暴力破解漏洞描述

暴力破解漏洞的暴力本质，是破解系统对“尝试次数”没有设防。攻击者用自动化工具不断提交用户名和密码组合，漏洞直到撞开一扇门。描述听起来很原始，暴力但每年仍有大量系统栽在这件事上。破解

我见过一个真实案例。漏洞某中型电商平台的描述后台登录接口，没有任何频率限制。暴力安全测试人员用Burp Suite加载了10万个常见密码字典，破解针对管理员账号跑了两小时，漏洞结果在第47分钟命中。描述密码是暴力“Admin@123”——一个在泄露库中出现过上万次的字符串。更离谱的破解是，这个接口返回的漏洞错误信息还区分“用户名不存在”和“密码错误”，等于把用户名枚举也一并送了出去。

漏洞的根因不在密码强度

很多人把暴力破解归咎于用户设了弱密码。这只说对了一半。真正的问题在于系统没有给攻击者制造成本。密码再弱，如果每次尝试都要等5秒、10次后锁定账户、或者触发验证码，攻击者也得掂量一下。反过来，密码再强，如果接口能每秒接受1000次请求，那也只是把破解时间从几秒拉长到几天而已。

我观察到一个规律：越是内部系统、老旧系统、临时上线的接口，越容易忽略这层防护。开发者在功能测试阶段只关心“能不能登录成功”，压根没想过有人会拿脚本刷。等系统上线，接口暴露在公网，事情就开始了。

攻击者的工具箱比你想象的简单

Hydra、Medusa、Burp Intruder、甚至一个Python脚本配上requests库，就能发起攻击。字典来源更不神秘——GitHub上搜“top10000 passwords”，或者直接用RockYou泄露库。针对特定目标，攻击者还会用CeWL爬取网站关键词生成定制字典。比如目标公司叫“蓝鲸科技”，字典里就会加入“lanjing”“bluewhale”“lanjing2024”这类组合。

还有一种更隐蔽的方式：密码喷洒。不用大量密码打一个账户，而是用少量常见密码（比如“Password1”“Welcome@123”）去尝试大量账户。这样不会触发账户锁定策略，又能碰运气撞上几个疏于管理的账号。我在一次内部审计中见过，用五个密码喷洒300个员工邮箱，竟然命中了7个。那家公司的IT部门完全没察觉。

防御不是加个验证码就完事

验证码确实能挡住纯自动化脚本，但打码平台的存在让它的成本变得很低。真正有效的做法是分层：

第一层，速率限制。按IP、按账户、按设备指纹分别限流。注意，只按IP限流不够，攻击者用代理池就能绕过。第二层，账户锁定与延迟。连续失败5次后，延迟递增，或者临时锁定。但锁定策略本身也可能被利用来做拒绝服务——攻击者故意输错密码锁死正常用户。所以更稳妥的是指数退避延迟，而不是硬锁定。第三层，行为分析。检测登录请求的时间间隔、User-Agent异常、地理位置的突变。一个账号五分钟内从北京和纽约同时登录，这本身就值得拦截。

还有一点常被忽略：日志与告警。很多系统被暴力破解了几周，日志里全是失败记录，但没人看。等到数据库被拖走才反应过来。设置一个简单的阈值告警——比如单IP十分钟内失败超过50次——就能提前发现。

一个容易被忽视的角落

API接口的暴力破解比Web表单更危险。Web表单还有浏览器同源策略、CSRF Token之类的牵制，而很多REST API只靠一个Bearer Token或API Key认证。如果Token生成逻辑有缺陷，或者接口没有速率限制，攻击者可以直接对Token本身进行暴力枚举。我见过一个物联网平台，设备认证用的就是8位数字序列号，没有任何签名校验。写个循环从00000000跑到99999999，总能找到在线设备。

暴力破解漏洞不酷，不复杂，甚至有点笨。但正是这种笨办法，在真实攻防中反复得手。因为它利用的不是什么高深的技术缺陷，而是人的疏忽和系统的懒惰。