# 弱口令与爆破：最「简单」却最有效的入侵入口｜网络攻防演练红队蓝队双向复盘 > 核心定义： > - **弱口令**：账号密码强度过低（`123456`、`admin/admin`、手机号、生日、公司名）；或者账号密码复用、密码写在代码/配置文件里。 > - **暴力破解（爆破）**：使用字典，自动化批量尝试账号密码，认证成功则拿到访问权限；分为**字典爆破（最常用）**、纯穷举爆破（极少用，效率低）。 > 攻防演练里，**弱口令+爆破永远是TOP级打点入口，甚至比漏洞利用更容易拿下机器**。 > 区分：**未授权访问 = 不需要密码；弱口令爆破 = 存在认证，只是密码容易猜**。 ## 一、常见爆破目标（红队优先扫描清单） |服务|端口|说明| | ---- | ---- | ---- | |SSH|22|Linux服务器最常见| |RDP|3389|Windows远程桌面，域环境高频| |MySQL|3306|数据库弱口令| |MSSQL|1433|SQL Server，支持域账号认证| |Redis|6379（较少爆破，更多未授权）|部分设置简单密码| |Web后台登录页面|80/443|OA、VPN、路由器、管理平台、Tomcat后台| |SMB|445|SMB暴力猜账号密码，拿到凭证后横向移动| |FTP|21|文件服务器| |PostgreSQL|5432|数据库弱口令| > 演练高频坑：**域账号爆破**。一台工作站拿到普通域账号弱口令，直接横向渗透，甚至尝试登录域控。 ## 二、爆破分类 1. **字典爆破（实战主流）** 不盲猜，基于字典。字典来源： - 通用弱口令字典：`123456`、`admin123`、公司缩写+年份 - 定制字典（成功率最高，红队信息收集后制作）：员工姓名、手机号、工号、企业简称、项目名 2. **碰撞/密码喷洒 Password Spraying（域环境重点！）** > 域环境不针对单个账号大量试密码（容易触发账号锁定）。 > **同一个密码，批量尝试大量账号**。例如：密码`Company@2026`，遍历所有域账号。 优势：减少单账号失败次数，规避账号锁定策略，域渗透必用手段。 3. **纯穷举爆破**：a-z+数字符号全排列，速度极慢，实战几乎不用。 ## 三、攻击完整链路 1. 资产测绘扫描：开放端口，识别服务（RDP、SSH、Web登录） 2. 收集账号列表（员工名单、泄露信息、网页源码、邮箱列表） 3. 构造密码字典（通用/企业定制字典） 4. 爆破：hydra、medusa、burp、crackmapexec进行认证尝试 5. 爆破成功 → 获取账号密码 6. 使用凭证登录服务，进入主机/后台；拿到权限后继续提权、横向移动 ### 工具示例（演练常用） Hydra（九头蛇） ```bash # ssh爆破 hydra -L user.txt -P pass.txt 192.168.1.10 ssh # RDP爆破 hydra -L user.txt -P pass.txt 192.168.1.10 rdp ``` CrackMapExec（内网SMB、域环境神器，密码喷洒首选） ```bash crackmapexec smb 192.168.1.0/24 -u userlist.txt -p "Company@2026" ``` Burp Suite：Web表单后台爆破（验证码失效、无登录失败限制场景） ## 四、红队实战踩坑 1. 账号锁定策略：多次错误密码，账号直接锁定。**域环境严禁单账号高频爆破，优先密码喷洒**。 2. 验证码：Web后台带验证码，直接拦截爆破；部分存在验证码复用/绕过漏洞。 3. IP封禁策略：多次失败登录，WAF/防火墙拉黑源IP。 4. 登录日志：大量失败登录会触发蓝队告警，容易暴露红队IP。 5. 很多业务系统**账号密码复用**：OA密码=Windows域密码=数据库密码，拿到一个通杀内网。 ## 五、蓝队检测、告警与防御 ### 1. 检测特征（日志监控重点） - SSH：大量登录失败 `Failed password` - Windows安全日志：EventID 4625 登录失败；短时间大量4625就是爆破行为 - Web登录：短时间大量POST登录请求，不同密码、同一个账号 - 告警规则：短时间内连续N次登录失败，触发告警 ### 2. 防御手段（由强到弱） 1. **强密码策略**：长度、大小写+数字+特殊符号；禁止弱口令，定期密码更换 2. **账号锁定策略**：多次登录失败临时锁定账号（注意：不要永久锁死导致DoS） 3. **MFA多因素认证（最有效）** 即使密码被爆破，没有验证码/硬件token依然无法登录；VPN、后台、运维服务器强烈推荐MFA 4. **登录源IP白名单**：运维SSH/RDP仅允许办公网、固定运维IP访问，公网禁止直接开放 5. 限流、验证码：Web登录增加图形验证码/滑块，拦截自动化爆破工具 6. 资产收敛：不必要的服务禁止对公网暴露，SSH/RDP禁止直接暴露互联网 7. 定期内部弱口令巡检：内部主动跑弱口令扫描，提前整改 ## 六、容易混淆的概念 - 弱口令爆破：**有认证机制，密码简单** - 未授权访问：**没有认证，不需要账号密码** - 密码喷洒：属于爆破的一种，域环境专用，**一密多账号，规避账号锁定** ## 一句话速记 > 弱口令爆破本质不是漏洞，是身份认证层面的薄弱；公网资产弱口令是最高危打点入口；域环境优先使用密码喷洒，规避账号锁定；MFA是对抗爆破最有效的防御手段。 > 演练考点：大量4625登录失败日志=爆破行为；密码喷洒是**同一个密码测试大量账号**。 下一节：**凭证复用与Pass-the-Hash（PtH哈希传递，域横向最经典技术）**，要继续吗？