密码爆破漏洞详解——黑客必修入门操作( 建议收藏 )

这篇具有很好参考价值的文章主要介绍了密码爆破漏洞详解——黑客必修入门操作( 建议收藏 )。希望对大家有所帮助。如果存在错误或未考虑完全的地方,请大家不吝赐教,您也可以点击"举报违法"按钮提交疑问。

隔壁老张: “狗剩啊, 隔壁xx村的王姐家的女娃好漂亮,我想盗她qq啊, 你帮我个忙呗!”
狗剩: “我不会呀!”
村里大妈:“那个狗剩啊, 连盗个qq号都不会,他妈还好意思说他是学网络安全当黑客的”

密码爆破介绍

密码爆破又叫 暴力猜解 , 简单来说就是将密码逐个尝试, 直到找出真正的密码为止, 本质上是利用了 穷举法

穷举法专业点讲是叫 枚举法 , 枚举法的中心思想是逐个考察某类事件的所有可能情况, 从而得出一般结论, 那么这个结论就是可靠的

通常情况下, 我们根据已知的部分条件确定答案的大致范围, 并在此范围内对所有可能的情况逐一验证, 直到全部情况验证完毕, 由于枚举法所需的计算成本太高, 因此我们可以利用计算机运算速度快精度高的特点,来执行枚举过程,理论上来讲, 使用枚举法可以 暴力破解任意一个用户密码, 但实际上枚举法的运算量比较大, 解决效率不高, 如果枚举的范围太大( 一般以两百万次为限制), 在时间上就难以承受了, 换句话来说, 只要你有足够的时间, 你就能破解世界上任意一个账号和密码

密码爆破漏洞详解——黑客必修入门操作( 建议收藏 ),网络安全,网络安全,安全,密码学,web安全,密码爆破

密码爆破使用场景

密码爆破的目标有两种, 一种是针对 网站的高权限用户 , 比如网站的管理员账号

密码爆破漏洞详解——黑客必修入门操作( 建议收藏 ),网络安全,网络安全,安全,密码学,web安全,密码爆破
另一种就是 web应用程序的用户 , 比如ssh, ftp, mysql等, 这些服务往往存在一个高权限用户用来执行命令的操作, 比如mysql的root账号, 这些高权限用户原本是为了给开发人员提供方便, 但如果被爆破了密码, 后果将会不堪设想

密码爆破利用思路

  1. 检查网站是否存在验证码
  2. 尝试登录, 判断网站是否对登录行为有所限制
  3. 判断网站是否采用了双因素认证, Token值认证等身份验证手段
  4. 注册账号, 获取网站对密码的限制, 比如长度必须是8位以上,必须包含字母数字大小写等
  5. 准备一个有效的字典并根据密码的限制条件优化字典, 比如去掉明显不符合要求的密码, 提高爆破的效率
  6. 使用代理工具拦截请求,提供字典开始爆破( 或者自己编写脚本进行爆破)
  7. 如果是后台管理的密码, 可以优先尝试admin/administrator/root这种使用概率较高的账号, 破解过程中注意观察’用户名或密码错误’,'用户名不存在’等提示

需要注意的是, 有些网站的登录界面会提示 用户名不存在 这类提示
密码爆破漏洞详解——黑客必修入门操作( 建议收藏 ),网络安全,网络安全,安全,密码学,web安全,密码爆破
这就意味着开发人员在编写代码时先判断了用户名, 用户名匹配后再判断密码, 这样一来或许效率会高一些, 但逻辑并不严谨, 遇到这种情况我们可以先尝试爆破用户名, 拿到真实的用户名以后再针对密码进行爆破

防范密码爆破

密码的复杂性

毋庸置疑, 提高密码的复杂性是防范暴力破解的第一道防线, 开发人员在设计密码格式的时候一定要采用一些相对复杂的策略, 避免出现’123456’这类的弱口令, 常见的密码策略有以下几种

