蛮力攻击的类型，如何防止暴力破解密码
蛮力攻击是一种流行的破解方法：据一些统计，蛮力攻击占已确认的安全漏洞的 5% 。暴力攻击涉及“猜测”用户名和密码以获得对系统的未授权访问。暴力破解是一种简单的攻击方法，成功率很高。
一些攻击者将应用程序和脚本用作暴力破解工具。这些工具会尝试多种密码组合来绕过身份验证过程。在其他情况下，攻击者会尝试通过搜索正确的会话 ID 来访问 Web 应用程序。攻击者的动机可能包括窃取信息、用恶意软件感染站点或中断服务。
虽然一些攻击者仍然手动执行暴力攻击，但今天几乎所有的暴力攻击都是由机器人执行的。攻击者拥有通过安全漏洞或暗网获得的常用凭据或真实用户凭据列表。机器人系统地攻击网站并尝试这些凭据列表，并在攻击者获得访问权限时通知他们。
蛮力攻击的类型
- 简单的暴力攻击——使用系统的方法来“猜测”，不依赖于外部逻辑。
- 混合暴力攻击——从外部逻辑开始，确定哪种密码变体最有可能成功，然后继续使用简单的方法尝试多种可能的变体。
- 字典攻击——使用可能的字符串或短语的字典来猜测用户名或密码。
- 彩虹表攻击——彩虹表是用于逆向加密哈希函数的预计算表。它可用于猜测由有限字符集组成的特定长度的函数。
- 反向暴力攻击——对许多可能的用户名使用通用密码或密码集合。以攻击者先前已获取其数据的用户网络为目标。
- 凭据填充——使用以前已知的密码-用户名对，在多个网站上进行尝试。利用许多用户在不同系统中具有相同用户名和密码这一事实。
Hydra 和其他流行的暴力破解工具
安全分析师使用 THC-Hydra 工具来识别客户端系统中的漏洞。Hydra 快速运行大量密码组合，无论是简单的暴力破解还是基于字典的组合。它可以攻击 50 多种协议和多种操作系统。Hydra 是一个开放平台；安全社区和攻击者不断开发新模块。
其他顶级暴力破解工具是：
- Aircrack-ng — 可以在 Windows、Linux、iOS 和 Android 上使用。它使用广泛使用的密码字典来破坏无线网络。
- John the Ripper — 在 15 种不同的平台上运行，包括 Unix、Windows 和 OpenVMS。使用可能的密码字典尝试所有可能的组合。
- L0phtCrack — 破解 Windows 密码的工具。它使用彩虹表、字典和多处理器算法。
- Hashcat — 适用于 Windows、Linux 和 Mac OS。可以执行简单的暴力攻击、基于规则的攻击和混合攻击。
- DaveGrohl — 用于破解 Mac 操作系统的开源工具。可以分布在多台计算机上。
- Ncrack — 破解网络认证的工具。它可以在 Windows、Linux 和 BSD 上使用。
启用暴力攻击的弱密码
今天，个人拥有许多帐户并拥有许多密码。人们倾向于重复使用一些简单的密码，这使他们容易受到暴力攻击。此外，重复使用相同的密码可以授予攻击者访问多个帐户的权限。
受弱密码保护的电子邮件帐户可能会连接到其他帐户，也可用于恢复密码。这使它们对黑客特别有价值。此外，如果用户不修改他们的默认路由器密码，他们的本地网络就容易受到攻击。攻击者可以尝试一些简单的默认密码并获得对整个网络的访问权限。
暴力破解列表中一些最常见的密码包括：出生日期、孩子的名字、qwerty、123456、abcdef123、a123456、abc123、password、asdf、hello、welcome、zxcvbn、Qazwsx、654321、123321、000000、111111、 987654321、1q2w3e、123qwe、qwertyuiop、gfhjkm。强密码可以更好地防止身份盗用、数据丢失、未经授权访问帐户等。
如何防止暴力破解密码
为保护您的组织免受暴力破解密码，请强制使用强密码。密码应该：
- 切勿使用可在网上找到的信息（例如家庭成员的姓名）。
- 拥有尽可能多的角色。
- 组合字母、数字和符号。
- 每个用户帐户都不同。
- 避免常见的模式。
作为管理员，您可以实施一些方法来保护用户免受暴力密码破解：
- 锁定政策——您可以在多次登录尝试失败后锁定帐户，然后以管理员身份解锁。
- 渐进式延迟——您可以在登录尝试失败后将帐户锁定一段有限的时间。每次尝试都会使延迟变长。
- 验证码——像reCAPTCHA这样的工具需要用户完成简单的任务才能登录系统。用户可以轻松完成这些任务，而暴力破解工具则不能。
- 要求强密码——您可以强制用户定义长而复杂的密码。您还应该强制定期更改密码。
- 双因素身份验证——您可以使用多个因素来验证身份并授予对帐户的访问权限。