nav[aria-label="Primary Navigation"] { padding: 0; & ul { list-style: none; width: 100%; display: flex; flex-direction: row; justify-content: start; align-items: start; gap: 30px; padding: 0; & li { margin: 0; } & ul li { list-style: none; } } }

Discussion sur les tests d’intrusion : évaluer la résistance à l’énumération des comptes

AdminUser

Discussion sur un test préparé. Comment valider l’évaluation de la résistance à l’énumération des comptes dans le cadre d’une intervention autorisée ?

Scénario : comparez les réponses aux demandes de réinitialisation et de connexion pour un compte de test connu et une adresse inconnue synthétique, à faible volume. Quelles mesures de protection prendriez-vous, quels éléments permettraient de reproduire le résultat et comment confirmeriez-vous qu’un correctif fonctionne ?

Guide associé : https://pentest.vanillatesting.com/kb/articles/29-assessing-account-enumeration-resistance

Réponses

AdminUser

Approche de test : Comparez les réponses à la réinitialisation et à la connexion pour un compte de test connu et une adresse fictive inconnue, à faible volume. Respectez le périmètre défini par écrit et utilisez des comptes ou des objets de test dédiés.

AdminUser

Preuves : Consignez les codes de réponse, le texte et les plages horaires sans collecter de véritables adresses d’utilisateurs. Masquez les identifiants, les jetons et les données personnelles avant de partager le résultat.

AdminUser

Corriger et tester à nouveau : Utilisez des réponses cohérentes vers l’extérieur et surveillez les tentatives répétées de sondage. Répétez la vérification initiale après le déploiement et consignez le résultat.