什么是蛮力登录攻击（以及如何防止它们）？

网络攻击变得更加复杂，黑客找到了越来越聪明的方法来窃取数据并访问网站和数据库。 黑客访问网站的主要方式之一是使用暴力登录或暴力攻击。

蛮力攻击是指攻击者提交多个密码，以期猜测正确的密码组合以获得对您系统的未经授权的访问。 黑客使用的软件通常可以在几秒钟内保护对网站、电子邮件帐户或其他数据库的访问。

之所以称为蛮力，是因为这些尝试会持续不断地进行，直到用户名和密码得到保护。 蛮力攻击是破解您的加密密钥和访问您想要保密的文件的简单但高效的方法。

蛮力攻击是如何工作的？

在基本层面上，暴力登录就像猜测可能的密码一样简单。 但关键是尝试多种变体，直到找到答案。

可能的密码越长，您必须尝试的变化就越多。 2 位密码有 100 种可能性，而 5 位密码有 100 亿种可能性。 此外，请考虑大多数密码不仅仅是数字的事实。 它们包含字母、大写字母和特殊字符。 这就是为什么弱密码比复杂密码更容易猜到的原因。

如果您想知道为什么网站坚持要求您使用复杂的密码，那么这张图片可能有助于解释。

如您所见，可以在不到一秒的时间内使用暴力攻击破解简单的密码。 但它们越复杂，妥协的时间就越长。

因此，避免对您的网站进行暴力攻击的主要方法之一是要求所有用户拥有长而复杂的密码。 事实上，密码安全现在被视为抵御多种形式网络攻击的第一道防线。

另一个问题是，由于需要大量的计算能力，使用蛮力机器人可以提高计算速度并使访问系统变得更加容易。

为什么不标记蛮力尝试？

黑客在尝试暴力登录期间有多种方法可以避免检测。

1.他们使用多个IP

如果由于输入错误密码而导致登录尝试失败次数过多，大多数系统会要求您稍等片刻再试一次或将您完全锁定。 那么为什么这些黑客没有遭受同样的命运呢？

暴力登录尝试以狡猾和系统的方式执行，涉及多台计算机和 IP 地址。

使用的一种策略称为分布式攻击，其中每个 IP 仅尝试猜测您的密码有限次数，然后完全停止。 然后另一个 IP 取而代之。

现在，将其大规模增加，数十个甚至数百个机器人试图一次全部登录，但从未尝试足够的时间来触发安全机制。

2. 他们不只是猜测

在暴力攻击期间，黑客根据一些可用信息采取行动。 例如，大多数人在许多平台上使用相同的密码，因此来自另一个平台的数据泄露是一个很好的起点。 这被称为反向蛮力攻击，因为黑客会尝试多个用户名，直到找到一个适合密码的用户名。

还有其他战术。 例如，黑客可能会使用字典攻击，其中黑客使用标准单词（例如“password”、“admin”、“iloveyou”或“1234567890”）运行密码。

字典攻击是破解简单密码的一种常用方法，这种方法非常成功并且经常使用。 黑客还可以使用混合暴力攻击，将字典攻击与基本暴力攻击相结合。

蛮力攻击的著名例子

阿里巴巴 (2015)

一个著名的暴力攻击例子是阿里巴巴的淘宝网站。 2015 年 10 月至 11 月期间，这家电子商务巨头遭受了一次暴力攻击，而安全团队并未发现该攻击。 在这种情况下，由于淘宝一直保持高流量，因此未标记过多的登录尝试。

报告称，由于黑客重复使用了从其他站点窃取的帐户凭据，因此重复使用的密码是造成一些被盗帐户的原因。 黑客有超过 9900 万个帐户凭据可供使用，他们成功入侵了超过 2000 万个用户帐户配置文件。

任天堂俱乐部 (2013)

任天堂俱乐部是一个社区会员网站，用户可以在这里讨论任天堂的所有事情。 2013 年，该网站遭受暴力攻击，经过 1500 万次尝试，黑客终于破解了用户帐户。

值得庆幸的是，所有被盗的帐户都被迅速暂停，直到它们可以归还给合法所有者。 报告显示，这次攻击影响了超过 25,000 名论坛成员。

GitHub (2013)

Github 可以说是历史上最大的暴力攻击示例。 2013 年，黑客经过多次尝试从近 40,000 个唯一 IP 地址获得了对多个用户帐户的访问权限。 报告表明，黑客使用了从其他数据泄露中获得的信息。

