这种帐户锁定机制会增加泄露用户名的信息泄漏漏洞的严重性吗？

Question

我在公司网站上发现了一个信息泄漏漏洞，我发现这些信息包含了用户的所有用户名。

我还注意到，应用程序使用了一种锁定机制，在5次尝试30分钟后将用户锁定。

那么，这种锁定会被认为是一个漏洞吗？

是的，帐户锁定不是漏洞，但是信息泄漏是否会增加问题的严重性？

Answer 1

我认为这是一个严重的弱点。这可能导致攻击，攻击者可以锁定每个用户30分钟。

除非公司有VPN或其他保护机制，否则就有可能下载整个用户列表，向所有用户抛出假密码，并将整个公司锁定在外。

他们甚至可以将其循环起来，并在很长一段时间内拒绝所有员工的访问。

Answer 2

我会从另一个角度看它：

了解用户列表是否会增加可攻击帐户锁定机制的严重性？

用户名通常不是随机的，而是基于人的名称，因此即使没有特定的知识，您也可以枚举可能的用户名(基于通用名称的字典)，并迅速提交它们以触发对任何有效的用户名的锁定。

锁定系统可以而且应该防止此类攻击，例如，不管试图使用什么用户名，都可以将来自单个IP地址的请求锁定或速率限制。这只需使攻击者放慢速度，使枚举变得不切实际。

了解用户名列表可以减少需要枚举的字典的大小。这可能是一个足够的推动，使攻击切实可行，但这取决于你需要多少用户目标，以及系统有什么措施，以减缓你的速度。

知道用户名也可以帮助你在不触发其他保护的情况下锁定高价值账户，但这些用户名可能也可以从有关关键工作人员的公开信息中猜测出来，所以这也是一个小小的推动，而不是攻击的根本改变。