks. Зная эти правила довольно легко перебрать пользователей.

Задачи тестирования

Определить создаются ли имена пользователей подчиняясь определенным правилам и определить эти правила. Определить или сообщения об ошибках позволяет произвести перебор пользователей.

Как тестировать

• Опеределить правила создания имен пользователей
• Изучить реакцию веб-приложения на существующие и несуществующие имена пользователей, используя полученные данные перебрать существующих пользователей, в дальнейшем словарь из пользователей можно использовать для брут форса

Противодействие атакующему

Убедиться в том, что нельзя перебрать пользователей используя сообщения об ошибках.