密码攻防系列文章27-web后台登录口令暴力破解及防御

在实际网络安全评估测试中，前台是给用户使用，后台是给网站管理维护人员使用，前台功能相对简单，后台功能相对复杂，可能保护媒体文件上传，数据库管理等。前台用户可以自由注册，而后台是网站管理或者维护人员设定，渗透中如果能够拿到后台管理员帐号及密码，则意味着离获取webshell权限更进一步了。

27.1web后台账号及密码获取思路

1.通过sql注入获取后台账号及密码
如果网站存在sql注入漏洞，则可以通过sqlmap等工具进行漏洞测试，通过dump命令来获取整个数据库或者某个表中的数据。
2.通过跨站获取管理员帐号及密码
在前台页面中插入xss代码，通过xss平台接收。当管理员访问存在跨站页面时，会将网站管理员登录的cookie值等信息传回到xss平台，有的还可以直接获取管理员账号及密码。xss平台可以自己搭建，也可以使用网上公开的平台，例如http://xsspt.com/index.php?do=login、http://imxss.com/等。
3.通过暴力破解获取管理员帐号及密码
目前有一些工具支持后台账号及密码暴力破解，例如BurpSuite等，在本文后面会重点介绍使用BurpSuite进行后台账号及密码暴力破解。
4.通过获取数据库备份文件
有些网站由于管理失误，将数据库打包放在网站根目录，或者数据库备份文件存在于某个目录，通过目录泄露及浏览等漏洞可以直接获取数据库备份文件。在本地将其还原后，即可获取所有数据。
5.嗅探获取
对C段服务器进行渗透，或者对该目标CMS所在网络进行渗透，渗透成功后，通过Cain等工具对目标CMS的登录后台用户及口令进行嗅探。
6.其它方法
如果知道管理员的信息&#x

密码攻防系列文章27-web后台登录口令暴力破解及防御相关推荐

web后台登录口令暴力破解及防御
在实际网络安全评估测试中,前台是给用户使用,后台是给网站管理维护人员使用,前台功能相对简单,后台功能相对复杂,可能保护媒体文件上传,数据库管理等.前台用户可以自由注册,而后台是网站管理或者维护人员设定 ...
基于Token的WEB后台登录认证机制（并讲解其他认证机制以及cookie和session机制）
几种常用的认证机制 HTTP Basic Auth HTTP Basic Auth简单点说明就是每次请求API时都提供用户的username和password,简言之,Basic Auth是配合RES ...
FinalTest 基于web的登录口令修改设计
本次任务主要实现登录口令的修改,当用户修改了登录名和登陆密码以后,下一次登录将会使用新的登录名和登录密码. FT.1 页面设计登录的页面主要使用了原来的pass.htm文件,主要是因为我自己做了一个 ...
pikachu上的密码口令暴力破解
文章目录 (1)暴力破解是什么 (2)暴力破解的一般防范方法 (3)前后端常见的漏洞 <0>无防护下的暴力破解 <1>前端防护的漏洞 <2>后端防护的漏洞 < ...
SSH密码暴力破解及防御实战
前言:本文对目前流行的 SSH 密码暴力破解工具进行实战研究.分析和总结,对渗透攻击测试和安全防御具有一定的参考价值. 首先介绍几款常用的ssh暴力破解工具: 1. hydra [海德拉] 指定用户破 ...
SSH密码暴力破解及防御实战----攻
1.实验环境准备一台装有kali的虚拟机和一台ssh端口开放的虚拟机这里面的暴力破解全是使用的kali里面自带的软件破解的. kali 192.168.13.145 #装有kali的虚拟机 loc ...
kali-linux教程 ssh密码暴力破解和防御实战
1 hydra[海德拉] Hydra是世界顶级密码暴力破解工具,支持几乎所有协议的在线密码破解,功能强大,其密码能否被破解关键取决于破解字典是否足够强大,在网络安全渗透过程中是一款必备的测试工具. 指 ...
听说你还在为问wifi密码而感到不好意思？我从来都是暴力破解的！
Python真的是无所不能,原因就是因为Python有数目庞大的库,无数的现成的轮子,让你做很多很多应用都非常方便.wifi跟我们的生活息息相关,无处不在.今天从WiFi连接的原理,再结合代码为大家详 ...
Asp.net MVC2.0系列文章-运行Web MVC2.0 Demo
安装VS2010 首先安装VS2010,安装过程请参考文章: http://www.cnblogs.com/ywqu/archive/2010/01/27/1657450.html. 创建第一个MVC ...
前端笔记-分享一个web后台登录及注册页面
本人进行了些许修改,目前已支持移动端的适应. pc端运行如下: 移动端如下: 此篇博文就不贴代码了,直接源码下载地址: https://github.com/fengfanchen/frontUI/t ...

密码攻防系列文章27-web后台登录口令暴力破解及防御

27.1web后台账号及密码获取思路

密码攻防系列文章27-web后台登录口令暴力破解及防御相关推荐

最新文章

热门文章