[Portswigger] Authentication

인증 취약점 
인증과 승인(인가)의 차이는 인증은 사용자가 누구인지 파악하는 절차이고 인가는 작업을 수행할 수 있는 권한을 확인하는 절차이다.

무차별 공격
사용자이름이 추측하기 쉬울 가능성이 높다.
admin administrator 등등
이외의 

비밀번호의 강도
(우리나라) 8자리 이상 3가지 종류(소문자, 대문자, 숫자, 특수기호)

사용자 이름 열거
(추측 가능한 계정정보 취약점과 유사함)
유효한 계정과 잘못된 비밀번호를 입력할 때 비밀번호만 잘못되었다고 안내를 받았을 때
회원가입 페이지에서 이미 사용된 사용자라는 안내를 받았을 때

이후에는 상태코드 오류메시지 응답시간 등으로 파악이 가능합다.

이제 이를 근거해서 labs에 접속하면 문제가 나오는데 특정 이름들을 대입했을 때 Invalid username이라는 문구가 나옴
apps 혼자
Invalid password라는 문구를 띄우므로 그 이후에 패스워드 사전을 대입하면 된다.
비밀번호는 hunter이다.

이중 인증 우회
wiener@exploit-0a2b00370353943c90e47451017c00d4.exploit-server.net

https://0ad900640329948990d37519000c007e.web-security-academy.net/my-account?id=wiener

그냥 2차 인증 시도 떄 url로 이동하면 문제가 풀린다.
이중 인증이 유효하지 못할때의 케이스를 문제로 보여준 것