什么是暴力破解？

暴力破解是一种针对于密码或身份认证的破译方法，即穷举尝试各种可能，找到突破身份认证的一种攻击方法。

暴力破解是一把双刃剑，一方面能够被恶意者使用，另一方面在计算机安全性方面却非常重要，它用于检查系统、网络或应用程序中使用的弱密码。

暴力破解原理

暴力破解的原理就是使用攻击者自己的用户名和密码字典，一个一个去枚举，尝试是否能够登录。因为理论上来说，只要字典足够庞大，枚举总是能够成功的！

但实际发送的数据并不像想象中的那样简单——“ 每次只向服务器发送用户名和密码字段即可！”，实际情况是每次发送的数据都必须要封装成完整的 HTTP 数据包才能被服务器接收。但是你不可能一个一个去手动构造数据包，所以在实施暴力破解之前，我们只需要先去获取构造HTTP包所需要的参数，然后扔给暴力破解软件构造工具数据包，然后实施攻击就可以了。

Web暴力破解通常用在已知部分信息，尝试爆破网站后台，为下一步的渗透测试做准备。

Http 中的 response 和 request 是相对浏览器来说的。浏览器发送request，服务器返回response。

Get和Post：get放在url中，而post放在http的body中。

http_referer：是http中header的一部分，向浏览器发送请求时，一般会带上referer，告诉服务器我是从哪个页面链接而来，为服务器处理提供一些信息。

暴力破解分类

暴力破解可分为两种，一种是针对性的密码爆破，另外一种是扩展性的密码喷洒。

• 密码爆破

密码爆破一般很熟悉，即针对单个账号或用户，用密码字典来不断的尝试，直到试出正确的密码，破解出来的时间和密码的复杂度及长度及破解设备有一定的关系。

• 密码喷洒

密码喷洒和密码爆破相反，也可以叫反向密码爆破，即用指定的一个密码来批量的试取用户，在信息搜集阶段获取了大量的账号信息或者系统的用户，然后以固定的一个密码去不断的尝试这些用户。

暴力破解常用工具

• Hydra

Hydra工具是著名黑客组织Thc的一款开源的暴力破解工具。可以 破解多种密码。主要支持：Telnet、Ftp、Http、Https、Http-proxy、 Mssql、Mysql等。唯一不方便的就是破解时须要的字典须我们自己制作。

Hydra，这款工具可以应用在Windows环境和Linux环境下，Windows 环境下是没有图形界面的，在Linux环境下是有图形界面的。

• Burp Suite

Burp Suite是用于攻击web应用程序的集成平台。它包含了许多工 具，并为这些工具设计了接口。主要可以应用Burp Suite来进行抓 包、改包、截断上传、扫描、爆破等功能。

• DUBrute

DUBrute工具主要是一款用于批量暴破3389密码的工具，也可以进 行指定目标的暴破。

• Oraburte

Oraburte 是一款专门针对于Oracle数据库用户名密码登录暴破的工 具，此工具使用简单，但暴破速度较慢。

• X-Scan扫描器

X-Scan扫描器是国内的一款综合性漏洞扫描和口令扫描工具。可以 针对大量的服务进行认证，如:Ftp、Ssh、Telnet、Sql-Server等。

• Apache Tomcat弱口令扫描器

ApacheTomcat弱口令扫描器，是一款专门针对Tomcat后台登录猜 解的工具。

暴力破解防御

针对暴力破解攻击，应用的安全设计要多方考量，从每一个可能的受攻击面出发，结合逆向的逻辑思路，建立合理的防御机制。常见的防御措施如下：

• 用户名或密码输入错误时统一返回“登录错误，请重试”提示信息
• 在用户登录时增加验证码，防止通过程序自动枚举账户
• 验证码应具有足够的随机性和干扰性，考虑逻辑和交互式验证码
• 确保所有类型的验证码能够用后即失效，防范可被重用
• 在用户登录中增加对同一IP地址尝试次数的限制

防止暴力破解的最佳方法是限制无效登录，通过这种方式，攻击只能在有限的时间点击并尝试密码。这就是为什么基于网络的服务开始使用验证码，如果您三次输入错误的密码他们会对您的IP地址进行屏蔽。

• 系统自身安全性增强：强制要求用户注册时满足口令复杂度要求，即强密码，建议用户使用小写字母、大写字母、数字和特殊字符组合的长密码。

暴力破解是破解密码最常用的方法，攻击的成功取决于各种因素。影响最多的因素是密码的长度以及数字、字母和特殊字符的组合。它不会使得暴力破解不可能，但会让其变得十分困难。这样，暴力破解会需要更长的时间来破解密码。

几乎所有的散列破解算法都使用暴力破解来尝试，当您对数据进行脱机访问时，此攻击最佳。在这种情况下，它易于破解，而且会花费更少的时间。

• 定期对比数据库存储的密码密文值与top500弱密码的密文值