5.破解与守护密码的秘密

目标：

• 理解密码安全的重要性及其常见弱点
• 掌握暴力破解的基本原理与工具
• 通过实践体验密码攻击与防御

详细内容与教学

第一部分：密码安全基础（理论）

学习内容：

• 为什么密码安全重要？
• 常见密码弱点
• 如何设计强密码

详细讲解：

1 为什么密码安全重要？

密码是保护账户的第一道防线，像你家门的锁。如果密码弱，黑客就能轻松入侵，偷数据或搞破坏。
◦ 举例：网站账户被盗，可能导致银行卡被刷。

2 常见密码弱点

◦ 太短或简单：如123456、password，几秒就能猜到。
◦ 重复使用：多个网站用同一密码，一个泄露全完蛋。
◦ 可预测：用生日、名字（如zhangwei1990），容易被社会工程学猜中。
◦ 举例：2019年，有23%的密码是123456，黑客的最爱。

3 如何设计强密码

◦ 长度：至少12位。
◦ 复杂性：大小写字母+数字+特殊字符（如P@ssw0rd!2025）。
◦ 唯一性：每个账户不同。
◦ 技巧：用短语+替换，比如“我爱学习2025”变成W0AiXueXi2025!。
◦ 工具：密码管理器（如LastPass）帮你记住。

任务：

• 检查你现在的密码，找一个弱密码，改成强密码（比如1234改成Tr@vel2025!）。
• 回答：为什么abc123不安全？（提示：短且简单）。

第二部分：暴力破解原理与工具（理论）

学习内容：

• 什么是暴力破解？
• 暴力破解的类型
• 常见工具简介

详细讲解：

1 什么是暴力破解？

暴力破解（Brute Force Attack）是黑客通过不断尝试所有可能的密码组合，直到找到正确密码为止。
◦ 举例：锁有4位密码，黑客从0000试到9999，总会猜中。

2 暴力破解的类型

◦ 纯暴力破解：尝试所有组合（如aaa到zzz），最慢。
◦ 字典攻击：用常见密码列表（如password123），更快。
◦ 混合攻击：字典+规则（如password1、password2）。
◦ 举例：字典攻击先试123456，比随机试x7k9p效率高。

3 常见工具简介

◦ Hydra：破解远程服务密码（如SSH、FTP）。
◦ John the Ripper：破解本地密码文件。
◦ Burp Suite：测试网页登录。
◦ 今天我们用Hydra，因为它简单且直观。

任务：

• 写下3种破解类型的区别（比如“字典攻击用词典”）。
• 思考：如果密码是P@ssw0rd，哪种破解更快？（答案：字典攻击，因为它常见）。

第三部分：使用Hydra进行简单破解实验（实践）

学习内容：

• 安装Hydra
• 设置一个简单测试环境
• 运行Hydra破解实验

Hydra简单破解实验教程

详细讲解：

1 安装Hydra

◦ 下载：访问https://www.kali.org/tools/hydra/，或用Kali Linux（自带Hydra）。
◦ Windows用户：用虚拟机（如VMware）装Kali，或下载Hydra Windows版。
◦ 命令检查：打开终端，输入hydra -h，看是否成功安装。

2 设置一个简单测试环境

◦ 目标：自己电脑上跑一个服务（比如FTP）。
◦ 简单方法：下载FileZilla Server（https://filezilla-project.org/），装在Windows上。
◦ 设置用户：账号test，密码123456，端口默认21。
◦ 启动服务，记下你电脑IP（比如192.168.1.100）。

3 运行Hydra破解实验

◦ 打开终端，输入命令：
hydra -l test -P passlist.txt 192.168.1.100 ftp
▪ -l test：用户名是test。
▪ -P passlist.txt：密码列表文件（自己建一个txt，写几行密码，如123、123456、password）。
▪ 192.168.1.100：目标IP。
▪ ftp：目标服务。
◦ 运行后，Hydra会尝试猜密码，找到123456时成功。

任务：

• 成功安装Hydra并跑一次实验，记录找到密码的时间。
• 用Wireshark抓包Hydra的流量，看看FTP请求长什么样（过滤tcp.port == 21）。
• 思考：如果密码是Tr@vel2025!，Hydra会怎么样？（答案：字典没这个，可能失败）。

总结

• 理论：你学会了密码安全的弱点、设计强密码的方法，以及暴力破解的原理。
• 实践：你用Hydra体验了一次简单破解，理解了攻击者的思路。
• 复习建议：回顾3种破解类型，试着给朋友解释“字典攻击”。