web漏洞-弱口令暴力破解

原创

已于 2023-10-06 17:51:24 修改 · 4.7k 阅读

CC 4.0 BY-SA版权

文章标签：

于 2023-05-14 08:00:00 首次发布

文章详细介绍了弱口令的概念、产生原因及常见类型，并通过DVWA靶场使用Burpsuite演示了低、中、高三种模式下的密码爆破过程。强调了字典在爆破效率中的关键作用，并提出了设置失败次数限制、使用动态验证码和强制修改默认密码等防护措施。

弱口令---爆破密码

 弱口令漏洞
 没有严格和准确的定义，通常认为容易被别人（他们有可能对你很了解）猜测到或被破解工具破解的口令均为弱口令。弱口令指的是仅包含简单数字和字母的口令，例如“123”、“abc”等，因为这样的口令很容易被别人破解，从而使用户的计算机面临风险

 系统的运维、使用人员、管理人员安全意识不足

 1.系统出厂默认口令没有修改；
 2.密码设置过于简单，如口令长度不足，单一使用字母或数字；
 3.使用了生日、姓名、电话号码、身份证号码等比较容易被攻击者猜到的信息设置口令；
 4.设置的口令属于流行口令库中的流行口令

 1.网站后台登录
 2.OA系统登录
 3.网络、安全设备登录
 4.数据库登录
 5.中间件管理界面登录
 6.远程连接登录

工具：Burpsuite

首先打开burp工具，进入靶场的登录界面，进行抓包

登录界面：

用burp抓包：

进入到Intruder模块：

 1.选择攻击模式
 2.清空符号
 3.选择用户名和密码，添加符号定义

 添加