登录框弹出来的用户时候，我通常先不急着输密码。枚举鼠标停在“忘记密码”那个链接上，漏洞右键，测试复制链接地址，用户新标签页打开。枚举这一步不是漏洞走流程，而是测试测试的开始——用户枚举漏洞往往就藏在这条看似无害的找回密码路径里。

拿一个真实的用户例子说。某政务平台，枚举输入手机号后点击“获取验证码”，漏洞响应时间差了将近两秒。测试同一个号码重复三次，用户每次都提示“验证码已发送”。枚举换一个没注册过的漏洞号码，响应几乎瞬时，提示语变成“该手机号未注册”。这已经算直白的了。更隐蔽的是那些返回同样提示，但响应时间明显不同的系统——注册过的账号走数据库查询，没注册的直接走缓存，时间差就是信号。

还有更刁钻的玩法。有些系统会把用户名或邮箱作为URL参数传进重置密码页面，比如 reset.php?user=admin。这时候观察页面标题、CSS类名甚至返回的HTTP状态码都可能泄露信息。admin存在时返回200，不存在返回302跳转，或者干脆返回一个自定义的404页面——你不需要看到明文，状态码本身就是答案。

但别以为只有程序员粗心才会犯这种错。我见过某大厂内部系统，把所有错误提示统一成“操作失败”，连响应时间都做了随机延迟，看起来无懈可击。结果呢？注册接口里，用户名重复时返回的JSON多了一个字段："exist": true。前端不展示这个字段，但接口文档里写了。测试的人没删干净，就成了突破口。

这种漏洞危害有多大？往小了说，攻击者能批量验证哪些邮箱或手机号在某个平台注册过，用于钓鱼精准投放。往大了说，配合撞库攻击，直接锁定有效账号，省去大量无效尝试。更麻烦的是，用户枚举常常是其他攻击的跳板——知道账号存在后，暴力破解、密码喷洒、社工钓鱼的成功率都会成倍上升。

测试方法其实不难，关键在细心。手动测几个典型场景就有感觉：注册、登录、找回密码、修改资料，凡是涉及账号唯一性校验的地方都值得试。留意三件事：错误提示是否区分账号存在与否；响应时间是否有可观察的差异；返回内容里有没有多余的字段或注释。有时候甚至不用发请求，看前端JS代码里有没有写死的用户列表。

我习惯用Burp Suite的Comparer功能对比两个响应的差异，但真正有效的还是靠直觉——先猜开发人员会在哪里偷懒。比如他们可能统一了错误提示，但忘了改验证码发送接口；可能做了时间随机化，但忘了处理账号锁定状态。漏洞测试的本质不是跑工具，是跟开发者的懒惰较劲。

最后说个反直觉的发现。很多时候，修复用户枚举漏洞反而会引入新问题。有些团队把所有错误提示改成“账号或密码错误”，结果把找回密码功能也搞废了——用户连自己是否注册过都搞不清楚。更糟的是，有些系统干脆关掉账号锁定机制，导致暴力破解反而更容易。安全测试的悖论就在这：你以为堵住了一个口子，可能不小心拆了另一面墙。

(责任编辑：百科)