  1. 密码长度8位数以上, 8位数到16位之间最合适
  2. 至少包含一个大写字母( A-Z)
  3. 至少包含一个小写字母( a-z)
  4. 至少包含一个数字( 0-9)
  5. 至少包含一个特殊字符( *&^%$#@!)
  6. 禁止使用手机号码,邮箱等关键’特征’为密码
  7. 用户名和密码不能有任何联系,比如用户名是admin,密码是admin123

密码加密

用户注册时, 将密码加密后保存到数据库中, 用户登录时, 将用户输入的密码加密后再匹配数据库

需要注意的是, 有些加密方式本身就存在漏洞, 比如我们常用的MD5加密就存在0e绕过/数组绕过/MD5碰撞等漏洞, 如果条件允许, 可以使用自己的加密方式

登录逻辑

有些开发人员在编写登录的代码时, 因为效率或是其他原因, 采用先判断用户名, 用户名匹配后在判断密码等类似的逻辑, 这样一来就会导致用户可以单独爆破账号和密码, 从而降低爆破的成本

验证码

验证码是一种区分用户是计算机和人的全自动措施, 主要目的是防范 机器人 , 同时也可以有效防止密码爆破,刷票的恶意操作

需要注意的是, 验证码一定要自己动! 验证码一定要自己动! 验证码一定要自己动!

有些开发人员在编写登录功能的代码时, 确实会添加一个验证码, 但这个验证码不会变化!或者说验证码不会随着页面的刷新而变化!更有甚者在前端添加验证码后, 后端压根就不验证验证码是否正确
密码爆破漏洞详解——黑客必修入门操作( 建议收藏 ),网络安全,网络安全,安全,密码学,web安全,密码爆破
这样一来恶意用户只需要提供一个验证码或者不提供验证码就可以不停的爆破密码

想要使验证码发挥应有的作用, 起码要保证验证码会随着页面刷新而刷新,或随着每一次登录操作而刷新, 同时后端也需要同步更新

登录次数限制

密码爆破漏洞需要穷举所有可能的答案, 这就意味着需要大量的登录次数, 限制登录的次数可以有效增加密码爆破的 时间成本 , 从而使攻击者知男而退

限制登录次数分为两个方面, 一个是开发人员通过代码逻辑来限制登录的次数, 在规定时间内限制登录的最大次数, 比如连续登录失败三次以后锁定账号, 或者一分钟内只能登录两次/三次, 同时还需要考虑到用户的体验性, 在用户体验和网站安全之间选择一个适中的限制

需要注意的是, 限制登录次数只能增加爆破的时间成本, 如果遇到愣头青非得跟你杠到底, 那密码被爆破成功就是时间的问题了, 条件允许的情况下, 可以与管理员沟通, 定期更换密码 , 比如每个月或没隔两个星期换一次密码, 配合登录次数的限制, 可以有效降低密码被爆破的风险文章来源地址https://www.toymoban.com/news/detail-731703.html

密码爆破漏洞详解——黑客必修入门操作( 建议收藏 ),网络安全,网络安全,安全,密码学,web安全,密码爆破

到了这里,关于密码爆破漏洞详解——黑客必修入门操作( 建议收藏 )的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处: 如若内容造成侵权/违法违规/事实不符,请点击违法举报进行投诉反馈,一经查实,立即删除!

领支付宝红包 赞助服务器费用

相关文章

  • GitHub新手用法详解【适合新手入门-建议收藏!!!】

    目录 什么是Github,为什么使用它? 一、GitHub账号的注册与登录 二、 gitbash安装详解 1.git bash的下载与安装 2.git常用命令  3. Git 和 GitHub 的绑定 1. 获取SSH keys  2.绑定ssh密钥 三、通过Git将代码提交到GitHub 1.克隆仓库   2.测试提交代码         GitHub是一个面向开源及私有软件项

    2023年04月24日
    浏览(16)
  • Web漏洞-敏感信息泄露-后台地址爆破

    通过爬虫去爬取网站目录,然后将爬取到目录进行展现,同时也可以匹配关键目录,如:admin,manger等。 实验环境:kali 实验工具:Dirb 默认情况下后台地址是不应被搜索引擎爬取到,因为后台涉及到关键信息的展示和配置,如果后台地址简单或者后台存在未授权问题,则会给

    2024年02月12日
    浏览(15)
  • 如何爆破js加密后的密码?

