用途：识别并验证 Web 应用的身份认证与会话管理漏洞，属于 OWASP Top 10 常见风险，可能导致账户接管与未授权访问。
主要能力：分析认证机制（密码、令牌、证书、多因素）；测试密码策略与弱口令；检测用户名枚举；暴力破解与撞库；会话令牌熵、长度、可预测性及 Cookie 标志检查；会话固定与超时测试；MFA 绕过与 OTP 爆破；密码重置令牌与流程测试。
使用方式：需具备 HTTP、会话机制、认证类型与 Cookie/令牌处理知识；工具包括 Burp Suite、Hydra、自定义字典与浏览器开发者工具；需目标 URL、测试账号与书面授权。工作流分阶段：分析认证端点、测试密码策略、枚举凭据、暴力破解、撞库、会话管理、会话固定、超时、MFA、密码重置。示例命令：hydra -l admin -P /usr/share/wordlists/rockyou.txt target.com http-post-form "/login:username=^USER^&password=^PASS^:Invalid credentials"。
适用场景：授权渗透测试、安全评估与加固建议。
限制：仅限书面授权测试，避免使用真实泄露凭据或访问真实账户；CAPTCHA、速率限制与 MFA 会增加难度；测试环境可能与生产不同，第三方认证可能不在范围内。