web后台登录口令暴力破解及防御

web后台登录口令暴力破解及防御

一、web后台账号及密码获取思路

在web安全领域，获取后台账号及密码是攻击者常常尝试的手段。以下是一些常见的获取思路：

通过SQL注入获取后台账号及密码：

如果网站存在SQL注入漏洞，攻击者可以利用sqlmap等工具进行漏洞测试，通过dump命令来获取整个数据库或某个表中的数据，包括后台账号及密码。

通过跨站脚本（XSS）获取管理员帐号及密码：

攻击者可以在前台页面中插入XSS代码，当管理员访问存在XSS漏洞的页面时，会将管理员登录的cookie值等信息传回到攻击者控制的平台，有的甚至可以直接获取管理员账号及密码。

通过暴力破解获取管理员帐号及密码：

使用自动化工具（如BurpSuite）对后台账号及密码进行暴力破解，通过尝试大量可能的密码组合来找到正确的密码。

通过获取数据库备份文件：

有些网站由于管理失误，将数据库打包放在网站根目录或某个可访问的目录，攻击者可以通过目录泄露等漏洞直接获取数据库备份文件，然后在本地还原以获取所有数据。

嗅探获取：

攻击者可以对目标服务器所在网络进行渗透，成功后通过嗅探工具（如Cain）对目标CMS的登录后台用户及口令进行捕获。

其它方法：

包括发送木马程序给管理员诱使其执行、利用浏览器保存登录账号及口令的功能等。

二、使用BurpSuite进行后台密码暴力破解

BurpSuite是一款强大的web应用安全测试工具，可以用于进行暴力破解。以下是使用BurpSuite进行后台密码暴力破解的步骤：

启动BurpSuite：

在PentestBox（一个综合漏洞测试平台，运行环境为Windows）中启动BurpSuite。

设置浏览器代理：

将Chrome等浏览器的代理设置为BurpSuite监听的地址和端口（通常为127.0.0.1:8080）。

准备测试环境：

安装并配置测试平台（如comsenz）和cms系统（如稻草人cms）。

放行数据包：

在BurpSuite中设置放行数据包，以便捕获登录尝试的请求。

查看抓包情况：

在HTTP History中查看抓到的数据包，选择包含登录尝试的记录，右键发送到Intruder模块。

设置Intruder：

在Intruder中设置变量（如password），并加载密码字典。

设置错误反馈Flag，以便识别登录失败的响应。

执行暴力破解：

在Intruder中启动攻击，BurpSuite将根据设置进行暴力破解。

查看暴力破解结果：

破解结束后，对结果按长度排序，长度不一致的记录可能是破解成功的密码。

三、暴力破解防御措施

为了防范web后台登录口令的暴力破解，可以采取以下措施：

设置强密码：

使用复杂且难以猜测的密码，增加破解的时间成本。

修改默认后台管理员账号名称：

避免使用默认的admin等账号名称，改为不易猜测的账号名称。

对后台登录IP地址进行授权管理：

设置白名单，仅允许授权IP地址访问后台登录页面。

绑定后台登录IP与MAC地址：

通过程序设置只有特定MAC地址的设备才能访问后台管理页面，增加安全性。

增加安全验证：

如手机短信验证、动态key等，增加额外的安全验证步骤，提高破解难度。

监控和日志记录：

监控后台登录尝试，记录异常登录行为，及时发现并处理潜在的安全威胁。

定期更新和修补：

定期更新cms系统和相关组件，修补已知的安全漏洞，减少被攻击的风险。

通过以上措施，可以有效提高web后台登录口令的安全性，防范暴力破解等安全威胁。