一、暴力破解漏洞:一个网站没有对抗暴力破解的措施或采取了不合理的措施。
二、暴力破解:连续性尝试+密码字典+自动化。
字典:1、常用账号密码(弱口令)
2、互联网脱裤的密码(如top500上被泄露的账号)
3、用指定字符使用工具按照一定规律生成的密码(如用手机号、生日等相关数字组合密码)
自动化:自动化工具(线程、重复次数、自动排序),进行自动化操作。
三、暴力漏洞测试流程
1、确认登录接口是否存在漏洞。
2、根据情况进行字典优化,提高效率。
3、配置自动化工具。(如burp suit)
四、字典优化技巧
1、登录注册,弄清账号密码限制。(如密码不超过6位,且仅使用数字和字母)
2、若爆破的是管理后台,可用以下流程:
管理员(admin/administrator/root)——任意密码——尝试登录——返回结果,确认用户名
五、暴力实验环境介绍
1、这儿介绍一种——burp suite(一个集成的web安全测试系统)官方下载网址:https://portswingger.net/burp/download.html
2、功能介绍
Proxy——拦截、查看、修改原始数据流。
Spider——能完整的枚举应用程序的内容和功能。
Intruder——对web应用程序进行自动化攻击。(收集数据、探测常规漏洞等)
Repeater——手动操作补发单独的HTTP请求,分析应用程序
暴力破解漏洞基础学习笔记
最新推荐文章于 2022-11-24 23:46:32 发布