暴力破解及验证码安全

1、暴力破解注意事项

• 1、破解前一定要有一个有效的字典（Top100 TOP2000 csdn QQ 163等密码）

• 2、判断用户是否设置了复杂的密码

• 3、网站是否存在验证码

• 4、尝试登录的行为是否有限制

• 5、网站是否双因素认证、Token值等等

---

1.1可利用字典生成器软件生成：

也可以使用在线平台生成密码字典：

（1）、https://www.bugku.com/mima/ 

（2）、https://www.wetools.com/password-generator

（3）、https://suijimimashengcheng.bmcx.com/

（4）、https://api.bducds.com/lab/guess/

---

1.5、网站是否双因素认证、Token值等等

用抓包工具查看是否有token值；双因素认证查看登录是的需要验证码；

可以尝试用sqlmap工具检测查看是否有注入点；

---

2、登录页面可能产生那些漏洞

• 注入点及万能密码登录

• 弱口令暴破

• 用户名可枚举：不安全的用户提示，一般提示用户名不存在或密码及验证码错误

• 查看登录页面源代码，是否存在敏感信息泄露

• 不安全的验证码

• 在注册帐号的时候是否是否存在不安全的提示

• 不安全的密码，在注册帐号的时候，密码没有限制复杂度

• 在暴力破解的时候未限止ip，锁定用户

• 一个帐号可以在多地登录，没有安全提示

• 帐号登录之后，应该具备超时功能

• 任意无限注册帐号

• OA、邮件、默认帐号等相关系统，在不是自己注册的情况下，应该在登录之后要强行更改密码

• 逻辑漏洞，任意密码重置

• 越权漏洞，纵向，横向越权

• 数据包含有敏感信息泄露，如cookice、内网IP地址

• 明文传输，密码为明文，未使用https证书

• 任意文 件下载

• 框架漏洞，如stuts2、Thinkphp、apache log4等

• 中间件漏洞：weblogic、Apcahe、Tomcat、Jboss等

• 数据库漏洞，如弱口令、提权漏洞、溢出漏洞

• 第三方应用服务所产生的漏洞，如443端口心脏滴血、873端口Rsync未授权访问、6379端口未授权访问、11211端口Memcahe端口未授权访问、111NFS充许网络资源共享

• 目录暴破：获取敏感文件或目录

---

  登录页面漏洞

强制去除字符限制、显示隐藏表单等方式：

如：百度一下，你就知道 (baidu.com)

用bp抓包工具--代理--勾选相关选项--刷新页面

 

---

  登录页面漏洞

（1）、登录提示

 在登陆时候，输入账户及密码提示用户名错误或提示用户名正确密码错误。（中危漏洞）

很容易用用户名字典爆力破解出来。

正确提示：1、用户名或密码错误； 2、登陆失败，请重新登录；3、......

---

（3）、密码未加密

---

（3）、注册功能：

因填写内容与数据库交互

容易产生sql注入（没做好过滤的话）、xss、敏感信息泄露、账号批量注册等。

 

（1）密码未加密；手机号未加*号 ：

（2）注册没有验证码可批量注册：

账户添加变量：

 粘贴账户字典：

 查看结果，成功批量注册：

---

注入点及万能密码登录

如：

正确用户名及密码为：

用户名：yuan

密码：123

用户名sql注入语句，输入错误密码登录：

用户名：yuan' or 1=1--

错误密码：666 

 登陆成功：

---

 查看登录页面源代码，是否存在敏感信息泄露

在github上查找是否有此项目源代码或在线文档、网盘，搜索开发人员是否上传到网上过相关内容；查看原代码里面的相关注释，username、password等敏感信息

如：

http:/