1.12 弱口令漏洞(Weak Password)

0x01 漏洞描述

网站管理、运营人员由于安全意识不足,为了方便、避免忘记密码等,使用了非常容易记住的密码,或者是直接采用了系统的默认密码等。

0x02 常见应用场景

弱口令没有严格的标准和准确的定义,通常认为容易被别人猜测到或被破解工具破解的口令均为弱口令。

通常以下情况会被定为弱口令:

  • 连续的数字
  • 连续的字母
  • 连续的(数字+字母)
  • 公司(全称or简称)+连续的(字母or数字)
  • 个人姓名(全称or简称)+连续的(字母or数字)
  • 网站域名+连续的(字母or数字)
  • 任意(上+下 or 左+右 or shift)连续的键盘密码
  • 包含上述情况任意位置的特殊字符
  • 包含上述情况任意位置的年份的数字
  • 包含上述情况任意位置的首字母大写
  • 包含上述情况任意位置的常见单词
  • 。。。

0x03 漏洞危害

攻击者利用此漏洞可直接进入应用系统或者管理系统,从而进行系统、网页、数据的篡改与删除,非法获取系统、用户的数据,甚至可能导致服务器沦陷。

0x04 修复建议

4.1 用户层面

  • 不要使用常见的弱口令作为密码
  • 不要多个系统或者社交账号使用同一套密码
  • 定期修改密码
  • 建议使用包含随机值的或者随机生成的字符串作为系统密码

4.2 系统层面

  • 用户首次登录后强制用户修改默认密码
  • 修改密码、添加账号等涉及密码策略处强制用户使用强密码策略(大小写字母+数字+特殊字符+8位以上)
  • 服务端对登录处增加图形验证码并保证使用一次即销毁
  • 服务端对登录接口进行限制,单个IP单位时间内请求超过阈值,封禁30分钟
  • 服务端对登录接口进行限制,单个用户密码单位时间内错误次数超过阈值,封禁20分钟
最后修改:2021 年 06 月 23 日 11 : 05 PM
如果觉得我的文章对你有用,请随意赞赏