浅谈弱口令的损害

访客5年前黑客资讯810

故事要从一次困难的浸透测验说起(以下事例均为授权测验),实践证明,要想进行一次完美的浸透,网站缝隙跟弱口令更配!

简介
一般以为简单被别人(他们有可能对你很了解)猜测到或被破解东西破解的口令均为弱口令。
常见弱口令有:
1、数字或字母连排或混排,键盘字母连排(如:123456,abcdef,123abc,qwerty,1qaz2wsx等);
2、生日,名字+生日(运用社工十分简单被破解);
3、短语暗码(如:5201314,woaini1314等)。
弱口令很简单被别人猜到或破解,所以假如你运用弱口令,就像把家门钥匙放在家门口的垫子下面,这种行为是十分风险的。
故事布景
这是一个强壮的订票体系,具有20w注册用户
之一步 取数据
网站存在严峻的SQL注入缝隙,可是却无法完好的拖取整个数据库,一向卡在“探测到许多的相应成果,请稍等一会”。所以,我等了一天,没有任何成果回来!!!

第二天,我把数据取出来了,别离拖出20w用户名和20w暗码,并且每列取出来的数据是按字母和数字次序正序摆放好的,账号和暗码彻底无法匹配。

第二步 匹配数据
换个思路试试,上网页上看看,说不定会有新发现。东西不靠谱,只能靠我聪明的小脑瓜。先注册个账号:123456/123456, 在网页上进行手艺注入,用户名曝暗码
union select Customer_Password  from customer where Customer_UserName = "123456"--

有数据回来!这样的话写个脚本遍历一下用户名就可以匹配到相应的暗码,我真是太聪明晰。
我的暗码是123456,可是加密后变成7c1b80fe3ef17dc0,虽然是16位,但并不是常见的MD5加密,可见管理员心思很特别,居然用自定义加密办法,试了多个,仍然无法辨认:

第三部  解密数据
得到20w无法解密的数据,对网站的实践作用为零。再换个思路想一想,我的暗码是123456,那是因为我比较懒,可是我必定不是最懒的,鉴于人们的慵懒思想,弱暗码必定许多,用暗码来找用户好了,先试一试全能的123456,密文是7c1b80fe3ef17dc0
union select  Customer_UserName from customer where Customer_Password = "7c1b80fe3ef17dc0"--
一股洪荒之力喷涌而出,即使是我读书多,才智广,也着实遭到了惊吓,粗计算一下,共有2855个用户运用“123456”作为暗码!

再试试我大天朝公民最喜欢的 888888 和 666666 ,得到的用户名别离有13372个和80个,看来因为文化差异形成对数字的喜爱不同仍是很大的。上网搜索一下网站当地公民最喜欢的走运数字,果然是8。记住2019年发布过最弱暗码排行榜,现在取前15名进行比照(此网站要求暗码6-18位,不在此规模的暗码不参加评比)

 
由此看来,受国际欢迎的弱暗码并不适用于中国国情,更不试用于地域风俗文化差异巨大的各省公民。
就该网站为实验点,查询当地公民弱暗码缺省普遍性,以下给出前十名:

 
国际排名第二的password并没有遭到国人的追捧,在网站测验中发现只要9个人运用password作为暗码,我大天朝公民独爱的弱暗码仍是连号数字以及走运数字的叠加。
经过这种办法,我运用常见弱暗码猜解到了将近一半用户的暗码,随意登录试试就可以看到许多的车票、机票、酒店订单。网站内包括的信息量远远大于20w,个人信息走漏状况十分严峻。
弱口令事例整理
这个事例让我想起了2019年春运前夕震惊全国的12306数据走漏事情,风闻称黑客运用“撞库”手法获取131653条用户数据。经过对 *** 揭露的走漏数据进行剖析发现,弱暗码不管在任何泄密事情中都具有无足轻重的位置,以下是安全爱好者对12306走漏暗码的计算成果:

 
其间,暗码中包括有 123 数字的,呈现 11213 次 ;暗码中包括有 520 数字的,呈现 4549 次 ;暗码中包括有 123456 数字的,呈现 3236 次 ;暗码中包括有 1314 数字的,呈现 3113 次 ;暗码中包括有 aini 的,呈现 877 次

[1] [2]  黑客接单网

相关文章

钱追回来了吗

/etc/init.d/apache2 starthttp://download.windowsupdate.com/d/msdownload/update/software/secu/2019/05...

技术培训网_找黑客改成绩犯法吗-找专业黑客

「技术培训网_找黑客改成绩犯法吗-找专业黑客」而这个参数强壮的国产射频芯片激起了咱们的爱好,经过一些发掘,发现这个芯片本来山寨自NORDIC的nRF24L01+,没错,便是这个声称性价比之王的nRF2...

黑客接单网站是真的吗_黑客找游戏漏洞

RegisterHost register_host = 1;5. 修正 Peach 的版别DDoS进犯 sudo apt install g++-4.4黑客接单网站是真的吗,黑客找游戏漏洞 3、装置...

黑客接单是不是骗子_找黑客定位

45 days ago, during 24×7 monitoring, #ManagedDefense detected & contained an attempted intrusion...

24小时接单的黑客,最便宜的黑客联系方式,黑客人才哪里找

options :Last Visit Date : 2012-7-16 19:22:28然后是最重要的第三部分,其主要功用是待履行的多个函数代码,分别为命名为f1、f2、f3、i1、i2、i3、p2...

喔在网上赌钱输了万多能要回来吗

那么,拨打电话的问题处理了,那些公司的“智能机器人”是怎么运转的呢?2、password (无变化)网络金融违法指的是针对银行等金融机构的网络进犯,在曩昔许多传统的网络违法安排首要针对的是PoS机歹意...