認證崩潰(中)之暴力破解和靶場實驗一

一、暴力破解(理論)

1、暴力破解概述

暴力破解(Brute Force)也稱字典攻擊、枚舉測試、窮舉法測試,就是將每個可能的結果逐個比較,直到找出正確結果爲止。常被用於攻擊網站的用戶名或密碼,使用自動化腳本以枚舉的方式嘗試所有可能的用戶名或密碼組合。主要是竊取用戶個人信息和獲取網站管理權限等。

一般攻擊產生原因可歸結爲5種:

  • Web應用開發時用戶身份認證的方法有邏輯漏洞
  • Web用戶身份識別策略不嚴格或設置不當
  • Web應用對用戶身份和密碼沒有做強制性的限制
  • Web應用沒有對不常用的登錄地址做異常訪問處理
  • Web應用開發時,用戶身份認證方式有缺陷或權限分配不合理

暴力破解可分爲4類:

  • 1.簡單的暴力破解
  • 2.前端JS檢測驗證碼
  • 3.後端服務器檢測驗證碼
  • 4.Token防爆破檢測

2、暴力破解工作原理

攻擊者使用自動化腳本以枚舉的方式嘗試所有可能的用戶名或密碼組合,找出正確的用戶和密碼,獲取網站管理權限,冒用使用用戶或管理員,入侵、竊密、破壞網站。

(圖片來源網絡)

3、暴力破解防禦方式

從用戶角度來說,避免使用弱口令;從服務方角度,對於多次登錄失敗的賬戶可以進行鎖處理,比如暫停一段時間登錄,也可以給用戶發郵件或手機短信進行提醒登錄異常;增加圖形驗證碼參數,還有人機交互驗證的(這種應該是需要付費購買服務)等。

4、暴力破解準備工作

需要3項內容:靶場、字典和爆破工具Burp Suite。

在練習階段使用pikachu做實驗,自己去挖漏洞時就是真實的網站了。注意:在有授權條件下才進行。

字典準備請看《認證崩潰上之弱口令》,爆破工具Burp Suite使用介紹下一篇再進行詳細介紹。

二、pikachu靶場實驗

本文先介紹【基於表單的暴力破解】,另外3個暴力破解案例,大家可以自己先嚐試破解看看。剩下3個會在下一篇和Burp Suite使用介紹一起發佈。

1、基於表單的暴力破解

1.0、思路

沒有驗證碼,直接用burpsuite抓包獲取請求參數,循環填充用戶名和密碼進行爆破

1.1、火狐代理開啓burp

1.2、BurpSuite開啓攔截器

1.3、頁面輸入信息提交

1.4、BurpSuite信息發送Intruder


重新指定Payload和設置攻擊類型

1.5、設置payload


1.6、攻擊並分析結果

響應每個長度不一樣,成功和失敗的長度不一致,一般失敗的長度值是一樣的。可通過響應結果來確認


1.7、web端登錄驗證

注意:火狐瀏覽器關閉burp代理,如圖:

輸入上一步破解的用戶名和密碼登錄,驗證可用。

三、資料獲取

Burp Suite工具之前已提供過了,如需要請關注我的公衆號:大象只爲你,回覆:【BP安裝】獲取。

靶場環境搭建請參考《靶場環境搭建【XP、pikachu、dvwa、sqli-labs】》

發表評論
所有評論
還沒有人評論,想成為第一個評論的人麼? 請在上方評論欄輸入並且點擊發布.
相關文章