Laravel认证漏洞指南：示例与预防措施

身份验证失效是指一组互联网应用程序漏洞，可能导致用户会话被盗。也就是说，在身份验证失效的情况下，攻击者会试图冒充服务的实际用户。同样，Laravel 身份验证失效是指 Laravel 应用程序中可能导致用户会话被盗的漏洞。 

黑客会使用各种方法来利用身份验证漏洞。例如，黑客可以通过不安全的协议拦截包含敏感数据的 HTTP 请求。其他方法包括利用弱密码和网络钓鱼。 

身份验证失效是 Web 应用程序中非常严重的漏洞。根据OWASP 的说法，“攻击者可以访问数亿个有效的用户名和密码组合，用于凭据填充、默认管理帐户列表、自动暴力破解和字典攻击工具。” Laravel 应用程序中的身份验证失效会使您的应用程序很容易受到黑客攻击。

在本文中，您将了解什么是Laravel失效身份验证，并查看示例和预防每种漏洞的可能方法。为了更好地理解这个主题，让我们看看什么是会话和身份验证。我们将在本文的其余部分多次提到这两个术语。

会话和身份验证的含义

会话和身份验证经常一起使用。它们相关，但含义不同。您的应用程序可能会在身份验证之前为用户启动会话。 

会议

会话可识别特定时间点或时间段内的特定用户。当用户访问网站时，新会话开始，并且会话保持活动状态直到用户离开。大多数网站会在一定时间不活动后终止当前会话 。

通常，Web 服务器为每个会话分配一个唯一的 ID，称为会话 ID。

验证

身份验证的一个常见示例是登录系统验证用户名和密码组合。身份验证为 Web 应用程序的用户提供了一种识别自己的方法。身份验证成功后，用户可以访问个性化内容。 

Laravel 具有开箱即用的身份验证功能。开发人员可以选择使用 Laravel 的默认身份验证系统或实现自己的身份验证系统。身份验证实现不当可能会导致您的 Laravel 应用程序容易受到身份验证故障的影响。

Laravel 身份验证失败的示例

现在我们知道了什么是身份验证失败，让我们使用以下示例仔细看看 Laravel 身份验证失败： 

• 会话劫持
• 登录凭证被盗

1. 会话劫持

我们也可以把这种类型的攻击称为会话窃取。攻击者会获取用户的会话 ID。然后攻击者可以使用被盗 ID 冒充用户，甚至无需知道用户名和密码。被盗会话可直接访问用户的帐户。 

黑客使用多种方法来窃取会话。例如，攻击者可以从非 HTTPS 请求中窃取会话 ID。另一种方法是使用应用程序的 URL。某些应用程序将用户的会话 ID 作为 URL 参数。这使攻击者更容易窃取用户会话。以下是 URL 中会话 ID 的示例： 

http://example.com/dashboard/?session=xQees8isbf

预防

您可以通过为所有请求启用 HTTPS 来防止或保护您的 Laravel 应用程序免遭会话劫持。HTTPS 请求是安全的，并使用TLS加密。因此，任何人都很难在客户端和服务器之间的通信期间窃取会话 ID。

如果攻击者设法获取有效会话 ID，您仍然可以通过实施某种形式的验证来防止用户冒充。例如，您可以检查新请求的来源是否与会话的原始所有者具有相同的 IP 地址。但是，这种做法可能会导致糟糕的用户体验，因为用户的 IP 地址可能会在活动会话期间发生变化，从而导致误报。 

此外，请避免使用容易预测的会话 ID 值。会话 ID 应唯一且难以猜测。最佳做法是在用户登录后为其生成新的会话 ID，并从 URL 中删除会话 ID。

2. 登录凭证被盗

这种 Laravel 身份验证漏洞涉及攻击者获取受害者的实际密码和用户名。就像上一个例子一样，攻击者可以使用不同的方法和技巧来窃取用户登录详细信息。 

使用弱密码是登录信息被盗的常见原因。短密码很弱，攻击者很容易猜到。例如，“123456”、“password”和“qwerty”就是常见的弱密码。密码管理器NordPass的一份报告显示，“123456”是 2020 年最流行的密码。 

导致登录凭据被盗的另一个原因是以纯文本形式存储和发送密码。以纯文本形式存储的密码很容易成为攻击者的目标。攻击者可以利用其他安全漏洞（如SQL 注入）来访问整个用户登录凭据数据库。 

黑客使用的第三种方法是网络钓鱼。网络钓鱼是一种非常严重的网络安全威胁，作为开发人员，您几乎无法保护用户免受其侵害。在网络钓鱼中，攻击者诱骗用户在攻击者控制的表单上提交用户名和密码。例如，攻击者可能会向毫无戒心的用户发送电子邮件，假装是他们使用的服务。此类电子邮件包含指向网络钓鱼网站的链接，如果用户点击该链接并填写表单，他们就会泄露自己的登录详细信息。 

预防

现在，让我们了解一些修复由于密码薄弱而导致 Laravel 身份验证失败的方法。 

防止密码漏洞的第一步是实施强密码策略，防止用户使用“123456”和“password”等容易猜测的密码进行注册。例如，您可以要求用户在密码中包含大写和小写字母，以及数字和特殊字符。 

除了强密码策略之外，你还可以通过设置登录尝试次数限制来减少 Laravel 身份验证失败的可能性。这允许用户在输入错误密码后仅重试几次登录。攻击者可能会使用反复试验的方法（暴力破解）来猜测登录详细信息。限制登录尝试次数可以减少他们的尝试次数，从而降低风险。

以下代码展示了如何在 Laravel 8 中实现登录尝试限制：

Route::post('/login', [LoginController::class, 'login'])->middleware("throttle:8,2");

此代码将内置的 Laravel 节流中间件添加到登录路由。该中间件将路由限制为两分钟内八个请求。 

为了防止 Laravel 因数据库泄露而导致身份验证失败，切勿以纯文本形式存储密码。您还应该为登录和注册页面以及端点启用 HTTPS。也就是说，切勿通过不安全的协议传输密码。 

我们要考虑的最后一项措施是使用多因素身份验证。这种方法甚至可以提供一些针对网络钓鱼的防御措施，因为它要求用户输入令牌，通常通过电子邮件或短信发送。但是，如果用户的电子邮件也受到威胁，这种方法可能会失败。进一步降低网络钓鱼危险的有效方法是教育和阻止用户与可疑网站互动。

关键要点

我们已经结束了有关 Laravel 身份验证失败的文章，这里有几点需要注意： 

• 破坏的身份验证是多个 Web 应用程序漏洞的名称，这些漏洞可让攻击者冒充合法用户。
• Laravel 应用程序容易受到身份验证漏洞的攻击。
• 使用 HTTPS、强密码策略、登录尝试限制和多因素身份验证等做法可以大大降低 Laravel 身份验证失败的风险。

文章来源：Laravel Broken Authentication Guide: Examples and Prevention