Co to jest Username Enumeration?

znane również jako: wyliczanie kont, atak na prawidłowe nazwy użytkowników

Szybka odpowiedź · Username enumeration to technika odkrywania, które nazwy użytkowników lub adresy e-mail mają konta na platformie, poprzez wykorzystanie różnic w odpowiedziach platformy — błąd logowania mówiący 'nieprawidłowe hasło' w przeciwieństwie do 'nie ma takiego użytkownika', strona resetu potwierdzająca istnienie e-maila. Platformy celowo zamykają te luki; wykorzystywanie ich na dużą skalę narusza regulamin i, w wielu krajach, prawa dotyczące nadużyć komputerowych.

Sprawdź teraz — TraceSeek przeszukuje 3.000+ platform w 20–30 sekund. Pierwsze skanowanie za darmo.

⬇︎ iOS ⬇︎ Android

Wyliczanie jest ważne do zrozumienia w dwóch kierunkach. Jako problem platformy, to luka bezpieczeństwa: każda odpowiedź odróżniająca zarejestrowanych użytkowników od niezarejestrowanych wycieka listę użytkowników po jednej próbie na raz, dlatego odpowiedzialne platformy ujednolicają komunikaty o błędach i ograniczają częstotliwość przepływów resetu.

Jako granica prawna dla badaczy, to jedna z najostrzejszych linii w tej dziedzinie: sondowanie stron resetu na dziesiątkach platform w celu mapowania czyichś kont jest wyliczaniem niezależnie od intencji i jest powodem, dla którego etyczne narzędzia weryfikują poprzez publiczne profile zamiast tego. Skan nazwy użytkownika sprawdza tylko publiczne powierzchnie — odczytuje to, co platformy publikują, zamiast przesłuchiwać ich systemy uwierzytelniania.

Powiązane terminy

Email Enumeration · Odwrotne Wyszukiwanie Nazwy Użytkownika · OSINT (wywiad z otwartych źródeł)

Przeczytaj pełne przewodniki

Username Enumeration FAQ

Czy username enumeration jest nielegalne?

Robienie tego wbrew regulaminowi platformy i na dużą skalę bardzo często jest — przecina się z prawami dotyczącymi nadużyć komputerowych i przeciwdziałania nadużyciom w wielu krajach. Weryfikacja danych publicznych poprzez strony profilowe i skany tego nie dotyka, dlatego renomowane narzędzia wybierają tę drogę.

Dlaczego platformy używają ogólnych komunikatów o błędach?

Aby odebrać sygnał wyliczającym. 'Nieprawidłowa nazwa użytkownika lub hasło' w obu przypadkach oraz ogólne potwierdzenia resetu istnieją właśnie po to, by odpowiedzi nie można było wykorzystać do mapowania, kto ma konto. Brak potwierdzenia nigdy nie jest dowodem braku.

Gotowy, aby kogoś sprawdzić?

Zobacz, co ujawnia nazwa użytkownika

Zgodnie z informacjami o produkcie, TraceSeek przeszukuje 3.000+ platform w 20–30 sekund i wyświetla publicznie dostępne profile pasujące do nazwy użytkownika. Pierwsze skanowanie jest darmowe. Potencjalne dopasowania wymagają ręcznej weryfikacji. Pierwsze skanowanie nie wymaga rejestracji ani logowania.

⬇︎ Pobierz na iOS ⬇︎ Pobierz na Androida

Działa na iPhone’ach i Androidach · Skanowanie w 20–30 sekund · 3.000+ platform