SMB暴力破解攻击，什么鬼？

最近在做的项目线上环境是Windows Server，有一天，安全检查的时候发现产环境服务器高危——服务器遭受了SMB暴力破解攻击！

遇到事情不要慌，先发……百度一下。

• 暴力破解攻击：暴力破解攻击是指攻击者通过系统的组合所有可能性（例如登录时用的账户名.密码），尝试所有的可能性破解用户的账户名.密码等敏感信息，攻击者会经常使用自动化脚本组合出正确的用户名和密码。

 暴力破解攻击是一种穷举法，列出所有可能，把账号密码给尝试出来。

• SMB：全称是Server Message Block，是一种协议。SMB 是一种客户机/服务器、请求/响应协议。通过 SMB 协议，客户端应用程序可以在各种网络环境下读、写服务器上的文件，以及对服务器程序提出服务请求。此外通过 SMB 协议，应用程序可以访问远程服务器端的文件、以及打印机等资源。

 Windows的远程登录就是用的SMB协议。

 所以就清楚这个SMB暴力破解攻击是个什么意思了——服务器的远程登录密码遭遇了暴力破解。

 SMB 暴力破解攻击的防范办法也就有了：

• 使用强密码，远程登录密码包含大小写和特殊字符。
• 定期更换远程登录密码。

扩展一下，除了上面两条，该怎么防范暴力破解攻击呢？

• 用户登录失败次数限制：过用户名限制用户登录失败的次数，例如：用户一个小时内连续登录失败5次，那么就锁定当前用户，禁止此用户名继续登录，可以通过管理员手动解锁或者一个小时候自动解锁。
• 图形验证码：增加验证码拦截器，验证码验证成功后才能请求到登录接口。
• IP次数限制：后端设置阀值，检查同一IP在某一时间段是否超出阀值设置，如果超出说明非正常请求，限制IP用户操作或者加入IP黑名单。

参考：

【1】：SMB抓包破解windows登陆密码
【2】：SMB协议原理抓包分析
【3】：用户密码暴力破解攻击分析和解决