使用密码列表的全球攻击正在增加。这些攻击导致使用字典攻击列表的典型暴力密码破解尝试变得越来越复杂。确保采取正确的安全措施可以防止敏感数据丢失。
什么是密码列表攻击？
在密码列表攻击中，攻击者试图使用他们在攻击前从某处获得的正确密码和 ID 列表，通过常规路径非法获取访问权限。在这种情况下，通过 ID 进行的登录尝试次数变得非常少，以至于通常很难将正确访问与攻击区分开来。
如果用户在多个站点上重复使用同一个密码，则存在该密码被盗用并成功访问其他站点的真正危险。出于这个原因，我们建议您在每个站点上使用不同的 ID 和密码组合。
此外，现在是考虑更多安全措施的时候了，例如 Web 应用程序服务器上的两步验证以及其他身份验证方法。
从攻击者的角度来看，字典攻击（攻击者试图通过各种被认为经常使用的常用词和密码来获取访问权限）比暴力攻击更有效，后者只是随机使用尽可能多的不同密码可能的组合。此外，正确的 ID 和密码列表以及允许访问的便利性就像一个神奇的物品。
人们还认为，字典攻击中使用的列表通常是基于对公开可用信息的引用。
相反，如果我们事先参考密码列表并阻止用户设置经常使用的密码，它应该是一个很好的系统来防止这些类型的攻击。
著名密码列表提供服务
在这里，我们将介绍一个提供服务的著名列表。
■OpenWall
– 提供攻击者使用的一般密码跟踪列表
– 提供付费和免费服务列表。
https://www.openwall.com/wordlists/
我试图下载免费版本的列表。
https://download.openwall.net/pub/wordlists/passwords/
当你解压缩 password.gz 时，你会看到一个名为“password.lst”的文件。打开它。列表查看器。它显示“Last update: 2011/11/20 (3546 entries)”。好像很久没有更新免费版了。可能的密码按出现顺序列出，但我有点惊讶这包括我通常使用的密码。
同样让我感到惊讶的是，其中一些密码短语非常常见，相同单词或短语的相似排列出现在单词列表中，字典文件显示用户觉得将密码更改为小写会使破解更困难。
以下是前 20 个最常用密码的列表：
| 1 | 123456 | 11 | 1234 | 21 | 服务 |
| 2 | 12345 | 12 | 键盘 | 22 | 加拿大 |
| 3 | 密码 | 13 | 钱 | 23 | 你好 |
| 4 | 密码1 | 14 | 卡门 | ||
| 5 | 123456789 | 15 | 米奇 | ||
| 6 | 12345678 | 16 | 秘密 | ||
| 7 | 1234567890 | 17 | 夏天 | ||
| 8 | abc123 | 18 | 互联网 | ||
| 9 | 电脑 | 19 | a1b2c3 | ||
| 10 | 跳虎 | 20 | 123 |
如您所见，列表中的所有短语都是英文单词，很少使用特殊字符，也不包含很多复杂的密码。此外，攻击者通过将其输入到 John the Ripper、THC-Hydra 或 Medusa 等工具中来使用上述单词列表。我们不会在这里解释这些工具的使用细节。无论如何，如果攻击者使用这些工具，并且您可以检测到它们的访问，您就可以防御它们的攻击。
我们建议使用云机器人攻击检测来检测上述工具的任何使用情况，并保护自己免受未来任何潜在的攻击。
如何防止暴力字典攻击列表
CDNetworks 提供云机器人攻击对策“Bot Shield(机器人防护与管理)”，它能够检测和防御最近不断增加的网络攻击。
Bot Shield 是一种与全球集成的云机器人反制 CDN平台.它配备了多种功能，可以预先检测和阻止越来越多的通过机器人进行的网络攻击，加强网络安全，并提供高性能和高可用性的网络交付。
它还有助于检测机器人的未知攻击（零日攻击），保护您的网站免受各种攻击，包括那些使用字典攻击列表方法的攻击。
