弱口令 on SoulJian小站

渗透思路：登录窗口

Sat, 29 Aug 2026 23:58:00 +0800

写在前面：合法学习边界

本文思路只用于授权测试。对真实系统爆破、撞库可能触犯法律。

一、登录框是什么

登录框是 Web 渗透最常见的入口，也是最容易出问题的地方。拿到一个登录窗口，按下面的清单过一遍。

二、思路清单

1. 弱口令与默认口令

1
2
3


admin/admin、admin/123456、root/root
后台常见默认口令字典
根据系统类型试默认口令（如旧设备、CMS）

2. 暴力破解

1
2
3
4


账号锁定策略是否有效
抓包看是否有验证码/限速
用 Burp Intruder / hydra 爆破
注意：先确认有无频率限制，别打挂业务

3. SQL 注入

1
2
3


用户名处尝试 ' or 1=1、admin'--
万能密码、报错注入
测试是否拼接 SQL（很多老系统）

4. 验证码逻辑

1
2
3
4


验证码是否绑定会话/手机
是否可重放、不过期
是否只在前端校验
图形验证码能否识别（OCR/降级）

5. 忘记密码 / 找回逻辑

1
2
3
4


能否爆破验证码/Token
能否改返回包/参数（如 id 越权改密）
找回链接是否可预测
短信验证码是否可重放

6. 注册与越权

1
2
3


注册接口是否可越权（给自己提权/改角色）
注册后能否访问管理功能
批量注册/枚举用户

7. 测试账号与接口泄露

1
2
3


源码/注释里的测试账号
JS 里的隐藏登录接口
接口未授权（绕过登录直接调业务接口）

8. SSO / 第三方登录

1
2
3


OAuth 回调校验（state/redirect_uri）
JWT 伪造/算法混淆
会话固定

三、优先级

1
2
3
4


先试弱口令/默认口令（成本最低、命中率高）
再看验证码与爆破
然后 SQL 注入、忘记密码逻辑
最后 SSO/JWT

四、小结

登录框的测试核心是“先低成本试探（弱口令/默认口令），再看认证逻辑（验证码/找回密码），最后查授权（越权/SSO）”。把清单过一遍，多数登录框的问题都逃不掉。

弱口令爆破：hydra 实战与防御

Sat, 29 Aug 2026 05:35:00 +0800

写在前面：合法学习边界

弱口令爆破是高风险行为。本文只讲原理和防御，所有示例命令只适合在自建靶场或明确授权的目标上使用。未经授权对他人账号进行爆破、尝试登录、撞库或字典测试，都可能触犯法律并造成事故。

一、为什么弱口令仍然是高频风险

很多系统即使没有代码漏洞，也可能因为弱口令被攻破。常见原因：

1
2
3
4
5
6


默认口令未修改
常见单词加简单后缀
密码复用
没有登录失败限制
没有 MFA
没有账户锁定

二、hydra 的作用

hydra 是一个支持多种协议的离线/在线口令爆破工具。它可以针对 SSH、HTTP、FTP、Telnet 等服务进行密码尝试。

它适合学习的是：

1
2
3
4


哪些目标最容易弱口令
如何配置速率
如何记录结果
如何从防御侧阻断爆破

三、常见命令形式

1. SSH 爆破

1

hydra -L users.txt -P passwords.txt ssh://127.0.0.1 -t 4

-L 指定用户名文件，-P 指定密码文件，-t 指定并发线程。

2. HTTP 表单爆破

1

hydra -L users.txt -P passwords.txt http-post-form "//127.0.0.1/login:username=^USER^&password=^PASS^:F=Invalid"

不同网站的登录失败特征不同，需要根据目标响应调整判断条件。

四、为什么不要滥用 hydra

暴力测试会造成明显异常流量：

1
2
3
4


大量 401/403
大量失败登录
短时间高频请求
触发 WAF、防火墙或风控

这也意味着，只要系统有日志和告警，爆破很容易被发现。

五、防御建议

1. 强密码策略

要求足够的长度和复杂度，禁止默认密码。

2. 账户锁定与限速

失败达到阈值后锁定账号或延迟响应。

3. 多因素认证

对管理员和高风险入口启用 MFA。

4. IP 限制

只允许可信来源访问登录入口。

5. 日志与告警

监控异常失败登录、异地登录和短时间大量请求。

弱口令爆破操作步骤

1
2
3
4
5


第 1 步：确认目标服务（SSH/HTTP/FTP）与登录失败特征
第 2 步：准备字典（用户名/密码，先小规模试通）
第 3 步：hydra 指定用户/密码/服务，控制线程与延时
第 4 步：观察返回（命中/失败），调整判断条件
第 5 步：成功后登录验证，谨慎使用，避免打爆业务

六、报告中的正确写法

示例：

1
2
3


发现：SSH 服务存在弱口令迹象，登录失败日志中出现异常频率尝试。
风险：可能导致未授权访问和横向移动。
建议：强制强密码；启用 MFA；限制源 IP；开启账户锁定和告警。

七、小结

弱口令问题的核心不是工具，而是身份验证设计。理解爆破行为后，更要理解系统如何发现、阻断和审计这些异常。