漏洞挖掘 | 弱口令漏洞

弱口令漏洞

漏洞描述

應用存在默認口令或口令較簡單易被猜到。

風險等級

高

漏洞測試

使用常見的弱口令字典進行嘗試登陸。一般采用BurpSuite進行測試。在這里我們用DVWA進行演示（DVWA不會搭建的請自行百度）。

首先登陸進入DVWA后，修改安全等級：

然后在Brute Force模塊進行測試弱口令：

使用 BrupSuite 進行抓包：
發現賬戶和密碼是使用GET方式提交的，然后我們右鍵將抓到的包發送到 Intruder 模塊進行暴力破解：

進入到Intruder模塊后，發現有四種攻擊方式可選擇：

現在我們來分別介紹一下四種攻擊模式：

狙擊手模式（Sniper）——它使用一組Payload集合，依次替換Payload位置上（一次攻擊只能使用一個Payload位置）被§標志的文本（而沒有被§標志的文本將不受影響），對服務器端進行請求，通常用於測試請求參數是否存在漏洞。
攻城錘模式（Battering ram）——它使用單一的Payload集合，依次替換Payload位置上被§標志的文本（而沒有被§標志的文本將不受影響），對服務器端進行請求，與狙擊手模式的區別在於，如果有多個參數且都為Payload位置標志時，使用的Payload值是相同的，而狙擊手模式只能使用一個Payload位置標志。
草叉模式（Pitchfork ）——它可以使用多組Payload集合，在每一個不同的Payload標志位置上（最多20個），遍歷所有的Payload。舉例來說，如果有兩個Payload標志位置，第一個Payload值為A和B，第二個Payload值為C和D，則發起攻擊時，將共發起兩次攻擊，第一次使用的Payload分別為A和C，第二次使用的Payload分別為B和D。
集束炸彈模式（Cluster bomb）——它可以使用多組Payload集合，在每一個不同的Payload標志位置上（最多20個），依次遍歷所有的Payload。它與草叉模式的主要區別在於，執行的Payload數據Payload組的乘積。舉例來說，如果有兩個Payload標志位置，第一個Payload值為A和B，第二個Payload值為C和D，則發起攻擊時，將共發起四次攻擊，第一次使用的Payload分別為A和C，第二次使用的Payload分別為A和D，第三次使用的Payload分別為B和C，第四次使用的Payload分別為B和D。

現在我們使用集束炸彈模式（第四種）進行測試：
點擊 clear 將所有參數置為未選中，然后將 username 和 password 選中，設置完畢后點擊 payloads 開始設置攻擊載荷：

開始攻擊，通過查看返回包的Length可判斷是否爆破成功，在這里我們發現admin/admin與其他返回長度不同：

然后我們在登錄頁面使用admin/admin進行嘗試登錄：

成功進行登錄。

漏洞危害

攻擊者利用弱口令，可以獲取特定賬戶或應用的訪問控制權限，如果進一步攻擊利用可能獲取到服務器權限。

加固建議

關於如何防止弱口令的一些方法：

1. 不使用空口令或系統缺省的口令，因為這些口令眾所周之，為典型的弱口令。
2. 口令長度不小於8個字符。
3. 口令不應該為連續的某個字符（例如：AAAAAAAA）或重復某些字符的組合。
4. 口令應該為以下四類字符的組合，大寫字母(A-Z)、小寫字母(a-z)、數字(0-9)和特殊字符。每類字符至少包含一個。如果某類字符只包含一個，那么該字符不應為首字符或尾字符。
5. 口令中不應包含本人、父母、子女和配偶的姓名和出生日期、紀念日期、登錄名、E-mail地址等等與本人有關的信息，以及字典中的單詞。
6. 口令不應該為用數字或符號代替某些字母的單詞。
7. 口令應該易記且可以快速輸入，防止他人從你身后很容易看到你的輸入。
8. 至少90天內更換一次口令，防止未被發現的入侵者繼續使用該口令。

關於如何防止暴力攻擊的一些方法：

1. 限制驗證次數，或者設置較長的密碼和各種組合，延長暴力破解的時間。
2. 盡可能的使密碼足夠的復雜，密碼的長度要大於8位。
3. 發現同一IP錯誤登錄次數過多時，強制使用人臉識別技術，確定是否為本人操作。
4. 如果錯誤次數超過五次或者十次以上，那么就采用驗證碼登錄，或者使用短信驗證，每天驗證次數不超過20次。
5. 可以添加延遲（如：sleep(2)）來延長暴力破解的時間，這樣可以減緩一些單線程攻擊，但對多線程攻擊則效果不好。

互聯網挖掘弱口令漏洞的方法

使用 GoogleHacking 語法進行尋找登錄頁面：

inurl:login
intext:后台登錄
...

通常為節省時間只測試幾種常見的弱口令：

admin/admin
admin/admin123
admin/123456
...

若挖到弱口令漏洞，可以提交到國家信息安全漏洞共享平台CNVD。

下面是文中使用的靶場官網和工具教程：

DVWA官網：
http://www.dvwa.co.uk/

BurpSuite實戰指南：
https://t0data.gitbooks.io/burpsuite/