暴力破解分类

一、C/S

Bruter、hydra等

二、B/S（B：browser浏览器 S：Server服务端）

主要针对Web站点

1、基于表单的暴力破解

2、基于验证码暴力破解

①：on client常见问题：不安全的前端js实现验证码；不安全的将验证码在cookie中泄露；不安全的将验证码在前端源代码中泄露

②：on server常见问题：验证码在后台不过期，导致长期使用(php默认session是24分钟过期)；验证码校验不严格，逻辑出现问题；验证码设计的太过简单和有规律的被猜解(和客户端不一样的地方在于，24分钟之内，去客户端接着爆破，不输入验证码也还是可以爆破出来正确密码的，原因就是php默认session24分钟内是有效的)