    如何爆破js加密后的密码? 1、首先burp中安装插件: https://github.com/whwlsfb/BurpCrypto   安装插件完毕后,分析进行js加密的算法。 2、分析加密过程: 找到相关的加密算法的代码,分析代码逻辑。可以从登录界面的网站源代码里搜encrypt或者crypt字段。 根据这段代码,最终passWor

    2024年02月14日
    浏览(16)
  • Kali之zip压缩包密码爆破

    1、已知格式为ZIP 2、已知密码为4位,前3位是数字,最后一位可能是数字可能是大写字母 使用zip2john 1.使用john爆破密码 2.使用hashcat爆破密码 hashcat -a 3 -m 17200 /root/passwd.txt --increment ?d?d?d?u -o output.txt 解释: -a的选择 -m的选择 -m的代码意味着哈希类型的选择,具体参考以下网址

    2024年01月18日
    浏览(15)
  • kali中爆破zip压缩包密码

    sudo apt-get install fcrackzip fcrackzip [选项] [选项] ... 文件名 -b:使用暴力破解 -l 4-4 :指定密码长度,最小长度-最大长度 -u :不显示错误密码,仅显示最终正确密码 -c :指定字符集,字符集 格式只能为 -c \\\'aA1!:\\\' a 表示小写字母[a-z] A 表示大写字母[A-Z] 1 表示阿拉伯数字[0-9] ! 感叹

    2023年04月09日
    浏览(7)
  • 【Linux】Shell脚本之函数的操作+实战详解(建议收藏⭐)

    🍁 博主简介   🏅云计算领域优质创作者   🏅华为云开发者社区专家博主   🏅阿里云开发者社区专家博主 💊 交流社区: 运维交流社区 欢迎大家的加入! 函数是一段可以重复利用有组织的代码;可以减少代码,提高代码利用率,使脚本结构更加清晰。 这样只是写

    2024年02月05日
    浏览(15)
  • 网络安全(黑客)自学建议&笔记

    网络安全 ,顾名思义,无安全,不网络。现如今,安全行业飞速发展,我们呼吁专业化的 就职人员与大学生 ,而你,认为自己有资格当黑客吗?  本文面向所有信息安全领域的初学者和从业人员,给你规划详细的 网络安全学习路线 ,并附上优质的 学习资料 ,让你在越来越

    2024年02月15日
    浏览(10)
  • Hydra密码爆破工具使用教程图文教程(超详细)

    「作者简介」: CSDN top100、阿里云博客专家、华为云享专家、网络安全领域优质创作者 「推荐专栏」: 对网络安全感兴趣的小伙伴可以关注专栏《网络安全入门到精通》 Hydra也叫九头蛇,是一款开源的暴力PJ工具,集成在kali当中。 参数: -l 指定用户名 -p 指定密码 -L 指定用

    2024年02月06日
    浏览(22)
  • 网络安全(黑客)自学的一些建议

    首先是选择方向的问题,网络安全是一个很宽泛的专业,包含的方向特别多。比如 web安全,系统安全,无线安全 ,二进制安全,运维安全,渗透测试,软件安全,IOT安全,AI安全等等,具体看你想学习哪方面,你一般听到的是web安全,搞个站,玩玩xss,命令注入等等。你可以

    2024年02月13日
    浏览(9)
  • 使用kali+hydra爆破win7用户密码

    破坏计算机信息系统罪 《中华人民共和国刑法》第二百八十六条 违反国家规定,对计算机信息系统功能进行删除、修改、增加、干扰,造成计算机信息系统不能正常运行,后果严重的,处五年以下有期徒刑或者拘役;后果特别严重的,处五年以上有期徒刑。 违反国家规定,

    2024年02月06日
    浏览(13)

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

博客赞助

微信扫一扫打赏

请作者喝杯咖啡吧~博客赞助

支付宝扫一扫领取红包,优惠每天领

二维码1

领取红包

二维码2

领红包