反黑防黑:简单论述附加码在网络安全中所起的作用

转载 2007年10月02日 03:41:00
本文只想引起那些网站的设计者们的注意,同时也给一些对安全感兴趣的初学者一些启示作用

  在计算机安全领域中,相信大家对穷举密码破解和字典密码破解这两个名词一定耳闻详熟了,对于一些黑客或准黑客来说,这是最常用的有效获得别人密码的方法。

  在网络飞速发展的今天,网速已不在成为网络访问的瓶颈,在为人们上网提供更快的访问速度的同时也给黑客们提供了更广阔的发展空间,在线破解越来越大地威胁着网络安全。本文就谈谈在网络上,使用附加码的方法阻挡来自HTML页面提交的穷举的方法中的矛与盾。

  如果你对网络有一些了解,在你上网的时候你应当被一些页面要求填写附加码的表单才能正常进入你的帐号。更进一步,如果你对安全有一些了解,你一定知道有专门的破解工具可以在线破解别人BBS帐号或在线邮件账号密码的工具,如大名鼎鼎的小榕之朔雪。那么附加码与朔雪类工具软件有什么联系呢?可以简单地说,附加码可以有效防止朔雪对你的攻击。

  为什么附加码又有如此威力呢?我们先简单分析穷举的原理。穷举法攻击最重要的一个条件是:密码在攻击期间内不能变化。它总能在所有字母组合中通过不断地“试”直到成功的方法找到真正的密码。所以穷举法也可以叫排除法,和警察排除犯罪谦疑人差不多。那么,能不能在身份验证的时候加入动态的验证内容,使每一次身份验证时都输入不同的验证码来防止类似攻击呢?能!那就是附加码!附加码在WEB服务器上随机产生并记下来,再生成文字传给用户,用户照着手动输入提交,服务器对提交的附加码与记下来的附加码对比一下正不正确就完成了验证。因为每一次产生有附加码是随机的,所以朔雪就无能为力了。

  但这也不是说有了附加码就高枕无忧了。那还得看你对附加码的认识和重视程度如何。

  想一想,既然WEB服务器都把附加码传给了浏览器,哪为什么朔雪就不能把它读出来自动填上呢?理论上完全可以,只是朔雪没有那样做罢了。

  哪不是附加码就没用了吗?也不是,下面我们再来看看什么样的附加码是最安全的。

  一、 如果返回的附加码以文本形式返回。这是不管用的一种附加码。攻击者简单提取文本附加码自动填上就可以了。这种附加码对安全一点帮助都没有,反而加大了用户的输入负担。顺便提一句:我看到有些网站的附加码输入框是密码类型的输入框,输入显示*号,想一想,附加码都显示出来了,还用密码类型的输入框有何用?这是对用户的一种愚弄!

  二、 以图片方式返回附加码。这才算是真正有效的附加码。因为图片是以点的方式而不是字符方式呈现给用户的,朔雪就不能直接读到附加码了。这种方法很有效。但世上的事物总是矛与盾的较量。攻击者还可以用图片识别技术识别图片上的字符,把图片字符还原为文本字符。这是完全可行的。那我们该如何防范呢?加大图片识别难度!

  三、 返回加干扰的图片附加码。这才算是真正实用的附加码。如果我们加干扰就可以有效加大图片识别难度。有些网站的附加码是加了干扰点的,有些是变了色的字,等等不一而足。试想一下,如果别人花一秒钟才能识别出图片上的附加码,或者他的识别率不高,那穷举法不是就变得毫无实际意义了?对。但遗憾的是现实中,附加码的干扰要不是没有,要不是干扰强度不够。单纯地加干扰点或变色或变字符的大小等都是不够的。我作了一个测试小软件,它可以识别出现有的90%以上的不同形式的附加码,任何字体,任何字符,任何颜色,任何图片大小均可100%识别成功!可识别JPG,BMP,GIF三种流行格式图片,而我只花了两天功夫就完成了。我试过几个大型网站,结果令人失望,100%的识别率让我大跌眼镜。根据我总结的经验,干扰这样加是最有效的:随机渐变色(包括文字和背景)+所有可打印字符+字符大小随机变化+位置不固定+象素行或列随机错位。这样的附加码要想要破解基本上是不可能了。但别把图片变得连人眼都认不出了。

  另外,如果要有效防止在线穷举破解,采用帐户锁定办法是最最有效的一种方法,即在用户输错密码指定的次数后,冻结帐户一段时间,使在线破解失效。

 

全面认识网页中附加码的作用

喜欢网络冲浪的你,一定遇到过这样的情况,那就是在输入用户名和密码之后还要输入附加码。知其然不知其所以然,许多朋友对附加码的真正作用都不了解。那么附加码到底有什么作用,为什么要使用附加码呢?本文将告诉你...

计算机网络安全论述 学年论文

  • 2010年06月27日 17:56
  • 63KB
  • 下载

【转】网络安全中防火墙和IDS的作用

简要介绍网络安全中防火墙和IDS的作用   业界的同行曾经说过“安全,是一种意识,而不是某种的技术就能实现真正的安全。”随着工作的时间渐长,对这句话的体会就越深。再防守严密的网络,利用人为的疏忽,...
  • shaoz
  • shaoz
  • 2011年08月08日 21:26
  • 322

网络安全中重大作用的三条Windows命令

网络安全中重大作用的三条Windows命令 作者:夏果果出处:中国IT实验室2011-10-29 06:53 一些基本的命令往往可以在保护网络安全上起到很大的作用,下面几条命令的作用就非常...
  • wsimei
  • wsimei
  • 2011年10月29日 14:12
  • 348

详解网络安全中防火墙和IDS的作用

随着互联网的兴起,网络服务、媒体的多元化发展,网络与越来越多的商业应用和经济领域的联系越来越多,与此同时,安全问题也渐渐浮出了水面。那么,怎么才能做到安全?   一、 入侵检测系统和防火墙的区别...

网络安全之无线路由器被蹭网后,有被黑的风险吗?

http://daily.zhihu.com/story/3603866 其实这个问题可以理解为:蹭网之后,能做些什么? 《碎片 2.他们》:他们总是安静的看着背后那些不为人知的秘密。...

JAVAocr图像网页附加码解析读取

  • 2013年03月10日 20:24
  • 3.04MB
  • 下载

【无线网络安全六种简单技巧】

无线网络系统如果没有采取适当的安全措施,无论这个无线系统是安装在家中还是办公室里,都可能引发严重的安全问题。事实上,一些针对住宅区提供互联网服务的提供商已经在他们的服务协议中禁止用户和其它非授权人共享...

GIF动画附加码的例子JAVA版本

GIF动画附加码,原来有一个PHP版本,但是最近项目用到JAVA所以废弃了PHP版本。 java版本核心类是Captcha类,代码如下: package com.youqian.util.gi...

网络安全简单总结

http网络安全每天都会用到http协议,也听说http协议的安全的重要性,却一直很少真的去模拟攻击。纸上谈兵久矣。特意通过一篇博客整理下http可能遇到的安全问题,用脚本语言php去模拟和处理。博文...
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:反黑防黑:简单论述附加码在网络安全中所起的作用
举报原因:
原因补充:

(最多只允许输入30个字)