什么是暴力破解攻击？
暴力破解攻击会系统地尝试字符或数字的可能组合来猜测密码或用户名并获得未经授权的帐户访问权限。
暴力攻击是一种通过系统地尝试字母、数字和符号的组合来通过身份验证和授权控制来发现密码的尝试，通常使用词典和密码喷洒等策略。
暴力攻击（也称为密码破解）背后的逻辑非常简单：输入所有可能的密码模式。 例如，如果您使用四位数的 PIN 作为密码，则通过尝试从“0000”到“9999”的所有 10,000 种组合，您最终将得到正确答案。 对于人类来说，手动尝试这一点会很困难，但使用自动化工具来做到这一点却很轻松。 如果你每秒可以尝试一个密码，那么最多可以在 10,000 秒内（约 2 小时 47 分钟）破解密码。 尽管暴力攻击并不是特别复杂的网络攻击形式，但由于其对弱密码和安全程度较差的系统的有效攻击，以及自动化工具包使得扩展和执行暴力攻击的经济性对攻击者具有吸引力，因此暴力攻击仍然具有持久性。
暴力攻击的类型
暴力攻击可以采取多种形式。 简单的暴力攻击包括系统地尝试所有可能的数字或字符组合，直到找到正确的组合。 这种方法可能非常耗时且耗费资源，尤其是对于较长或更复杂的密码或密码短语。
一种更有针对性的技术是字典攻击，它依赖于预定义的可能的密码或短语列表。 攻击者不会像传统的暴力破解攻击那样尝试所有可能的数字或字符组合，而是系统地尝试字典中的每个单词或短语，直到找到正确的组合。 虽然字典攻击比简单的暴力攻击更快，但如果密码足够复杂、使用特殊字符或未包含在所使用的字典中，则仍然容易失败。 此外，对相同的登录提示使用字典攻击将快速触发速率限制和帐户锁定控制。
混合暴力攻击结合了字典攻击和简单暴力攻击的元素。 在混合攻击中，攻击者将使用一组随机字符（如传统的暴力破解攻击）以及一组常用单词和短语（如字典攻击）。 这种混合方法利用字典中的常用密码和不太可预测的字符组合来增加成功的可能性。
另一种攻击形式是反向暴力破解攻击。 攻击者不会尝试为特定帐户连续设置不同的密码，而是针对大量帐户用户名使用他们认为可能常用的特定密码（例如“password1234”）。 该方法依赖于这样的假设：至少有一些目标帐户使用所选密码，并且不太可能根据登录尝试失败的次数触发缓解措施。
尽管 撞库攻击 通常不被视为一种暴力破解攻击（攻击者已经拥有已知的用户名和密码列表），它的目的是获取对帐户的未授权访问，通常会伴随帐户接管（ATO）和欺诈。 撞库攻击依赖于自动脚本或工具，在各种在线登录表单上快速应用大量泄露的凭证，例如从以前的数据泄露或暗网中获取的用户名/密码组合。 虽然撞库攻击并不像暴力攻击那样对所有可能的组合进行详尽测试，但它仍然是一种尝试未授权访问的自动化方法，因此构成重大的安全威胁。 这两种类型的攻击都被视为OWASP Top 10和OWASP 自动威胁项目中的最大风险。
弱身份验证或损坏的身份验证是暴力攻击者的另一种入侵手段。 一些身份验证系统不实施锁定或限制机制，从而限制一定时间段内的登录尝试次数。 如果没有这些保护措施，攻击者可以不受任何限制地反复尝试猜测密码，从而增加了暴力破解攻击成功的可能性。
还可以使用暴力攻击来猜测会话 ID 或利用会话管理机制中的弱点来获取或劫持有效的会话 ID。 一旦攻击者获得有效的会话 ID，他们就可以使用它来冒充经过身份验证的用户并获得对受保护资源的未授权访问。
暴力攻击背后的动机
促使黑客进行暴力攻击的动机可能千差万别，但通常涉及出于恶意目的获取对系统、网络或帐户的未授权访问。
