账号口令枚举

漏洞描述：存在于系统登录页面，利用登陆时输入系统存在的用户名错误密码和不存在的用户名错误密码，返回不同的出错信息可枚举出系统中存在的账号信息。

测试方法：

找到网站或者web系统登录页面。

在web系统登录页面，通过手工方式，利用系统中存在的用户名和不存在的用户名，密码随意，尝试登录，查看其回显内容，需

风险分析：攻击者根据Web应用程序返回的上述提示信息即可枚举系统中存在的登录用户名，然后针对枚举出来的登录用户名，对其密码进行暴力破解。

风险等级：

【低危】：可通过返回关键字对系统可用账号进行枚举。

修复方案：建议对网站登录页面的判断回显信息修改为一致：用户名或密码错误。