字典攻击

字典攻击是一种凭据破解方法，攻击者通过系统地逐一尝试预先编制的潜在密码列表，通常用于攻破身份验证系统。这种技术也称为基于字典的攻击，利用了用户倾向于使用常见单词、常用短语、专有名称或可预测的字符组合作为密码这一特点。此外，攻击者还经常使用基于字典的方法自动枚举有效的电子邮件地址，以开展垃圾邮件活动。

与穷举尝试所有可能字符组合（消耗大量计算资源和时间）的暴力破解攻击不同，字典攻击利用包含常用密码或泄露密码的预定义词表，能够以更快的速度和更高的资源利用效率尝试攻破目标。

用于实施字典攻击的字典和专用软件工具很容易获得，既可通过商业渠道获取，也可从安全社区资源中免费获取。字典的条目数量从数千到数百万不等。IT管理员和安全专家通常会主动利用这些工具和字典开展安全测试、渗透评估和密码审计，以评估其系统遭受此类攻击的可能性。

一种常见的缓解方法是强制实施密码创建策略，自动拒绝完全源自字典条目或可预测密码列表的凭据。但是，过于严格的字典过滤策略可能会对用户体验产生不利影响，并增加选择合规密码的难度。因此，安全从业人员必须在密码复杂度要求与实际易用性之间取得平衡。

另一项关键策略是杜绝“Joe 账户”，即用户名与密码相同的用户账户，因为这类账户往往是自动化字典攻击工具的主要目标。安全管理员至少应实施控制措施，禁止创建Joe 账户，并强制执行密码复杂度准则，以降低凭据猜测攻击成功的可能性。