VIP20

本课程属于：026-车规设备身份安全 物联网安全与设备身份认证 · 共 20 门相关课程，组合学习更完整。

查看所属VIP全部课程 →

← 返回所属目录咨询 / 购买

破解诊断认证中的常见身份漏洞

📚 共计 30 章节

点击此处阅读海量试读课程：100+行业、1000+细分领域

认证基础：什么是身份认证？

认证三要素（你知道/拥有/是）及常见认证协议概览，构建身份安全基石。

核心概念协议

口令认证漏洞

弱口令、默认口令、暴力破解与字典攻击的防御与绕过，实战攻防技术。

口令暴力破解

会话管理漏洞

会话固定攻击、会话劫持（XSS/网络嗅探）、会话超时设置不当。

Token与JWT漏洞

JWT无签名验证、alg混淆攻击、敏感信息泄露、Token泄露与重放。

OAuth 2.0与SSO漏洞

CSRF攻击授权码拦截、重定向URI劫持、开放重定向漏洞。

多因素认证（MFA）绕过

MFA疲劳攻击、备用码泄露、SIM交换与OTP拦截。

密码找回与注册漏洞

用户枚举、验证码绕过、重置链接Token可预测、邮箱/手机号未验证。

密码找回注册

LDAP与Active Directory认证漏洞

LDAP注入、Kerberos黄金票据/白银票据攻击。

API认证漏洞

API Key硬编码、缺乏速率限制、未授权访问（BOLA）、GraphQL认证绕过。

生物识别认证漏洞

指纹/人脸识别绕过（照片/视频/硅胶指纹）、活体检测绕过。

生物识别活体

证书认证漏洞

客户端证书伪造、证书验证逻辑缺陷、mTLS配置错误。

单点登录（SSO）实现漏洞

SAML断言伪造、签名验证缺失、XML外部实体注入（XXE）。

认证日志与监控缺失

缺乏登录失败记录、无异常检测、日志篡改风险。

认证绕过之路径遍历与直接请求

未授权访问受保护资源、IDOR与权限提升。

路径遍历IDOR

认证绕过之HTTP方法篡改

PUT/DELETE/PATCH绕过认证检查、HTTP头注入。

HTTP方法篡改

认证绕过之参数污染

重复参数绕过、HPP攻击、JSON/XML解析差异。

参数污染HPP

认证绕过之缓存投毒

Web缓存污染导致认证绕过、CDN配置错误。

缓存投毒CDN

认证绕过之CORS配置错误

跨域请求伪造、凭证泄露、预检请求绕过。

认证绕过之WebSocket认证缺失

WebSocket握手无认证、消息伪造。

WebSocket握手

认证绕过之反序列化漏洞

PHP/Java/Python反序列化导致认证绕过。

反序列化RCE

认证绕过之SSRF

服务端请求伪造访问内部认证接口、云元数据泄露。

SSRF云元数据

认证绕过之HTTP请求走私

CL/TE差异导致认证绕过、前端后端解析不一致。

请求走私CL.TE

认证绕过之Race Condition

并发请求绕过一次性Token、抢注漏洞。

认证绕过之逻辑漏洞

步骤跳过、状态篡改、负值/边界值绕过。

逻辑漏洞边界

认证绕过之文件上传漏洞

上传WebShell绕过认证、MIME类型欺骗。

文件上传WebShell

认证绕过之模板注入（SSTI）

服务端模板注入获取管理员权限。

SSTI模板注入

认证绕过之命令注入

OS命令注入绕过认证检查、盲注利用。

认证绕过之SQL注入

万能密码、基于错误的认证绕过、时间盲注。

SQL注入万能密码

认证绕过之NoSQL注入

MongoDB注入绕过认证、JSON查询注入。

认证体系加固与最佳实践

纵深防御、零信任架构、认证安全审计清单。

加固零信任