【漏洞挖掘】——74、弱口令攻防原理

基本介绍

弱口令(Weak Password)是指使用常见、简单、易猜测的密码或者使用与用户名、公司名或其他易猜测信息相关的密码，这些密码通常非常简单且容易被攻击者通过暴力破解、字典攻击等方式猜到或破解，从而导致账户和系统的安全风险，弱口令的特点通常包括以下几点：

• 长度短：弱口令往往只有6-8个字符，长度较短

• 易猜测：弱口令往往使用常见的单词、名字、生日等与用户相关的信息，或者是一些容易猜测的字符组合
• 结构简单：弱口令往往只使用数字、字母或符号中的一种或几种，缺乏复杂的组合和结构，攻击者使用字典即可进行猜解
• 重复使用：弱口令往往被用户在多个账户或系统中重复使用，一旦其中一个账户被攻击者破解，则所有账户都面临安全风险

漏洞成因

弱口令漏洞的产生基于以下原因：

• 网站上线前未删除测试账户
• 使用CMS默认的初始账户密码
• 网站没有设计账号密码安全策略
• 网站存在被暴力破解攻击的风险

常见口令

admin/admin
admin/admin123
ammin/123456    
admin/666666
admin/88888888
admin/admin888
admin/网站域名
.....

漏洞实战

下面以DVWA漏洞平台为例，DVWA登陆认证处采用弱口令可以通过暴力猜解的方式进行爆破，首先填写用户名admin以及任意密码，之后