网站 建设公司,打电话推销好还是做网站推广好,网站建设的三网合一,centos lnmp wordpress一、法律法规
《中华人民共和国网络安全法》要点 遵守法律#xff1a;所有个人和组织在使用网络时#xff0c;必须遵守宪法和法律#xff0c;不得利用网络从事危害国家安全等活动。 个人信息保护#xff1a;禁止非法获取、出售或提供个人信息。若违反但未构成犯罪#x…
一、法律法规
《中华人民共和国网络安全法》要点 遵守法律所有个人和组织在使用网络时必须遵守宪法和法律不得利用网络从事危害国家安全等活动。 个人信息保护禁止非法获取、出售或提供个人信息。若违反但未构成犯罪将面临罚款和没收违法所得。
二、认证崩溃与防范
定义与问题
认证崩溃因错误使用身份认证或会话管理功能导致攻击者能够破解密码。常见于开发人员忽视安全交互如使用弱口令或缺少多因素认证。
预防措施
多因素认证增加安全层级防止暴力破解。弱口令检测定期检查并消除弱口令。复杂会话ID生成高复杂度会话ID并设置超时失效。
三、弱口令
定义与分类 弱口令容易被猜测的密码如“123”或“abc”。 分类 公共弱口令常见高频密码。条件弱口令与个人信息相关的密码。
产生原因与危害
原因个人习惯和安全意识不足使用易记或默认密码。危害攻击者可进入系统后台修改资料、盗取资金等。
四、密码破解时间
6位密码破解时间 数字0秒字母大/小写30秒混合字母33分钟数字字母1.5小时数字字母标点22小时
五、增加密码复杂度
建议密码不少于8位包含大小写字母、数字和特殊符号。避免使用连续字符或与个人信息相关的密码定期修改。
六、常见漏洞与防范
信息收集防止信息泄露保护网站敏感信息。弱口令攻击采用强密码策略防止穷举攻击。框架漏洞及时更新修复技术栈中的安全漏洞。逻辑漏洞确保授权访问防止未授权操作。CSRF攻击使用防伪令牌防止跨站请求伪造。文件上传漏洞限制文件类型防止上传恶意脚本。
七、暴力破解与工具
暴力破解概述 定义暴力破解又称字典攻击是通过自动化脚本反复尝试用户名和密码组合以窃取信息或获取权限的攻击方式。 产生原因 Web应用在开发时存在身份认证逻辑漏洞。用户身份识别策略不严格或设置不当。对用户身份和密码未实施强制性限制。对异常访问地址未进行处理。身份认证方式存在缺陷或权限分配不合理。
工具介绍Hydra与Burp Suite Hydra开源暴力破解工具支持多种协议。适用于SSH、RDP、MySQL等但不适用于HTTP(S)破解。 Burp Suite用于攻击Web应用程序的集成平台提供多种工具和接口。Burp Intruder模块可自动对Web应用程序进行自定义攻击具有高度的可配置性。 Burp爆破模块组成
Target配置目标服务器的详细信息包括IP地址、端口号及是否使用HTTPS等。Positions设置Payload插入点和攻击类型如Sniper、Battering Ram、Pitchfork、Cluster Bomb。Payloads配置Payload设置字典定制数量、类型及选项。Options包含发包和收包细节如发包速度、记录保存以及请求头发送和接收数据处理等设置。
靶场练习
后端验证如Pikachu后端服务器在验证码检测上存在漏洞未重置验证码导致可被爆破。前端JS检测验证码检查在JS中进行可利用前端验证而后端不检查的情况进行爆破。Token防爆破检测服务端生成Token前端请求携带以证明合法身份。在练习中假设已知用户名并将密码和Token设置为爆破点进行标记直至爆破成功。
暴力破解防御方式
用户层面避免使用弱口令。服务方层面 对多次登录失败的账户锁定IP。使用短信或语音验证码等验证方式并设置阈值。使用复杂验证码以增加攻击成本。