一些常见的动机包括金钱利益，例如攻击者可能试图窃取财务信息（例如信用卡号或银行凭证）来实施欺诈或盗窃。 他们还可能瞄准可出售的个人身份信息 (PII)、知识产权或机密商业数据。 攻击者还可以访问个人账户，冒充个人并从事欺诈活动。
犯罪分子还可以劫持系统以实施其他形式的恶意行为，例如组织僵尸网络，即由攻击者控制的设备网络，攻击者协调这些多个来源并发起分布式拒绝服务 (DDoS) 攻击。
通过暴力攻击未授权访问系统和帐户还会传播恶意软件或间谍软件，或针对网站发起攻击，在网站上植入淫秽或攻击性的文字和图片，威胁公司或网站的声誉。 黑客还可以使用暴力攻击来利用广告或活动数据，利用未授权访问在网站上投放垃圾广告以获取广告佣金或将流量从目标网站重新路由到恶意网站以窃取凭据或欺骗用户。
如何防止暴力攻击
有几种方法可以降低暴力攻击的风险，实施以下多种措施将使攻击者更难以猜测密码或通过重复登录尝试获得未授权访问。 这些包括：
- 使用强大而复杂的密码。 强密码是防止未授权访问系统和数据的第一道防线。 明确的密码策略有助于确保用户创建和维护安全的密码，其中包括大写和小写字母、数字和特殊字符的组合。 日益复杂的密码破解工具意味着长密码现在比简单密码更具保护性。 政策应该禁止重复使用密码，因为这是导致撞库攻击攻击和账户接管的主要原因。
- 采用多因素身份验证 (MFA)。 除了输入用户名和密码或密码短语之外，MFA 还要求用户提供其他因素才能访问应用、资源、在线帐户或其他服务。 在常见的做法中，这通常涉及在智能手机或浏览器中输入电子邮件或短信中的一次性密码，或提供指纹或面部扫描等生物识别信息。
- 实施账户锁定政策。 在一定次数的登录尝试失败后，锁定用户帐户一段指定的时间或直到管理员手动解锁。 这可以防止攻击者反复尝试猜测密码。 速率限制还可用于限制指定时间段内来自单个 IP 地址或用户帐户的登录请求次数。
- 加密敏感数据。 对静态和传输中的敏感数据进行加密可确保即使攻击者未授权访问系统，他们也无法在没有加密密钥的情况下读取数据。 这使得暴力攻击的效果降低，因为攻击者需要加密密钥来解密数据。
- 保持软件为最新版本。 确保所有软件（包括操作系统、网络服务器和应用）定期修补和更新，以解决可能被攻击者利用的安全漏洞。
- 部署机器人管理和 Web应用防火墙。 部署阻止自动攻击的解决方案可以保护关键业务逻辑免遭滥用，包括暴力攻击。
F5 如何处理暴力攻击？
OWASP （开放式全球application安全项目）的 Webapplications自动威胁项目将暴力攻击确定为一种凭证破解攻击（OAT-007） 。 F5 提供解决方案来解决 OWASP 的许多自动化风险。 F5 分布式云机器人防御可阻止机器人和恶意自动化，以防止 ATO 以及可能绕过现有机器人管理解决方案的欺诈和滥用。 分布式云机器人防御提供实时监控和情报以及基于机器学习的回顾性分析，以保护组织免受自动攻击，包括采用暴力技术的攻击。
F5 Webapplication防火墙 (WAF) 解决方案还可以阻止和缓解 OWASP 发现的各种风险。 F5 WAF 解决方案结合签名和行为保护，包括来自 F5 实验室的威胁情报和基于 ML 的安全性，以跟上新兴威胁。 为了防止暴力攻击，WAF 会跟踪访问配置的登录 URL 的失败尝试次数。 当检测到暴力破解模式时，如果登录失败率显著增加或登录失败次数达到最大阈值，WAF 策略会将其视为攻击。
F5 WAF 解决方案与 F5 机器人防御解决方案集成，为包括漏洞利用和自动暴力攻击在内的顶级安全风险提供强大的缓解措施。
