Cyber Security-Day19(靶场练习之暴力破解)

一个有效的字典，可以大大的提高暴力破解的效率 ·常用的账号密码（弱口令），比如常用用户名/密码TOP500等。 ·互联网上被脱裤后账号密码（社工库），比如CSDN当年泄漏的约600w用户信息。 ·使用指定的字符使用工具按照指定的规则进行排列组合算法生成的密码。

√是否要求用户设置了复杂的密码；

√是否每次认证都使用安全的验证码；

√是否对尝试登录的行为进行判断和限制；

√是否在必要的情况下采用了双因素认证等等。

 

 

 

 

 

 ---------------------------------靶场练习---------------------------------

1.这里使用的是pikachu的平台

 

 

 2.我们首先使用BP抓包，记得浏览器和BP都要配置代理，抓到包我们分析包的参数，因为我们主要破解的是账号和密码，所以要把这两个参数设置为变量，并用工具去自动代替我们尝试它。

 

 

 

 

 3.这里我们使用自己写的一个小字典，这里我使用的是并且我们需要一个返回标识去判断账户密码正确，逆向来，就是如果一直有username or password is not exists那么就是错误的，反之则是正确的，完事具备之后我们去run。

这里为了排列组合方式更多我使用的是Cluster bomb模式

 

 最后在结果集中，我们可以看到没有1这个表示位的即是正确账号密码

 

 

预防暴力破解的措施：

设计安全的验证码（安全的流程+复杂而又可用的图形）；

对认证错误的提交进行计数并给出限制，比如连续5次密码错误，锁定2小时；

必要的情况下，使用双因素认证；