تست مکانیزم قفل حساب ضعیف

تست مکانیزم قفل حساب چیست؟

تست مکانیزم قفل حساب شامل بررسی مکانیزم‌های محافظتی برنامه در برابر حملات brute force و تلاش‌های مکرر ناموفق ورود است.

چرا این تست مهم است؟

بدون مکانیزم قفل حساب، مهاجمان می‌توانند با امتحان کردن ترکیب‌های مختلف نام کاربری و رمز عبور، به حساب‌های کاربران دسترسی پیدا کنند.

روش‌شناسی تست

مرحله ۱: بررسی مکانیزم قفل

بررسی کنید که آیا بعد از تعداد مشخصی تلاش ناموفق، حساب قفل می‌شود.

مرحله ۲: بررسی محدودیت نرخ

بررسی کنید که آیا محدودیتی برای تعداد درخواست‌های ورود در واحد زمان وجود دارد.

1# تست تلاش‌های مکرر ورود
2for i in $(seq 1 20); do
3  response=$(curl -s -o /dev/null -w "%{http_code}" \
4    -X POST https://target.com/api/login \
5    -d "username=admin&password=wrong${i}")
6  echo "Attempt ${i}: ${response}"
7done

یافته‌های رایج

• عدم مکانیزم قفل حساب
• قفل نشدن حساب بعد از تلاش‌های ناموفق
• عدم محدودیت نرخ درخواست
• عدم لاگ‌برداری از تلاش‌های ناموفق

تأثیر

عدم مکانیزم قفل حساب می‌تواند منجر به حملات brute force موفق و دسترسی غیرمجاز شود.

راه‌حل

• قفل حساب بعد از ۳ تا ۵ تلاش ناموفق
• محدودیت نرخ درخواست ورود
• استفاده از CAPTCHA بعد از تلاش‌های ناموفق
• لاگ‌برداری و اطلاع‌رسانی از تلاش‌های مشکوک