暴力破解（brute force），也可以稱為蠻力攻擊，指利用窮舉法將所有的可能性一一嘗試，理論上可以破解所有密碼問題。
實際測試中，考慮到攻擊成本的問題，通常使用字典攻擊，即逐一嘗試使用者自定義詞典中的可能密碼（單詞或短語）的攻擊方式。
弱口令攻擊
①弱口令是指容易被他人猜到的口令，除常見的123456、12345678、admin等口令外，生日、姓名、手機號、1qazqwas也被稱為弱口令。
②為了節省攻擊成本，通常也會使用弱口令字典進行攻擊。
可利用資訊
①多餘的提示資訊。登陸失敗後，不應提示如「該使用者不存在」、「密碼錯誤」、「使用者未註冊」等詳細資訊，通過這些資訊可以推斷出使用者名稱、密碼等其他資訊；
②可**資訊。類似user100、user101的使用者名稱、手機號等資訊，類似於abc123、123456的初始密碼。
字典生成
①crunch 以一定規則生成字典
crunch 11 11 -t 1829881 %%%%%（%代表數字）
crunch 6 6 -t pass@@ （小寫字母）
crunch 6 6 -t pass,（大寫字母）
crunch 6 6 -t pass^^（特殊字元）
②cupp 社會工程學字典生成
③cewl 爬取**內容，生成字典
④亦思想社會工程學字典生成器
符合國人習慣的字典
①常見弱口令：123456、password、123qweasd等；
②姓名（或其他資訊）全拼及縮寫：xiaoming123等；
③全部以及部分手機號碼；
④出生日期及各種變形；
無效的登陸失敗處理功能
（1）驗證碼繞過：驗證碼不生效/不更新/不失效；驗證碼可**/刪除/獲取；驗證碼可識別/尋找其他登陸頁面。
（2）簡訊驗證碼繞過：4/6位暴力破解；篡改手機號；篡改response響應。
常見的密碼問題：
①使用者名稱列舉：**反饋多餘資訊，可猜測使用者資訊；
②驗證碼返回前端處理：可截獲/修改；
③修改request：使用者名稱、手機號、cookie等資訊可修改；
④修改response：操作結果成功/失敗可修改；
⑤暴力破解驗證碼：驗證碼長度有限，或驗證碼未設定可靠的失效時間；
⑥拼湊密碼重置連線：重置連線有規律可循。
不安全的忘記密碼功能
①重置密碼方式不應明文顯示/傳輸給使用者；
②重置密碼方式應該設定有效期；
③重置密碼方式應具有高強度、不易被攻擊猜解；
④重置密碼方式應具有足夠的隨機性，不易被暴力破解。
csrf驗證機制
csrf 跨站請求偽造 csrf 英文全稱為 cross site request forgery csrf 通常指惡意攻擊者盜用使用者的名義，傳送惡意請求，嚴重洩露個人資訊危害財產的安全 csrf攻擊示意圖 解決csrf攻擊 使用csrf token校驗 1.客戶端和瀏覽器向後端傳送請求時，後端往...
web安全學習 驗證機制存在的問題
驗證機制是應用程式防禦惡意攻擊的中心機制。它處於防禦未授權的最前沿，如果使用者能夠突破那些防禦，他們通常能夠控制應用程式的全部功能，自由訪問其中的資料。缺乏安全穩定的驗證機制，其他核心安全機制 如回話管理和訪問控制 都無法有效實施。web應用程式常用的驗證機制有 1 基於html表單的驗證 最常用 ...
九 資料驗證機制
一 手動驗證的實現 actionsupport類對validateable介面進行了實現，但對validate 方法空實現。使用validate 方法可以使用者請求的多個action進行驗證，但其驗證的邏輯是相同。如果在乙個action類中編寫了多個請求處理方法，而引action重寫了validat...