暴力破解攻击是指通过系统地尝试字母、数字和符号的各种组合来破解密码，以绕过身份验证和授权控制。这类攻击通常会使用词典，并采用密码喷洒等策略。
暴力破解攻击（也称密码破解）的逻辑非常简单：尝试所有可能的密码组合。例如，如果使用4位PIN作为密码（口令），只要尝试从“0000”到“9999”的全部10,000种组合，最终就能找到正确答案。人工逐一尝试非常困难，但使用自动化工具则很容易。如果每秒可以尝试一个密码，最多只需10,000秒（约2小时47分钟）即可破解密码。暴力破解攻击并不是特别复杂的网络攻击形式，但由于它对弱密码和安全防护不足的系统十分有效，而且自动化工具包使大规模实施此类攻击的成本效益对攻击者颇具吸引力，因此这种攻击一直存在。
暴力破解攻击的类型
暴力破解攻击有多种形式。简单暴力破解攻击会系统地尝试所有可能的数字或字符组合，直到找到正确的组合。这种方法可能耗时较长且占用大量资源，尤其是在破解较长或较复杂的密码或口令短语时。
一种更有针对性的技术是字典攻击，它依赖预先定义的潜在密码或短语列表。攻击者不会像传统暴力破解攻击那样尝试所有可能的数字或字符组合，而是依次尝试字典中的每个单词或短语，直到找到正确的密码。虽然字典攻击比简单暴力破解攻击更快，但如果密码足够复杂、使用了特殊字符，或未包含在所用字典中，攻击仍可能失败。此外，对同一登录提示使用字典攻击会很快触发速率限制和账户锁定控制措施。
混合暴力破解攻击结合了字典攻击和简单暴力破解攻击的特点。在混合攻击中，攻击者既会像传统暴力破解攻击一样使用一组随机字符，也会像字典攻击一样使用常见单词和短语列表。这种混合方法同时利用字典中的常见密码和较难预测的字符组合，从而提高攻击成功的可能性。
另一种攻击形式是反向暴力破解攻击。攻击者不会针对某个特定账户连续尝试各种密码，而是选择其认为可能被广泛使用的特定密码（例如“password1234”），并用其尝试登录大量账户。此方法假定目标账户中至少有一部分使用了所选密码，因此不太可能触发基于登录失败次数的缓解措施。
虽然凭据填充通常不被视为暴力破解攻击的一种形式（攻击者已经掌握已知的用户名和密码列表），但其目的同样是未经授权访问账户，之后往往还会发生账户接管（ATO）和欺诈。凭据填充依靠自动化脚本或工具，在各种在线登录表单中快速尝试大量已泄露的凭据，例如从以往的数据泄露事件或暗网中获取的用户名和密码组合。凭据填充虽然不像暴力破解攻击那样穷举测试所有可能的组合，但仍是一种尝试未经授权访问的自动化方法，因此构成重大安全威胁。这两类攻击均被OWASP Top 10和OWASP Automated Threats项目列为主要风险。
薄弱或失效的身份验证是暴力破解攻击者的另一种入侵途径。某些身份验证系统未实施锁定或限流机制，无法限制特定时间段内的登录尝试次数。如果缺少这些防护措施，攻击者便可不受限制地反复尝试猜测密码，从而增加暴力破解攻击成功的可能性。
暴力破解攻击还可能用于猜测会话ID，或利用会话管理机制中的弱点获取或劫持有效的会话ID。攻击者一旦获得有效的会话ID，便可利用该ID冒充已通过身份验证的用户，未经授权访问受保护的资源。
暴力破解攻击背后的动机
黑客发起暴力破解攻击的动机多种多样，但通常是为了恶意获取对系统、网络或账户的未授权访问权限。
常见动机包括牟取经济利益。例如，攻击者可能试图窃取信用卡号或银行凭据等财务信息，以实施欺诈或盗窃。他们还可能以个人身份信息（PII）、知识产权或机密业务数据为目标，获取后将其出售。攻击者也可能获取个人账户的访问权限，冒充他人从事欺诈活动。
