暴力破解和验证码安全
暴力破解和验证码安全
暴力破解注意事项
1、破解前一定要有一个有效的字典(Top100 Top2000 csdn QQ 163邮箱等密码)
2、判断用户是否设置了复杂密码
- 前端正常注册，看密码设置是否有复杂度限制
3、网站是否存在验证码
- 如果存在验证码，看验证码有效性，是一次性还是可以无限制使用
4、尝试登录的行为是否有限制
- 无限制才能方便破解
5、网站是否双因素认证
- 是否存在token值 验证码等
登陆页面可能产生哪些漏洞
SQL注入点及万能密码登录
不安全的用户提示，一般提示用户名不存在或者密码及验证码存错
查看登陆页面源代码，是否存在敏感信息泄露
不安全的验证码
- 验证码一次性使用
- 验证码显示要有干扰因素
在注册账号的时候是否存在不安全的提示
用户名已存在
- 间接获取用户名
不安全的密码，在注册账号的时候，密码没有限制复杂度
在暴力破解的时候未限制ip，锁定用户
一个账户可以在多地登录，没有安全提示
账号登陆后，应具备超时功能
任意无限制注册账号
OA、邮件、默认账号等相关系统，在不是自己注册的情况下，应该在登录之后强制要求修改密码，避免使用默认密码
逻辑漏洞、任意密码重置
越权漏洞、纵向、横向越权
数据包含有敏感信息泄露、如cookie
不安全的数据传输，密码为明文，未使用https证书
- 手机号、身份证号、邮箱等脱敏用*代替
暴力破解分类
C/S
- Bruter、hydra等
B/S
基于表单的暴力破解
基于验证码的暴力破解
- on client常见问题：不安全的前端js实现验证码；不安全的将验证码在cookie中泄露；不安全的将验证码在前端源代码中泄露
- on server常见问题：验证码在后台不过期，导致长期使用(php默认session是24分钟过期)；验证码校验不严格，逻辑出现问题；验证码设计的太过简单和有规律的被猜解
- 弱验证码识别攻击
基于token的暴力破解
- 由于token值输出在前端源代码中，容易被获取，因此也就失去了防暴力破解的意义，一般token在防止CSRF上会有比较好的功效
暴力破解安全防范
1) 强制要求输入验证码，否则，必须实施IP策略。 注意不要被X-Forwaded-For绕过了！
2) 验证码只能用一次，用完立即过期！不能再次使用
3) 验证码不要太弱。扭曲、变形、干扰线条、干扰背景色、变换字体等。
4) 大网站最好统一安全验证码，各处使用同一个验证码接口。
暴力破解和验证码安全相关推荐
- 渗透测试-暴力破解之验证码测试token防爆破绕过
暴力破解之验证码测试token防爆破绕过 文章目录 暴力破解之验证码测试token防爆破绕过 前言 一.什么是token 二.验证码之token防爆破绕过 总结 前言 一.什么是token 客户端to ...
- 暴力破解与验证码安全之——验证码安全
验证码安全 简介 验证码(CAPTCHA)是"Completely Automated Public Turing test to tell Computers and Humans Apa ...
- 渗透测试-暴力破解之验证码客户端验证绕过
暴力破解之验证码客户端验证绕过 文章目录 暴力破解之验证码客户端验证绕过 前言 一.什么是验证码客户端验证绕过 二.验证码客户端验证绕过 1.打开pikachu进行实验 2.用burp抓包进行客户端绕 ...
- 暴力破解及验证码安全
1️⃣.暴力破解注意事项 破解前一定要有一个有郊的字典(Top100 TOP2000 csdn QQ 163等密码): 判断用户是否设置了复杂的密码(可以自己尝试一下,走一下流程). 网站是否存在验证 ...
- 暴力破解之验证码绕过
暴力破解验证码绕过(on server+on cookie+on client+token) 靶机 暴力破解验证码绕过(on server) 1.on server-验证码复用爆破 随便输入,通过抓包 ...
- 暴力破解之验证码识别
文章目录 背景 操作步骤 1.安装python模块 2.安装Captcha-killer模块 3.尝试进行验证码识别 背景 渗透测试过程中,现在验证码越来越多,这对测试的时候遇到的阻力不小,一位大佬给 ...
- 暴力破解与验证码安全——BS架构暴力猜解
BS架构暴力猜解 浏览器与客户端之间的破解,一般有一个web页面,针对web站点暴破 一般是对 web 应用程序中的高权限用户进行猜解,如网站的内容管理系统账户.一般针对 B/S 的暴力猜解,我们使用 ...
- pikachu靶场之暴力破解
目录 一.什么是暴力破解 二.burpsuite四种攻击类型 1. sniper(狙击手模式) 2. battering ram(攻城锤模式) 3. pitchfrk(音叉模式) 4. cluster ...
- pikachu暴力破解
暴力破解通俗来说就是"撞库",是现在最流行的密码破解方式之一.它的实质就是枚举法,通过大量穷举的方式来尝试获取用户口令,即猜口令.并且暴力破解也不仅仅只用来暴力破解,也可以发现We ...
最新文章
- Drug Target Review | 筛选用于抗COVID-19的抗病毒化合物
- 字符串或文件处理的一个可选流程
- RTX 2080时代，如何打造属于自己的深度学习机器
- ts连接mysql数据库_各种数据库的连接方法
- 自媒体敏感词大全_2020年自媒体软件大全，这里真的有大宝贝……
- linux常见基本命令
- lucky number
- php 0行,php – 如果返回0行,MySQL返回结果
- Ubuntu 16.04 安装CUDA8.0+Cudnn6.0+TensorFlow+Caffe安装
- 用bat文件在web端拉起本地cs应用（以拉起本地QQ音乐为例）
- bzoj2697特技飞行*
- Dash中文文档: Python2.7.16 和 Python3.8
- 定义日期或日期和时间格式
- rfid射频前端的主要组成部分有_RFID复习题目
- 我曾经爱过你---I Loved You
- Win11安卓子系统（WSA）怎么卸载？
- DVD刻录缓慢的原因及方法
- 本地调试微信之内网穿透 ngrok/frp
- 浅析功耗性能肖特基二极管的重要性
- 记录微星gl63的ubuntu 18.04重装rtl8821ce驱动，重获wifi