暴力破解
一、簡介
1、定義
暴力破解是一種針對密碼的破譯方法，將密碼進行逐個推算直到找出真正的密碼為止。
2、產(chǎn)生原因
由于服務(wù)器端沒有做限制，導(dǎo)致攻擊者可以通過暴力的手段破解所需信息。
3、注意事項
破解器一定要有一個有效的字典，判斷用戶是否設(shè)置了復(fù)雜的密碼、網(wǎng)站是否存在驗證碼、嘗試登陸的行為是否有限制、網(wǎng)站是否雙因素認證、Token值等。
對目標(biāo)網(wǎng)站進行注冊，搞清楚賬號密碼的一些限制，比如目標(biāo)站點要求密碼必須是否是8位以上、字母數(shù)字組合，則可以按照此優(yōu)化字典，去掉不符合要求的密碼。
如果破解的是管理后臺密碼，可以使用admin、administrator、root等賬號，機率較高，可以使用這三個賬號+隨便一個密碼字典進行暴力破解，在破解過程中要注意觀察提示，如“用戶名或密碼錯誤”、“密碼錯誤”、“用戶名不存在”等相關(guān)提示。
二、C/S架構(gòu)暴力破解
1、定義
C/S即客戶端/服務(wù)器，基于C/S架構(gòu)的應(yīng)用程序，如ssh、ftp、SQL-Server、MySQL等，這些服務(wù)往往提供一個高權(quán)限的用戶，而這個高權(quán)限的用戶往往可以進行執(zhí)行命令，如SQL-Server的sa，MySQL的root，Oracle的sys和system，使用這些高權(quán)限的用戶能在很大程度上給開發(fā)人員帶來方便，但如果口令被破解帶來的危害也是相當(dāng)大的。
2、破解工具
C/S架構(gòu)主要使用：Hydra、Bruter、X-scan。
二、B/S架構(gòu)暴力破解
1、定義
B/S即瀏覽器/服務(wù)器，客戶機安裝瀏覽器，服務(wù)器安裝數(shù)據(jù)庫，瀏覽器通過Web Server同數(shù)據(jù)進行數(shù)據(jù)交戶。一般是對Web應(yīng)用程序中的高權(quán)限用戶進行破解，如網(wǎng)站的內(nèi)容管理系統(tǒng)賬號。
2、破解工具
B/S架構(gòu)主要使用：BurpSuite。
三、暴力破解防御措施
1、密碼復(fù)雜度
密碼長度為8-16位，至少有一個小寫字母、大寫字母、數(shù)字和特殊字符。
密碼不可以與賬戶有關(guān)聯(lián)，密碼中不可以出現(xiàn)手機號、郵箱生日之類的敏感信息。
2、驗證碼
設(shè)置防暴力破解的驗證碼
3、鎖定密碼閾值
如果用戶登陸的次數(shù)超過設(shè)置的閾值，則鎖定賬號。文章來源：http://www.zghlxwxcb.cn/news/detail-429165.html
如果某個IP登陸的次數(shù)超過設(shè)置的閾值，則鎖定IP。文章來源地址http://www.zghlxwxcb.cn/news/detail-429165.html
到了這里，關(guān)于暴力破解漏洞的文章就介紹完了。如果您還想了解更多內(nèi)容，請在右上角搜索TOY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
