---
category: web
name: pentest-login
description: 登录与鉴权测试 - Token权限分析、认证绕过、暴力破解、JWT/OAuth攻击、验证码绕过
when_to_use: JS分析和API发现完成后
---

# 登录与鉴权测试

## 安全规则

- **密码重置不测试**：涉及修改用户数据，必须询问用户确认。放最后当备选
- **锁定策略检测优先**：发现锁定后每轮上限=阈值-1。例如5次锁定→最多4次
- 仅测试授权目标

## 文件组织

```
tmp/<时间戳>/raw/login/
├── auth_endpoints.txt
├── token_analysis.txt
├── auth_bypass.txt
├── brute_force.txt
├── jwt_analysis.txt
├── oauth_analysis.txt
└── captcha_mfa.txt
```

## 前置判断

如果前面阶段已拿到有效账号密码（硬编码/默认凭据）→ 跳过阶段3（绕过）和阶段4（爆破），直接进入阶段2（Token分析）和阶段5-7（JWT/OAuth/MFA）。

## 阶段1：鉴权接口汇总

从 pentest-js 和 pentest-api 结果提取：登录/注册/Token刷新/登出/验证码/SSO回调。密码重置接口仅收集不测试。

## 阶段2：Token 权限分析

获取Token优先级：pentest-js硬编码Token > 运行时存储 > 访客注册 > 默认凭据试登录。

JWT解码 payload 提取：`role`/`userId`/`exp`/`iss`/`tenant`。

判断角色：guest→尝试越权，user→尝试访问管理接口，admin→验证后跳过越权。

## 阶段3：认证绕过

核心手段：空Token(`Bearer `)、伪造Token(`Bearer admin`)、JWT none算法、自定义认证头(`X-Auth-Token`/`X-User-Id`/`X-User-Role`)、路径修改(去admin前缀/..绕过)、参数覆盖(`?role=admin`)、IP白名单绕过(`X-Forwarded-For: 127.0.0.1`)、HTTP方法变换、Content-Type变换。

## 阶段4：暴力破解

**先测锁定策略**：连续错误登录10次 → 观察第N次响应差异 → 阈值=N → 后续每轮上限=阈值-1。

用户名枚举：存在vs不存在用户的响应差异、时间侧信道。

弱密码测试：admin/admin/root/test/guest系列，每轮不超过阈值。

## 阶段5：JWT

- none算法：`{"alg":"none"}.payload.`（无签名）
- 算法混淆：RS256→HS256（公钥当secret）
- 弱密钥：secret/123456/password/jwt_secret
- 时效：exp-iat>1天 → 过长；无exp → 永不过期

## 阶段6：OAuth2

关注点：grant_type共存(password+client_credentials)、scope未细分(用普通client的Token试admin接口)、secret硬编码在JS。

## 阶段7：验证码/MFA

图形码：重复使用/不绑定Session/响应中返回code。
短信码：4-6位可爆破/有效期过长/响应返回。
MFA：跳过2FA步骤/备用码可枚举。

## 阶段8：密码重置（最后备选）

必须用户确认后才测试：Token可预测性/响应返回/URL传输(Referer泄露)/验证码爆破/旧Token未失效。