2023年7月31日发(作者：)

渗透测试技术----常见web漏洞--暴⼒破解原理及防御⼀、暴⼒破解漏洞介绍1.暴⼒破解简介暴⼒破解的产⽣原因是因为服务器端没有做限制，导致攻击者可以通过暴⼒破解的⼿段破解⽤户所需要的信息，如⽤户名、密码、验证码等。暴⼒破解需要有庞⼤的字典，暴⼒破解的关键在于字典的⼤⼩。2.暴⼒破解的原理暴⼒破解的原理就是使⽤字典中的内容进⾏⼀⼀尝试，如果匹配成功了，提⽰该⽤户名密码正确，如果匹配失败，那么会继续进⾏尝试。⼆、BurpSuite暴⼒破解介绍BurpSuite爆破中共有四种类型，Sniper、Battering ram、pitchfork、Cluster bombBurpSuite爆破中，最后的数字如果和其他数字不⼀样，那么就有可能是正确的⽤户名密码类型特点:⼀个字典，两个参数，先匹配第⼀项，再匹配第⼆项⾸先，与BurpSuite来说，会先使⽤你最初登陆的⽤户名和密码进⾏⼀次尝试(上图中最上⾯⼀⾏的内容为空就表明的是使⽤初始数据(username=aduhu和password=1223)进⾏尝试)。然后对于Sniper模式，因为只要⼀个字典，因此会先去匹配匹配第⼀项username，第⼆项password保持使⽤之前的初始数据1223;当匹配完第⼀项之后，再去匹配第⼆项password，此时，第⼀项username就会⼀直使⽤初始数据aduhu来进⾏匹配。ing ram特点:⼀个字典，两个参数，同⽤户名同密码同样，对于BurpSuite来说，还是会⾸先使⽤初始⽤户名和密码来进⾏登录，然后对于Battering ram来说，会使⽤这⼀个字典去同时匹配两个参数，相当于是同⽤户名同密码。ork特点:两个字典，两个参数，同⾏匹配，短的截⾄对于Pitchfork，⼀共有两个字典，第⼀个字典负责匹配第⼀项，第⼆个字典负责匹配第⼆项，同时进⾏匹配，以短的那⼀个字典结束处作为截⾄。r bomb特点:两个字典，两个参数，交叉匹配，所有可能对于Cluster bomb来说，⼀共有两个字典，两个参数，先固定其中⼀个参数，然后再遍历另⼀个参数，以此类推，直到所有的组合都尝试过就会结束。Cluster bomb是最常使⽤的⽅法，也是爆破出结果可能性最⼤的⽅式。三、防御暴⼒破解的⽅法1.⽤户层⾯就是要避免使⽤弱⼝令，服务器端可以限制⽤户密码的最短长度2.设置登录阈值，⼀旦超过设置的阈值，则锁定账号3.登录时使⽤验证码进⾏验证，防⽌⾃动化脚本进⾏暴⼒破解4.登录出现异常情况时使⽤短信验证码等私密信息进⾏登录验证

2023年7月31日发(作者：)

渗透测试技术----常见web漏洞--暴⼒破解原理及防御⼀、暴⼒破解漏洞介绍1.暴⼒破解简介暴⼒破解的产⽣原因是因为服务器端没有做限制，导致攻击者可以通过暴⼒破解的⼿段破解⽤户所需要的信息，如⽤户名、密码、验证码等。暴⼒破解需要有庞⼤的字典，暴⼒破解的关键在于字典的⼤⼩。2.暴⼒破解的原理暴⼒破解的原理就是使⽤字典中的内容进⾏⼀⼀尝试，如果匹配成功了，提⽰该⽤户名密码正确，如果匹配失败，那么会继续进⾏尝试。⼆、BurpSuite暴⼒破解介绍BurpSuite爆破中共有四种类型，Sniper、Battering ram、pitchfork、Cluster bombBurpSuite爆破中，最后的数字如果和其他数字不⼀样，那么就有可能是正确的⽤户名密码类型特点:⼀个字典，两个参数，先匹配第⼀项，再匹配第⼆项⾸先，与BurpSuite来说，会先使⽤你最初登陆的⽤户名和密码进⾏⼀次尝试(上图中最上⾯⼀⾏的内容为空就表明的是使⽤初始数据(username=aduhu和password=1223)进⾏尝试)。然后对于Sniper模式，因为只要⼀个字典，因此会先去匹配匹配第⼀项username，第⼆项password保持使⽤之前的初始数据1223;当匹配完第⼀项之后，再去匹配第⼆项password，此时，第⼀项username就会⼀直使⽤初始数据aduhu来进⾏匹配。ing ram特点:⼀个字典，两个参数，同⽤户名同密码同样，对于BurpSuite来说，还是会⾸先使⽤初始⽤户名和密码来进⾏登录，然后对于Battering ram来说，会使⽤这⼀个字典去同时匹配两个参数，相当于是同⽤户名同密码。ork特点:两个字典，两个参数，同⾏匹配，短的截⾄对于Pitchfork，⼀共有两个字典，第⼀个字典负责匹配第⼀项，第⼆个字典负责匹配第⼆项，同时进⾏匹配，以短的那⼀个字典结束处作为截⾄。r bomb特点:两个字典，两个参数，交叉匹配，所有可能对于Cluster bomb来说，⼀共有两个字典，两个参数，先固定其中⼀个参数，然后再遍历另⼀个参数，以此类推，直到所有的组合都尝试过就会结束。Cluster bomb是最常使⽤的⽅法，也是爆破出结果可能性最⼤的⽅式。三、防御暴⼒破解的⽅法1.⽤户层⾯就是要避免使⽤弱⼝令，服务器端可以限制⽤户密码的最短长度2.设置登录阈值，⼀旦超过设置的阈值，则锁定账号3.登录时使⽤验证码进⾏验证，防⽌⾃动化脚本进⾏暴⼒破解4.登录出现异常情况时使⽤短信验证码等私密信息进⾏登录验证