应用存在默认口令或口令较简单易被猜到。git
高安全
使用常见的弱口令字典进行尝试登录。通常采用BurpSuite进行测试。在这里咱们用DVWA进行演示(DVWA不会搭建的请自行百度)。服务器
首先登录进入DVWA后,修改安全等级:
多线程
而后在Brute Force模块进行测试弱口令:
工具
使用 BrupSuite 进行抓包:
发现帐户和密码是使用GET方式提交的,而后咱们右键将抓到的包发送到 Intruder 模块进行暴力破解:
测试
进入到Intruder模块后,发现有四种攻击方式可选择:
ui
如今咱们来分别介绍一下四种攻击模式:url
狙击手模式(Sniper)——它使用一组Payload集合,依次替换Payload位置上(一次攻击只能使用一个Payload位置)被§标志的文本(而没有被§标志的文本将不受影响),对服务器端进行请求,一般用于测试请求参数是否存在漏洞。
攻城锤模式(Battering ram)——它使用单一的Payload集合,依次替换Payload位置上被§标志的文本(而没有被§标志的文本将不受影响),对服务器端进行请求,与狙击手模式的区别在于,若是有多个参数且都为Payload位置标志时,使用的Payload值是相同的,而狙击手模式只能使用一个Payload位置标志。
草叉模式(Pitchfork )——它可使用多组Payload集合,在每个不一样的Payload标志位置上(最多20个),遍历全部的Payload。举例来讲,若是有两个Payload标志位置,第一个Payload值为A和B,第二个Payload值为C和D,则发起攻击时,将共发起两次攻击,第一次使用的Payload分别为A和C,第二次使用的Payload分别为B和D。
集束炸弹模式(Cluster bomb)——它可使用多组Payload集合,在每个不一样的Payload标志位置上(最多20个),依次遍历全部的Payload。它与草叉模式的主要区别在于,执行的Payload数据Payload组的乘积。举例来讲,若是有两个Payload标志位置,第一个Payload值为A和B,第二个Payload值为C和D,则发起攻击时,将共发起四次攻击,第一次使用的Payload分别为A和C,第二次使用的Payload分别为A和D,第三次使用的Payload分别为B和C,第四次使用的Payload分别为B和D。线程
如今咱们使用集束炸弹模式(第四种)进行测试:
点击 clear 将全部参数置为未选中,而后将 username 和 password 选中,设置完毕后点击 payloads 开始设置攻击载荷:
3d
开始攻击,经过查看返回包的Length可判断是否爆破成功,在这里咱们发现admin/admin与其余返回长度不一样:
而后咱们在登陆页面使用admin/admin进行尝试登陆:
成功进行登陆。
攻击者利用弱口令,能够获取特定帐户或应用的访问控制权限,若是进一步攻击利用可能获取到服务器权限。
使用 GoogleHacking 语法进行寻找登陆页面:
inurl:login intext:后台登陆 ...
一般为节省时间只测试几种常见的弱口令:
admin/admin admin/admin123 admin/123456 ...
若挖到弱口令漏洞,能够提交到国家信息安全漏洞共享平台CNVD。
DVWA官网:
http://www.dvwa.co.uk/
BurpSuite实战指南:
https://t0data.gitbooks.io/burpsuite/