渗透测试技法之口令安全

一、口令安全威胁

1. 口令泄露途径

• • 代码与文件存储不当：在软件开发和系统维护过程中，开发者可能会将口令以明文形式存储在代码文件、配置文件或注释中。例如，在开源代码托管平台 GitHub 上，一些开发者由于疏忽，将包含数据库、服务器等重要系统口令的代码文件上传到公共仓库，导致口令泄露。此外，网站的配置文件、源代码注释以及备份文件中若包含口令，一旦这些文件被恶意获取，就会引发严重的安全问题。

• • 邮件传输风险：当用户通过电子邮件发送包含口令的信息时，如果邮件传输过程没有采用加密措施，就很容易被攻击者在网络传输过程中截获。例如，某公司员工通过未加密的邮件向同事发送服务器登录口令，结果被黑客截获，导致公司服务器被入侵，大量敏感数据泄露。

• • 浏览器保存隐患：现代浏览器通常提供保存账号和密码的功能，方便用户下次登录。然而，如果用户的设备被他人非法访问，或者浏览器存在安全漏洞，攻击者就可以轻松获取保存在浏览器中的口令。例如，某知名社交平台曾因用户浏览器保存的口令被窃取，导致大量用户账号被盗用，用户个人信息和隐私遭到严重侵犯。

1. 弱口令风险

• • 常见弱口令类型：常见的弱口令包括简单数字组合，如 “000000”“111111” 等；顺序字符组合，如 “abcdef”“abc123” 等；临近字符组合，如 “123qwe”“Qwerty” 等；特殊含义组合，如 “admin”“password” 等。这些弱口令容易被攻击者通过简单的猜测或暴力破解手段获取。

• • 弱口令产生原因：用户为了方便记忆，往往倾向于选择简单易记的口令，而忽视了口令的安全性。此外，部分用户对网络安全的重要性认识不足，缺乏安全意识，没有意识到使用弱口令可能带来的严重后果。

1. 默认口令隐患