用户名枚举通过时序攻击 (Username Enumeration via Timing Attack) 漏洞概述 Sync-in/server 的 端点存在逻辑缺陷,允许未认证的远程攻击者通过测量应用程序的响应时间来枚举有效用户名。 影响范围 受影响版本: <= 2.1.0 修复版本: 2.2.0 CVSS 评分: 6.9 / 10 (Moderate) 攻击向量: 网络 攻击复杂度: 低 特权要求: 无 用户交互: 无 修复方案 升级至版本 2.2.0 或更高版本。 验证与利用细节 该漏洞利用后端行为差异:在验证用户时,如果用户存在,会进行密码哈希计算(耗时较长);如果用户不存在,则直接返回 false(耗时较短)。攻击者通过测量响应时间的差异(有效用户约 350-400ms,无效用户约 95-100ms)来区分用户名。 漏洞代码片段