主页 > 网络知识 > 登录点漏洞经验之谈(2)

登录点漏洞经验之谈(2)

 

1606723632_5fc4a830e1b15ecc33bb2.png!small?1606723633718

 

爆破成功了几个账号,经试验都可以成功登录。

 

1606723646_5fc4a83e4e0d58f4edb53.png!small?1606723647097

 

3、输错密码10次后页面锁定15分钟

在登录页面输错后显示输错密码10次后页面锁定15分钟,可以尝试伪造ip来暴力破解,由于该漏洞忘记在哪发现,没有具体截图,以下仅为伪造ip方式的暴力破解其中之一。这个漏洞也是再使用pkav工具多了之后,立马想到的思路,虽然网站有限制,正是这种限制往往导致程序员懒得对ip和用户名这些做限制,所以我立马使用pkav伪造ip来爆破。

打开pkav工具,点击左下角的重向选择。

 

1606723695_5fc4a86f869df36278a93.png!small?1606723696312

 

在右上角有IP伪造选项。

 

1606723705_5fc4a879616f78fba45b1.png!small?1606723706144

 

4、 爆破过程中多次返回503状态码

因为pkav不能抓包,我通常会先使用burpsuite进行爆破,仔细观察了爆破结果才发现的,返回的结果有一半是200长度成功的,另外一半503长度只是服务器做的限制罢了,此时的我对于pkav的运用有一定的熟练度,立马想到使用pkav的重放功能绕过限制进行爆破。以前没接触这个工具的时候我可能就会放弃这个网站漏洞了,所以我认为不仅仅是局限于目前接触到的一套工具,要考虑每个工具的优缺点,将它们结合起来使用,可能你要花更多的时间去测试实践,但是实践过程也是一种心得,而不是仅仅依靠别人的分享。

打开pkav,选择左下角的重放规则,在页面左下有重试规则。

 

1606723759_5fc4a8afacecec870403f.png!small?1606723760539

 

由于当时爆破过程中,返回503页面出现服务器错误,然后在字符串匹配输入服务器错误,添加该匹配方式,勾上返回的数据中匹配如下表达式时重试选项。

 

1606723771_5fc4a8bb1f8c9b03b25f6.png!small?1606723771959

 

二、验证机制

由于程序员设计验证机制出现问题,导致攻击者可以进行暴力破解,碰到的实例有:无验证机制或验证码未更新、验证码较弱等。

1、无验证机制或验证码未更新

这个漏洞在测试过程中还是比较常见,不仅仅是去爆破admin用户的密码,也可以爆破用户名,枚举比较简单密码的用户名,以下为常见密码。对于密码这一块,我有一定的心得,如果密码是进行加密的,不过属于固定加密类型,虽然不知道加密规则,但是可以多次抓包收集弱密码字典进行枚举用户名。在其他项目过程中,不仅仅是提高其他技能,也可以提高渗透知识,将平时遇到的密码规则记录下来,即时运用到测试中就不会忘记。比如我就遇到好几个项目测试的时候,默认密码是888888或者88888888,这些默认密码都可以尝试,还有在巡检项目过程中,我进行弱口令扫描的时候,也知道了甲方是如何进行的密码设置规则的。因为系统的密码太多了,人是具有懒惰的天性的,虽然会按照密码复杂所需的英文、数字和符号结合起来,还是容易猜想。在8月8号我进行上线测试过程中,因为网站对于进行扫描测试的ip总会封禁,所以我手工注入密码尝试,突然想到了子域名加符号加数字的格式,类似于abc@123,然后直接登录了。可能有的人会想到就是偶然猜中了有什么用呢,不是的,这提供了思路,我会在之后的爆破中尝试自己生成字典进行爆破,类似这种格式组合,而不是再回到之前的一个常用字典爆破所有的登陆点。

说点什么吧
  • 全部评论(0
    还没有评论,快来抢沙发吧!