Github 安全地存储用户密码，尽管尚不清楚有多少帐户被盗，但估计显示它们很少。

蛮力攻击的目标是什么？

用户数据在我们的数字世界中非常有价值。 从付款信息或税务详细信息，到简单地访问电子邮件地址和密码。 这些是蛮力攻击的主要原因。

访问您的用户数据

拥有大量用户数据的网站通常是暴力攻击的目标。 一旦成功，黑客不仅可以访问用户帐户，还可以经常在其他网站上使用这些登录详细信息。

事实上，通过已知用户详细信息的数据库，黑客可以使用这些收集到的互联网网站上的详细信息进行暴力攻击。

利用网络资源

通过暴力破解 WordPress 登录等特定黑客攻击，攻击者试图利用您网站的资源为自己谋取利益。 例如，他们可能想在您不知情的情况下使用您的网站发送垃圾邮件和网络钓鱼电子邮件。 黑客也可能使用您的网站来入侵其他网站，因为您的 IP 可能尚未被列入黑名单。

暴力破解 WordPress 登录的其他原因包括挖掘加密货币或重定向您网站的流量。

探索漏洞

白帽黑客，通常被称为道德黑客或黑客主义者，没有任何恶意。 相反，他们测试系统安全性的强度以清除漏洞并报告它们。 因此，作为安全检查的一部分，白帽黑客可能会对网站进行暴力攻击。

如何防止暴力攻击？

像大多数网络安全元素一样，可以通过许多简单的步骤来防止暴力攻击。

使用复杂的密码

已确认的 10 起数据泄露事件中有 8 起是由于密码薄弱或被盗——上述字典攻击。 因此，一个很好的起点是确保您的密码是：

• 强（字母、数字和特殊字符的组合）
• 在所有平台上独一无二
• 超过 12 个字符

使用通用密码的自动暴力攻击可以在几秒钟内进入网站或用户帐户。

限制登录到特定 IP 地址

限制某些 IP 地址访问您的站点也可以阻止暴力攻击。 许多安全数据库都有蛮力机器人 IP 地址的记录。 通过阻止这些 IP 地址，黑客需要加倍努力才能成功访问您的网站。

一种方法是为静态 IP 地址设置远程访问端口。 您还可以配置 VPN。

使用双重身份验证

双因素身份验证通常被认为是抵御暴力攻击的第一道防线。 它们确保黑客无法仅通过用户名和密码访问您的数据。 他们也需要您的智能手机或电子邮件客户端。

监控您的服务器日志

密切关注您的服务器日志是一种更主动的方式来保护您的网站免受暴力攻击。 日志记录每次失败的登录尝试，通过分析它们，您可以识别可疑活动。

使用 Logwatch 等工具执行日常检查并生成您可以轻松解读的报告。

阻止您网站上的机器人活动

由于蛮力攻击通常由自动机器人执行，因此阻止这种形式的流量是避免它们的最有效方法之一。

ClickCease 的 Bot Zapping 会阻止 WordPress 网站上的机器人流量。 这意味着可以主动和实时地阻止 SEO 垃圾邮件、DDoS 攻击和暴力攻击等网络攻击。

如果您运行具有用户数据库、结帐功能的站点，或者即使您管理的是高流量站点，您也需要考虑将阻止机器人流量作为一项重要的安全功能。

超越蛮力攻击

尽管暴力攻击可能由于多种原因造成破坏，但对您的在线业务的威胁是多种多样的。 而且，如上所述，它通常归结为机器人。

恶意机器人推动了互联网上的大多数恶意和破坏性活动。 因此，注意网络安全并防止任何类型的机器人访问您的网站意味着您可以受到以下保护：

• 数据泄露和随之而来的对您声誉的损害
• 损坏您的网站基础设施，例如恶意软件安装或内容注入
• 网站在 DDoS 或勒索软件攻击中脱机
• 点击欺诈和广告欺诈损害您的付费广告活动

ClickCease 的 Bot Zapping 是一款新产品，是我们面向营销人员的反欺诈工具包的一部分。 目前它仅适用于 WordPress 网站，尽管 WordPress 网站占互联网的 40%。

现有的 ClickCease 用户可以免费运行一个月的 Bot Zapping 来了解它是如何工作的。

新用户可以注册免费试用，在他们的网站上运行流量审计。