渗透测试技术----常见web漏洞--暴力破解原理及防御

一、暴力破解漏洞介绍

1.暴力破解简介
暴力破解的产生原因是因为服务器端没有做限制，导致攻击者可以通过暴力破解的手段破解用户所需要的信息，如用户名、密码、验证码等。暴力破解需要有庞大的字典，暴力破解的关键在于字典的大小。

2.暴力破解的原理
暴力破解的原理就是使用字典中的内容进行一一尝试，如果匹配成功了，提示该用户名密码正确，如果匹配失败，那么会继续进行尝试。

二、BurpSuite暴力破解介绍

BurpSuite爆破中共有四种类型，Sniper、Battering ram、pitchfork、Cluster bomb
BurpSuite爆破中，最后的数字如果和其他数字不一样，那么就有可能是正确的用户名密码

1.Sniper类型
特点:一个字典，两个参数，先匹配第一项，再匹配第二项

首先，与BurpSuite来说，会先使用你最初登陆的用户名和密码进行一次尝试(上图中最上面一行的内容为空就表明的是使用初始数据(username=aduhu和password=1223)进行尝试)。然后对于Sniper模式，因为只要一个字典，因此会先去匹配匹配第一项username，第二项password保持使用之前的初始数据1223;当匹配完第一项之后，再去匹配第二项password，此时，第一项username就会一直使用初始数据aduhu来进行匹配。

2.Battering ram
特点:一个字典，两个参数，同用户名同密码


同样，对于BurpSuite来说，还是会首先使用初始用户名和密码来进行登录，然后对于Battering ram来说，会使用这一个字典去同时匹配两个参数，相当于是同用户名同密码。

3.Pitchfork
特点:两个字典，两个参数，同行匹配，短的截至




对于Pitchfork，一共有两个字典，第一个字典负责匹配第一项，第二个字典负责匹配第二项，同时进行匹配，以短的那一个字典结束处作为截至。

4.Cluster bomb
特点:两个字典，两个参数，交叉匹配，所有可能




对于Cluster bomb来说，一共有两个字典，两个参数，先固定其中一个参数，然后再遍历另一个参数，以此类推，直到所有的组合都尝试过就会结束。Cluster bomb是最常使用的方法，也是爆破出结果可能性最大的方式。

三、防御暴力破解的方法

1.用户层面就是要避免使用弱口令，服务器端可以限制用户密码的最短长度
2.设置登录阈值，一旦超过设置的阈值，则锁定账号
3.登录时使用验证码进行验证，防止自动化脚本进行暴力破解
4.登录出现异常情况时使用短信验证码等私密信息进行登录验证