犯罪分子还可能劫持系统以实施其他恶意行为，例如组建僵尸网络。僵尸网络是由攻击者控制的设备网络，攻击者可协调这些设备并发起分布式拒绝服务（DDoS）攻击。
通过暴力破解攻击未经授权访问系统和账户，还可能传播恶意软件或间谍软件，或攻击网站，在其中植入淫秽或冒犯性的文字和图片，损害公司或网站的声誉。黑客还可能利用暴力破解攻击来牟取广告或活动数据方面的利益，例如通过未经授权的访问在网站上投放垃圾广告以赚取广告佣金，或将原本要访问目标网站的流量重定向至恶意网站，以窃取凭据或欺诈用户。
如何防范暴力破解攻击
可通过多种方式降低暴力破解攻击的风险。结合实施以下多项措施，可增加攻击者猜测密码或通过反复尝试登录获取未经授权访问的难度。这些措施包括：
- 使用强度高且复杂的密码。强密码是防止系统和数据遭到未经授权访问的第一道防线。明确的密码策略有助于确保用户创建并维护安全的密码，其中应包含大小写字母、数字和特殊字符。随着密码破解工具日益复杂，长密码短语如今比简单密码更能提供保护。策略应禁止重复使用密码，因为这是导致凭据填充攻击和账户接管的主要原因之一。
- 采用多重身份验证（MFA）。除了输入用户名和密码或密码短语外，MFA还要求用户提供其他身份验证因素，才能访问应用、资源、在线账户或其他服务。常见做法包括在智能手机或浏览器中输入通过电子邮件或短信收到的一次性验证码，或提供指纹、面部扫描等生物特征信息。
- 实施账户锁定策略。登录失败达到一定次数后，将用户账户锁定指定时长，或直至管理员手动解锁。这可防止攻击者反复尝试猜测密码。还可以使用速率限制，限制指定时间段内来自单个IP地址或用户账户的登录请求数量。
- 加密敏感数据。对静态和传输中的敏感数据进行加密，可确保即使攻击者未经授权访问系统，也无法在没有加密密钥的情况下读取数据。由于攻击者需要加密密钥才能解密数据，因此暴力破解攻击的有效性会降低。
- 保持软件为最新版本。确保定期为所有软件（包括操作系统、Web服务器和应用程序）安装补丁并进行更新，以修复可能被攻击者利用的安全漏洞。
- 部署机器人管理和Web应用防火墙。部署可阻止自动化攻击的解决方案，有助于保护关键业务逻辑免遭滥用，包括暴力破解攻击。
F5如何应对暴力破解攻击？
The OWASP（开放全球应用安全项目）Web应用自动化威胁项目将暴力破解攻击归类为一种凭据破解攻击（OAT-007）。F5提供多种解决方案，可应对OWASP列出的许多自动化风险。F5 Distributed Cloud Bot Defense可阻止机器人和恶意自动化活动，防范可能绕过现有机器人管理解决方案的账户接管（ATO）及其引发的欺诈和滥用。Distributed Cloud Bot Defense提供实时监控和威胁情报，并基于机器学习（ML）进行回溯分析，帮助组织抵御自动化攻击，包括采用暴力破解技术的攻击。
F5 Web Application Firewall (WAF)解决方案还可阻止和缓解OWASP识别的多种风险。F5 WAF解决方案结合基于签名和行为的防护措施，包括来自F5 Labs的威胁情报和基于机器学习的安全防护，以应对不断涌现的威胁。为防止暴力破解攻击，WAF会跟踪访问已配置登录URL的失败尝试次数。检测到暴力破解模式时，如果登录失败率显著上升或登录失败次数达到上限阈值，WAF策略会将其视为攻击。
F5 WAF解决方案与F5 Bot Defense解决方案集成，可有效缓解主要安全风险，包括漏洞利用和自动化暴力破解攻击。
