业务逻辑漏洞探索之暴力破解

本文中提供的例子均来自网络已公开测试的例子，仅供参考。

最近斗哥在整理一些业务逻辑漏洞，突然发现好多问题，所以决心和大家一起探讨探讨，今天先从暴力破解开始。 

说起暴力破解，它其实就是利用大量猜测和穷举的方式来尝试获取用户口令的攻击方式，如果身份验证模块设计的不好攻击者可以利用自动化攻击进行暴力破解，大大增加了密码被破解的风险。所以在日常测试或者挖洞的过程中，对于登录、注册等功能，我们很容易会联想到暴力破解攻击。斗哥呢也总结了身份验证模块常见的几种暴力破解攻击场景。
 

无任何保护机制：

现在互联网上还是存在挺多的站点并没有对登录、注册、重置密码之类的功能进行一定的防护，所以当碰到没有验证码的，没有对输错密码次数进行限制，而且还是明文传输的系统，二话不说先是一顿暴力破解。

举个栗子：

① 登录的时候发现没有任何的防护措施。
 

②抓取登录的数据包，发现用户名密码明文传输。