用途：面向授权安全测试的认证机制攻击手册，聚焦登录机制本身（JWT/OAuth 另见其它技能）。
主要能力：SQL 注入登录绕过；密码重置漏洞（令牌可预测、不失效、可复用、Host 头注入、Referer 泄露、无需当前密码改密）；账户枚举；暴力破解防护绕过（IP 头轮换、反向爆破、撞库）；MFA 绕过（跳过 2FA、代码爆破/复用、备份码滥用）；OAuth/SSO 接管模式；用户名与密码字段操纵（bcrypt 72 字节截断、空字节截断、Unicode 规范化）；会话管理缺陷（登出未失效、权限变更未重生成、会话令牌可预测）；令牌可预测性（UUID v1、MongoDB ObjectId、PHP uniqid/mt_rand）。
使用方式：按检查清单逐项测试，如登录字段注入 ' OR 1=1--、请求密码重置比对令牌模式、抓取登出前后会话 Cookie 重放、修改 Host 头观察重置链接指向。涉及命令示例：hydra -C credentials.txt https-post-form://target.com/login:"username=^USER^&password=^PASS^":"error message"；工具包括 guidtool、AethliosIK/reset-tolkien、openwall/php_mt_seed、sandwich。
限制：仅限获得授权的测试；具体目标环境、价格或平台信息资料未提供。