ブルートフォース推測の概要
暴力猜解简单来说就是将密码进行逐个推算，直到找出真正的密码为止
暴力のクラッキングに関する考慮事項
クラックする前に、郊外の辞書（Top100 TOP2000 csdn QQ 163およびその他のパスワード）が存在する必要があります。ユーザーが複雑なパスワードを設定したかどうか、Webサイトに確認コードがあるかどうか、ログイン試行に制限があるかどうか、Webサイトに2要素認証があるかどうかなどを確認します。要塞マシン、携帯電話のSMSなどを介した特定のIPアクセスのみを許可するなど、トークンの値など、管理者に関するBaozhongの要件
ターゲットWebサイトを登録し、アカウントパスワードのいくつかの制限を見つけます。たとえば、ターゲットサイトでは、パスワードは8桁以上である必要があります。文字と数字の組み合わせにより、これに従ってディクショナリを最適化できます（要件を満たさないパスワードを削除するなど）。（ただし、古いユーザーがパスワードの変更を強制されない可能性があるため、要件を満たしていないパスワードを試すこともできます）
管理用のバックグラウンドパスワードをクラックする場合は、admin / administrator / rootアカウントを使用して確率を上げることができます。これら3つのアカウントと任意のパスワードディクショナリを使用して、ブルートフォースクラックを実行できます。 「パスワードエラー」、「パスワードエラー」、「ユーザー名が存在しません」などの関連するプロンプト。
社内のイントラネットには、多数の従業員が使用する必要のあるパスワードが存在する場合があります。トラブルを避けるために、従業員用の統一されたデフォルトパスワードを設定し、従業員が自分で変更できるようにします。脆弱性も発生する可能性があります
ユーザー名のパスワードを変更することはできません。古いパスワードと新しいパスワードは同じではなく、脆弱性が発生する可能性があります。
正しいユーザー名を見つけて
ウェブサイトを開く方法はいくつかあります。下部には、関連する管理者などからの通知メッセージだけでなく、いくつかのメールアドレス（または求人の苦情のメール）があります。または、ドメイン名の登録では、ドメイン名を登録した人のメールボックスを確認できます住所、この情報は役に立つ情報になるかもしれません
ブルートフォース分類
（1）、フォームに基づくブルートフォースクラッキング
（2）検証コードに基づくブルートフォースクラッキング
クライアントの一般的な問題：安全でないフロントエンドjs実装検証コード、cookieの安全でないリーク検証コード、フロントエンドのソースコードの安全でないリーク検証コード
サーバーでの一般的な問題：検証コードがバックグラウンドで期限切れにならないため、長期間使用されます（phpのデフォルトセッションは24分で期限切れになります）。検証コードの検証は厳密ではなく、論理的な問題です。検証コードの設計が単純すぎて、定期的に推測されます
（3）、トークンクラッキングに基づく（トークンクラッキングドキュメントを参照）
トークンの値はフロントエンドのソースコードで出力されるため、取得が容易であり、ブルートフォースクラックを防ぐ意味がなくなります。一般に、トークンの方がCSRFを防ぐ効果が高くなります。
注：スレッドの数は1に設定され、Grep-Extractはトークン "value ="を開始して "/>"で終了するように設定されています;郊外の負荷は再帰検索
"token" value = "に設定されています
（4）システム、データベース、ミドルウェアなどのサードパーティサービスに基づく
システム脆弱性スキャナーには、ブルートフォースクラッキング、ブルターツール、ヒドラが付属しています。
